Para manter conexões seguras e confiáveis com as instâncias do AlloyDB para PostgreSQL em ambientes de produção e desenvolvimento, siga estas práticas recomendadas ao implantar e gerenciar o proxy de autenticação do AlloyDB.
Manter o cliente do proxy de autenticação atualizado
O Google lança novas versões do proxy de autenticação mensalmente. Para encontrar a versão atual, consulte a página de versões do proxy de autenticação do AlloyDB no GitHub.
Use a automação para atualizar a versão do proxy de autenticação e teste a nova versão em ambientes que não sejam de produção antes de promover a alteração para produção.
Executar o cliente do proxy de autenticação como um serviço persistente ou arquivo secundário
Na produção, execute o cliente do proxy de autenticação como um serviço persistente ou sidecar.
Se o processo do cliente do proxy de autenticação for interrompido, todas as conexões atuais por meio dele serão descartadas e o aplicativo não poderá criar mais nenhuma conexão com a instância do AlloyDB usando o proxy de autenticação do AlloyDB. Para evitar esse cenário, execute o cliente do proxy de autenticação como um serviço persistente. Assim, se ele for encerrado por qualquer motivo, será reiniciado automaticamente.
Com base em onde você está executando o cliente, use as seguintes opções:
- Para o cliente do proxy de autenticação em execução em VMs do Linux, use um serviço como
systemd,upstartousupervisor. - Para cargas de trabalho do Windows, execute o cliente do proxy de autenticação como um serviço do Windows. Consulte Como executar o proxy de autenticação como um serviço do Windows para mais informações.
- Para configurações do Kubernetes, execute o cliente do proxy de autenticação como um arquivo secundário.
Executar o cliente do proxy de autenticação na mesma máquina que a carga de trabalho
O cliente do proxy de autenticação pressupõe que ele é executado na mesma máquina que a carga de trabalho. O tráfego do cliente para o proxy de autenticação não será criptografado. O tráfego do proxy de autenticação para o AlloyDB é criptografado usando mTLS.
Verifique se todos os clientes do proxy de autenticação estão localizados na mesma máquina para que nenhum tráfego não criptografado saia dela. O proxy de autenticação do AlloyDB precisa ser colocado no mesmo local que um cliente que quer acessar sua instância do AlloyDB.
Usar uma conta de serviço diferente para cada carga de trabalho
O proxy de autenticação do AlloyDB usa o principal do Identity and Access Management (IAM) do ambiente para criar um túnel seguro para uma instância do AlloyDB. Para seguir o princípio de privilégio mínimo, cada carga de trabalho, como um app da Web ou um app de processamento de dados de back-end, precisa usar uma conta de serviço distinta. O uso de uma conta de serviço distinta garante que as permissões de cada carga de trabalho possam ser gerenciadas (ou revogadas) separadamente.
Não implante o proxy de autenticação do AlloyDB como um gargalo
Pode ser tentador implantar o proxy de autenticação do AlloyDB em uma VM compartilhada e usá-lo para rotear todo o tráfego de várias cargas de trabalho para a instância do AlloyDB. No entanto, essa abordagem não é segura e cria um ponto único de falha.
Quando vários clientes usam o mesmo principal do IAM que o proxy de autenticação, fica difícil identificar a carga de trabalho que está acessando a instância do AlloyDB, o que torna essa abordagem insegura.
Essa abordagem cria um único ponto de falha porque, se o proxy de autenticação do AlloyDB estiver sobrecarregado com um pico de tráfego, todas as conexões de cliente serão afetadas negativamente.
Em vez disso, implante um cliente do proxy de autenticação em cada máquina que precise de uma conexão segura como um serviço secundário ou persistente.
Reduzir a saída de registro do proxy de autenticação do AlloyDB para implantações de produção
Se você precisar limitar o tamanho dos registros do proxy de autenticação do AlloyDB, defina a opção --verbose=false ao iniciar o proxy. O uso dessa opção reduz a eficácia da saída do proxy de autenticação do AlloyDB no diagnóstico de problemas de conexão.
Ler a mensagem de ajuda do proxy de autenticação do AlloyDB
O proxy de autenticação do AlloyDB inclui muitos recursos adicionais e uma mensagem de ajuda
extensa com detalhes. Execute o comando alloydb-auth-proxy --help para
descobrir outras opções de configuração.
Interagir com a equipe de desenvolvimento no GitHub
Se você acredita que encontrou um bug ou tem uma solicitação de recurso, entre em contato com a equipe de desenvolvimento no repositório do GitHub do proxy de autenticação do AlloyDB.