Configurare la modalità di applicazione forzata del protocollo SSL nelle istanze AlloyDB

Per proteggere le connessioni client e controllare se sono consentiti il traffico non criptato o i certificati client, puoi configurare la modalità di applicazione forzata di SSL sulle istanze AlloyDB per PostgreSQL.

Per impostazione predefinita, un'istanza AlloyDB accetta solo connessioni che utilizzano SSL.

AlloyDB utilizza SSL per stabilire connessioni sicure, autenticate e criptate alle istanze AlloyDB. Inoltre, una modalità di applicazione forzata SSL configurabile garantisce che tutte le connessioni del database a un'istanza utilizzino la crittografia SSL.

Questo documento spiega come configurare la modalità di applicazione forzata di SSL su un'istanza esistente. Per informazioni su come configurare la modalità di applicazione forzata SSL quando crei un'istanza, consulta Crea un'istanza principale.

Prima di iniziare

  • Il progetto Google Cloud che stai utilizzando deve essere stato abilitato per accedere ad AlloyDB.
  • Devi disporre di uno di questi ruoli IAM nel progetto Google Cloud che stai utilizzando:
    • roles/alloydb.admin (il ruolo IAM predefinito AlloyDB Admin)
    • roles/owner (il ruolo IAM di base Proprietario)
    • roles/editor (il ruolo IAM di base Editor)

    Se non disponi di nessuno di questi ruoli, contatta l'Amministratore organizzazione per richiedere l'accesso.

Configura la modalità di applicazione forzata SSL su un'istanza

Console

  1. Vai alla pagina Cluster.

    Vai a Cluster

  2. Fai clic su un cluster nella colonna Nome risorsa.
  3. Nella pagina Panoramica, vai alla sezione Istanze nel cluster e fai clic su Modifica istanza principale.
  4. Nel riquadro Modifica istanza principale, espandi Opzioni di configurazione avanzate.
  5. Attiva Consenti solo connessioni SSL. Per impostazione predefinita, questa opzione è abilitata.
  6. Fai clic su Aggiorna istanza.

gcloud

Per utilizzare gcloud CLI, puoi installare e inizializzare Google Cloud CLI oppure puoi utilizzare Cloud Shell.

Utilizza il comando gcloud alloydb instances update con l'argomento --ssl-mode=ENCRYPTED_ONLY per consentire solo connessioni al database criptate a un'istanza AlloyDB.

gcloud alloydb instances update INSTANCE_ID \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --ssl-mode=ENCRYPTED_ONLY

Sostituisci quanto segue:

  • INSTANCE_ID: l'ID dell'istanza che stai aggiornando.
  • REGION_ID: la regione in cui si trova l'istanza.
  • CLUSTER_ID: l'ID del cluster in cui si trova l'istanza.
  • PROJECT_ID: l'ID del progetto in cui si trova il cluster.

Per consentire connessioni al database non criptate a un'istanza, utilizza il comando gcloud alloydb instances update con l'argomento --ssl-mode=ALLOW_UNENCRYPTED_AND_ENCRYPTED.

gcloud alloydb instances update INSTANCE_ID \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --ssl-mode=ALLOW_UNENCRYPTED_AND_ENCRYPTED

Se il comando restituisce un messaggio di errore che include la frase invalid cluster state MAINTENANCE, significa che il cluster è in fase di manutenzione di routine. In questo modo, la riconfigurazione dell'istanza viene temporaneamente disattivata. Esegui di nuovo il comando dopo che il cluster è tornato allo stato READY. Per controllare lo stato del cluster, consulta Visualizza i dettagli del cluster.