Configura el modo de aplicación forzosa de SSL en instancias de AlloyDB

Para proteger las conexiones de los clientes y controlar si se permite el tráfico sin encriptar o los certificados de cliente, puedes configurar el modo de aplicación forzosa de SSL en tus instancias de AlloyDB para PostgreSQL.

De forma predeterminada, una instancia de AlloyDB solo acepta conexiones que usan SSL.

AlloyDB usa SSL para establecer conexiones seguras, autenticadas y encriptadas con las instancias de AlloyDB. Además, un modo de aplicación forzosa de SSL configurable garantiza que todas las conexiones de bases de datos a una instancia usen la encriptación SSL.

En este documento, se explica cómo configurar el modo de aplicación forzosa de SSL en una instancia existente. Para obtener información sobre cómo configurar el modo de aplicación forzosa de SSL cuando creas una instancia, consulta Crea una instancia principal.

Antes de comenzar

  • El proyecto de Google Cloud que usas debe haber sido habilitado para acceder a AlloyDB.
  • Debes tener uno de estos roles de IAM en el proyecto de Google Cloud que estás usando:
    • roles/alloydb.admin (el rol de IAM predefinido de administrador de AlloyDB)
    • roles/owner (el rol básico de IAM de propietario)
    • roles/editor (el rol básico de IAM de editor)

    Si no tienes ninguno de estos roles, comunícate con el administrador de la organización para solicitar acceso.

Configura el modo de aplicación forzosa de SSL en una instancia

Console

  1. Ve a la página Clústeres.

    Ir a los clústeres

  2. Haz clic en un clúster en la columna Nombre del recurso.
  3. En la página Descripción general, ve a la sección Instancias en tu clúster y haz clic en Editar instancia principal.
  4. En el panel Editar instancia principal, expande Opciones de configuración avanzadas.
  5. Habilita Solo permitir conexiones SSL. De forma predeterminada, esta opción está habilitada.
  6. Haz clic en Actualizar instancia.

gcloud

Para usar gcloud CLI, puedes instalar e inicializar Google Cloud CLI, o bien puedes usar Cloud Shell.

Usa el comando gcloud alloydb instances update con el argumento --ssl-mode=ENCRYPTED_ONLY para permitir solo conexiones de base de datos encriptadas a una instancia de AlloyDB.

gcloud alloydb instances update INSTANCE_ID \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --ssl-mode=ENCRYPTED_ONLY

Reemplaza lo siguiente:

  • INSTANCE_ID: Es el ID de la instancia que estás actualizando.
  • REGION_ID: Es la región en la que se ubica la instancia.
  • CLUSTER_ID: Es el ID del clúster en el que se coloca la instancia.
  • PROJECT_ID: Es el ID del proyecto en el que se coloca el clúster.

Para permitir conexiones de bases de datos sin encriptar a una instancia, usa el comando gcloud alloydb instances update con el argumento --ssl-mode=ALLOW_UNENCRYPTED_AND_ENCRYPTED.

gcloud alloydb instances update INSTANCE_ID \
    --region=REGION_ID \
    --cluster=CLUSTER_ID \
    --project=PROJECT_ID \
    --ssl-mode=ALLOW_UNENCRYPTED_AND_ENCRYPTED

Si el comando devuelve un mensaje de error que incluye la frase invalid cluster state MAINTENANCE, significa que el clúster está en mantenimiento rutinario. Esto inhabilita temporalmente la reconfiguración de la instancia. Vuelve a ejecutar el comando después de que el clúster vuelva al estado READY. Para verificar el estado del clúster, consulta Visualiza los detalles del clúster.