Gérer les secrets dans AlloyDB pour PostgreSQL à l'aide de Secret Manager

Pour protéger les identifiants de base de données et les détails de connexion sensibles (tels que les noms d'utilisateur, les mots de passe et les noms de connexion d'instance) pour AlloyDB pour PostgreSQL, vous pouvez les stocker et les gérer en tant que secrets dans Secret Manager.

La gestion sécurisée de vos informations sensibles est un élément essentiel dans la définition d'un workflow de développement sécurisé. Pour AlloyDB, stockez vos informations sensibles sous forme de secrets que vous créez dans Secret Manager. Les secrets incluent les clés API, les mots de passe, les informations sensibles et les identifiants que vous êtes susceptible d'utiliser pour accéder à un système confidentiel.

Présentation

Secret Manager offre plus de commodité et améliore la sécurité. Vous pouvez également appliquer la gestion des versions à vos secrets et les partager au sein de votre équipe. Pour en savoir plus sur le partage de secrets avec votre équipe, consultez Contrôle des accès avec IAM.

votre nom d'utilisateur et votre mot de passe ;

L'utilisation de Secret Manager pour stocker les noms d'utilisateur et les mots de passe de vos comptes utilisateur AlloyDB en tant que secrets est un moyen sûr et fiable de gérer vos informations sensibles.

Commencez par créer un utilisateur dans AlloyDB. Pour cela, vous devez fournir un nom d'utilisateur et un mot de passe. Pour en savoir plus sur la création d'un utilisateur dans AlloyDB, consultez Gérer les utilisateurs PostgreSQL avec l'authentification intégrée.

Une fois l'utilisateur créé, créez un secret dans Secret Manager pour stocker le nom d'utilisateur et le mot de passe, ce qui évite la perte de vos informations sensibles. Pour en savoir plus sur la création de secrets dans Secret Manager et l'accès à ceux-ci, consultez Créer un secret.

Scénarios d'instances répliquées interrégionales

En cas de défaillance d'un cluster AlloyDB principal, vous pouvez promouvoir un cluster secondaire. Une fois que le cluster secondaire devient le cluster principal, vous devez mettre à jour le nom de connexion de l'instance pour refléter cette promotion. Si le nom de l'instance est stocké dans un secret, vous devez mettre à jour ce secret avec le nom du nouveau cluster principal. Pour en savoir plus, consultez la section Modifier un secret.

L'une des méthodes d'utilisation de Secret Manager dans le cadre d'un basculement consiste à stocker le nom de votre cluster principal dans un secret, puis à encapsuler l'appel du proxy d'authentification AlloyDB dans un script qui interroge Secret Manager.

Pour détecter le moment auquel la valeur du nom de connexion de l'instance est mise à jour, utilisez le proxy d'authentification AlloyDB, puis redémarrez-le avec la nouvelle valeur, comme suit :

#!/bin/bash

SECRET_ID="my-secret-id" # TODO(developer): replace this value
REFRESH_INTERVAL=5
PORT=5432                # TODO(developer): change this port as needed

# Get the latest version of the secret and start the proxy
INSTANCE=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
alloydb-auth-proxy $INSTANCE --port=$PORT &
PID=$!

# Every 5s, get the latest version of the secret. If it's changed, restart the
# proxy with the new value.
while true; do
    sleep $REFRESH_INTERVAL
    NEW=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
    if [ "$INSTANCE" != "$NEW" ]; then
        INSTANCE=$NEW
        kill $PID
        wait $PID
        alloydb-auth-proxy $INSTANCE --port=$PORT &
        PID=$!
    fi
done

Pour savoir comment créer un secret contenant le nom de connexion de l'instance répliquée devenue instance principale, et y accéder, consultez la section Créer un secret et y accéder à l'aide de Secret Manager. Pour en savoir plus sur l'utilisation du proxy d'authentification AlloyDB, consultez Se connecter à l'aide du proxy d'authentification AlloyDB.

Étapes suivantes