כדי להגן על פרטי כניסה רגישים למסד הנתונים ועל פרטי חיבור – כמו שמות משתמשים, סיסמאות ושמות של חיבורים למכונות – ב-AlloyDB ל-PostgreSQL, אתם יכולים לאחסן ולנהל אותם כסודות ב-Secret Manager.
כדי ליצור תהליך פיתוח מאובטח, חשוב לטפל במידע הרגיש בצורה מאובטחת. ב-AlloyDB, אתם יכולים לאחסן את המידע הרגיש כסודות שאתם יוצרים ב-Secret Manager. סודות כוללים מפתחות API, סיסמאות, מידע רגיש ופרטי כניסה שאתם עשויים להשתמש בהם כדי לגשת למערכת סודית.
סקירה כללית
הכלי Secret Manager מספק נוחות ומשפר את האבטחה. אפשר גם להחיל ניהול גרסאות על הסודות ולשתף אותם עם הצוות. במאמר בקרת גישה באמצעות IAM מוסבר איך לשתף סודות עם הצוות.
שמות משתמש וסיסמאות
שימוש ב-Secret Manager לאחסון שמות המשתמשים והסיסמאות של חשבונות המשתמשים ב-AlloyDB כסודות, הוא דרך בטוחה ואמינה לנהל את המידע הרגיש שלכם.
קודם יוצרים משתמש ב-AlloyDB. לשם כך צריך לספק שם משתמש וסיסמה. מידע נוסף על יצירת משתמש ב-AlloyDB זמין במאמר ניהול משתמשי PostgreSQL באמצעות אימות מובנה.
אחרי שיוצרים את המשתמש, יוצרים סוד ב-Secret Manager כדי לאחסן את שם המשתמש והסיסמה, וכך למנוע אובדן של מידע רגיש. מידע נוסף על יצירה וגישה לסודות ב-Secret Manager זמין במאמר יצירת סוד.
תרחישים של רפליקות בין אזורים
אם אשכול AlloyDB ראשי נכשל, אתם יכולים לקדם אשכול משני. אחרי שהאשכול המשני הופך לאשכול הראשי, צריך לעדכן את שם החיבור של המכונה כדי לשקף את הקידום הזה. אם שם המכונה מאוחסן בסוד, צריך לעדכן את הסוד עם השם של האשכול הראשי החדש. מידע נוסף זמין במאמר עריכת סוד.
אחת הדרכים להשתמש ב-Secret Manager ליתירות כשל היא לאחסן את השם של האשכול הראשי ב-Secret, ואז לעטוף את ההפעלה של AlloyDB Auth Proxy בסקריפט שדוגם את Secret Manager.
כדי לזהות מתי הערך של שם החיבור למכונה מתעדכן, משתמשים ב-AlloyDB Auth Proxy ואז מפעילים אותו מחדש עם הערך החדש, באופן הבא:
#!/bin/bash
SECRET_ID="my-secret-id" # TODO(developer): replace this value
REFRESH_INTERVAL=5
PORT=5432 # TODO(developer): change this port as needed
# Get the latest version of the secret and start the proxy
INSTANCE=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
alloydb-auth-proxy $INSTANCE --port=$PORT &
PID=$!
# Every 5s, get the latest version of the secret. If it's changed, restart the
# proxy with the new value.
while true; do
sleep $REFRESH_INTERVAL
NEW=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
if [ "$INSTANCE" != "$NEW" ]; then
INSTANCE=$NEW
kill $PID
wait $PID
alloydb-auth-proxy $INSTANCE --port=$PORT &
PID=$!
fi
done
במאמר יצירה וגישה לסוד באמצעות Secret Manager מוסבר איך יוצרים סוד שמכיל את שם החיבור של המכונה של הרפליקה הראשית ואיך ניגשים אליו. מידע נוסף על השימוש ב-AlloyDB Auth Proxy זמין במאמר התחברות באמצעות AlloyDB Auth Proxy.
המאמרים הבאים
- כדי ללמוד איך לשלב את Secret Manager בסביבת הפיתוח, תוכלו לעיין בדוגמאות השונות שבדף כל דוגמאות הקוד של Secret Manager.