Configurazione dei certificati SSL/TLS

Questa pagina descrive come applicare la crittografia SSL/TLS per un'istanza per garantire che tutte le connessioni siano criptate. Puoi anche scoprire di più su come Cloud SQL utilizza i certificati SSL/TLS con gestione indipendente per connettersi alle istanze Cloud SQL in modo sicuro.

Panoramica

Cloud SQL crea automaticamente un certificato server quando crei l'istanza. Ti consigliamo di applicare SSL/TLS per tutte le connessioni.

Per convalidare il certificato client e l'identità del server utilizzando i certificati SSL/TLS, devi creare un certificato client e scaricare i certificati sulla macchina host del client MySQL.

Per MySQL 8.0 e versioni successive, se modifichi la modalità SSL in modo da richiedere o meno certificati client attendibili (TRUSTED_CLIENT_CERTIFICATE_REQUIRED), Cloud SQL riavvia l'istanza. Altre modifiche alla modalità SSL in MySQL 8.0 e versioni successive e tutte le modifiche alla modalità SSL nelle versioni precedenti di MySQL non richiedono il riavvio. Potrebbe essere necessario un riavvio anche dopo aver modificato i certificati SSL/TLS. Quando è necessario un riavvio, Cloud SQL riavvia automaticamente l'istanza. Il riavvio di un'istanza può comportare tempi di inattività.

Applica crittografia SSL/TLS

Puoi utilizzare l'impostazione Modalità SSL per applicare la crittografia SSL nei seguenti modi:

  • Consenti connessioni non SSL/non TLS e SSL/TLS. Il certificato client non viene verificato per le connessioni SSL/TLS. Questa è l'impostazione predefinita.

  • Consenti solo connessioni criptate con SSL/TLS. Il certificato client non viene verificato per le connessioni SSL.

  • Consenti solo connessioni criptate con SSL/TLS e con certificati client validi.

Se selezioni Consenti connessioni non SSL/non TLS e SSL/TLS per la tua istanza Cloud SQL, vengono accettate le connessioni SSL/TLS, nonché le connessioni non criptate e non sicure. Se non richiedi SSL/TLS per tutte le connessioni, sono comunque consentite connessioni non criptate. Per questo motivo, se accedi alla tua istanza utilizzando un IP pubblico, ti consigliamo vivamente di applicare SSL per tutte le connessioni.

Puoi connetterti direttamente alle istanze utilizzando i certificati SSL/TLS oppure puoi connetterti utilizzando il Cloud SQL Auth Proxy o i connettori Cloud SQL. Se ti connetti utilizzando Cloud SQL Auth Proxy o i connettori Cloud SQL, le connessioni vengono criptate automaticamente con SSL/TLS. Con Cloud SQL Auth Proxy e i connettori Cloud SQL, le identità client e server vengono verificate automaticamente indipendentemente dall'impostazione della modalità SSL.

Per attivare l'obbligo di SSL/TLS:

Console

  1. Nella console Google Cloud , vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Per aprire la pagina Panoramica di un'istanza, fai clic sul nome dell'istanza.
  3. Fai clic su Connessioni dal menu di navigazione SQL.
  4. Seleziona la scheda Sicurezza.
  5. Seleziona una delle seguenti opzioni:
    • Consenti il traffico di rete non criptato (opzione non consigliata)
    • Consenti solo connessioni SSL. Questa opzione consente solo connessioni che utilizzano la crittografia SSL/TLS. I certificati non vengono convalidati.
    • Richiedi certificati client attendibili. Questa opzione consente solo connessioni da client che utilizzano un certificato client valido e sono criptati con SSL.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE

Sostituisci SSL_ENFORCEMENT_MODE con una delle seguenti opzioni:

  • ALLOW_UNENCRYPTED_AND_ENCRYPTED consente connessioni non SSL/non TLS e SSL/TLS. Per le connessioni SSL, il certificato client non viene verificato. Questo è il valore predefinito.
  • ENCRYPTED_ONLY consente solo connessioni criptate con SSL/TLS. Il certificato client non viene verificato per le connessioni SSL.
  • TRUSTED_CLIENT_CERTIFICATE_REQUIRED consente solo connessioni criptate con SSL/TLS e con certificati client validi.
    • Per saperne di più, consulta Impostazioni di Cloud SQL per MySQL.

Terraform

Per applicare la crittografia SSL/TLS, utilizza una risorsa Terraform: 

resource "google_sql_database_instance" "mysql_instance" {
  name             = "mysql-instance"
  region           = "asia-northeast1"
  database_version = "MYSQL_8_0"
  settings {
    tier = "db-f1-micro"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Applica le modifiche

Per applicare la configurazione Terraform in un progetto Google Cloud , completa i passaggi descritti nelle sezioni seguenti.

Prepara Cloud Shell

  1. Avvia Cloud Shell.

  2. Imposta il progetto Google Cloud predefinito in cui vuoi applicare le configurazioni Terraform.

    Devi eseguire questo comando una sola volta per progetto e puoi eseguirlo in qualsiasi directory.

    export GOOGLE_CLOUD_PROJECT=PROJECT_ID

    Le variabili di ambiente vengono sostituite se imposti valori espliciti nel file di configurazione Terraform.

Prepara la directory

Ogni file di configurazione Terraform deve avere la propria directory (chiamata anche modulo principale).

  1. In Cloud Shell, crea una directory e un nuovo file al suo interno. Il nome file deve avere l'estensione .tf, ad esempio main.tf. In questo tutorial, il file è denominato main.tf. 
    mkdir DIRECTORY && cd DIRECTORY && touch main.tf

  2. Se stai seguendo un tutorial, puoi copiare il codice campione in ogni sezione o passaggio.

    Copia il codice campione nel file main.tf appena creato.

    Facoltativamente, copia il codice da GitHub. Questa opzione è consigliata quando lo snippet Terraform fa parte di una soluzione end-to-end.

  3. Esamina e modifica i parametri di esempio da applicare al tuo ambiente.
  4. Salva le modifiche.
  5. Inizializza Terraform. Devi eseguire questa operazione una sola volta per directory. 
    terraform init

    Facoltativamente, per utilizzare l'ultima versione del provider Google, includi l'opzione -upgrade: 

    terraform init -upgrade

Applica le modifiche

  1. Esamina la configurazione e verifica che le risorse che Terraform creerà o aggiornerà corrispondano alle tue aspettative: 
    terraform plan

    Apporta le correzioni necessarie alla configurazione.

  2. Applica la configurazione Terraform eseguendo il comando seguente e inserendo yes al prompt: 
    terraform apply

    Attendi che Terraform visualizzi il messaggio "Apply complete!".

  3. Apri il tuo progetto Google Cloud per visualizzare i risultati. Nella console Google Cloud , vai alle risorse nell'interfaccia utente per assicurarti che Terraform le abbia create o aggiornate.

Elimina le modifiche

Per eliminare le modifiche:

  1. Per disattivare la protezione dalle eliminazioni, nel file di configurazione Terraform imposta l'argomento deletion_protection su false. 
    deletion_protection =  "false"
  2. Applica la configurazione Terraform aggiornata eseguendo il comando seguente e inserendo yes al prompt: 
    terraform apply

  1. Rimuovi le risorse applicate in precedenza con la configurazione Terraform eseguendo il seguente comando e inserendo yes al prompt:

    terraform destroy

REST v1

  1. Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • PROJECT_ID: l'ID progetto
    • SSL_ENFORCEMENT_MODE: utilizza una delle seguenti opzioni:
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED: consente connessioni non SSL/non TLS e SSL/TLS. Per le connessioni SSL, il certificato client non viene verificato. Questo è il valore predefinito.
      • ENCRYPTED_ONLY: consente solo connessioni criptate con SSL/TLS.
      • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: consente solo connessioni criptate con SSL/TLS e con certificati client validi.
    • INSTANCE_ID: l'ID istanza

    Metodo HTTP e URL: 

    PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

    Corpo JSON della richiesta: 

    
{
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

REST v1beta4

  1. Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • PROJECT_ID: l'ID progetto
    • SSL_ENFORCEMENT_MODE: utilizza una delle seguenti opzioni:
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED: consente connessioni non SSL/non TLS e SSL/TLS. Per le connessioni SSL, il certificato client non viene verificato. Questo è il valore predefinito.
      • ENCRYPTED_ONLY: consente solo connessioni criptate con SSL/TLS.
      • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: consente solo connessioni criptate con SSL/TLS e con certificati client validi.
    • INSTANCE_ID: l'ID istanza

    Metodo HTTP e URL: 

    PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

    Corpo JSON della richiesta: 

    {
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

Certificati server

Cloud SQL crea automaticamente un certificato server quando crei l'istanza. Finché il certificato server è valido, non è necessario gestirlo attivamente. Cloud SQL ti consente di scegliere tra tre diverse gerarchie di autorità di certificazione (CA). La gerarchia di CA selezionata diventa la modalità CA server dell'istanza. Se utilizzi la CA per istanza come modalità CA server per la tua istanza, i certificati server hanno una data di scadenza di 10 anni. Se utilizzi una CA condivisa o una CA gestita dal cliente come modalità CA del server della tua istanza, la data di scadenza del certificato del server è di 1 anno*. Dopo la data di scadenza, il certificato del server non è più valido e i client non possono più stabilire una connessione sicura alla tua istanza utilizzando quel certificato. Se un client è configurato per verificare la CA o il nome host nel certificato del server, le connessioni di quel client alle istanze Cloud SQL con certificati del server scaduti non riusciranno. Per evitare interruzioni delle connessioni client, attiva la rotazione automatica del certificato del server o ruota manualmente il certificato del server prima della scadenza. Riceverai notifiche periodiche che ti informano che il certificato del server sta per scadere. Le notifiche vengono inviate i seguenti numeri di giorni prima della data di scadenza: 90, 30, 10, 2 e 1.

* Per la CA gestita dal cliente, la data di scadenza del certificato del server potrebbe essere inferiore a 1 anno se hai selezionato una data di scadenza più breve per il periodo di validità della CA.

Elencare e creare certificati server

Per visualizzare i dettagli dei certificati del server nella console Google Cloud , vai alla pagina Connessioni e fai clic sulla scheda Sicurezza.

Nella tabella dei certificati puoi visualizzare i seguenti dettagli:

  • Stato del certificato:Imminente, Attivo o Precedente
    • In arrivo: il certificato è disponibile per l'utilizzo, ma non è attivo. Per attivare il certificato, utilizza la procedura di rotazione.
    • Attivo: il certificato è in uso.
    • Precedente: il certificato non è più in uso. Per attivare il certificato, utilizza la procedura di rollback.
  • Data di creazione: la data e l'ora di creazione del certificato
  • Scadenza: la data e l'ora di scadenza del certificato

Prima della scadenza del certificato attivo, puoi creare manualmente un nuovo certificato.

Console

Per le istanze che utilizzano certificati server autofirmati (CA per istanza):

  1. Nella console Google Cloud , vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Per aprire la pagina Panoramica di un'istanza, fai clic sul nome dell'istanza.
  3. Fai clic su Connessioni dal menu di navigazione SQL.
  4. Seleziona la scheda Sicurezza.
  5. Vai alla sezione Gestisci i certificati CA del server.
  6. Fai clic per espandere Gestisci certificati.
  7. Fai clic su Crea nuovo certificato CA.

Il nuovo certificato CA del server viene visualizzato nello slot In arrivo. Se vuoi eseguire immediatamente la rotazione al nuovo certificato CA del server, procedi con la rotazione del certificato CA del server aggiornando i client e completando la rotazione.

Per le istanze che utilizzano certificati server emessi da una CA condivisa:

  1. Nella console Google Cloud , vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Per aprire la pagina Panoramica di un'istanza, fai clic sul nome dell'istanza.
  3. Fai clic su Connessioni dal menu di navigazione SQL.
  4. Seleziona la scheda Sicurezza.
  5. Vai alla sezione Gestisci certificati server.
  6. Fai clic per espandere Gestisci certificati.
  7. Fai clic su Crea certificato server.

Il nuovo certificato server viene visualizzato nello slot In arrivo. Se vuoi utilizzare immediatamente il nuovo certificato del server, procedi con la rotazione del certificato del server aggiornando i client e completando la rotazione.

gcloud

Per le istanze che utilizzano certificati server autofirmati (CA per istanza):

  1. Per ottenere informazioni sul certificato del server, utilizza il comando sql ssl server-ca-certs list: 
    gcloud sql ssl server-ca-certs list \
--instance=INSTANCE_NAME
  2. Per creare un certificato server, utilizza il comando sql ssl server-ca-certs create: 
    gcloud sql ssl server-ca-certs create \
--instance=INSTANCE_NAME
  3. Scarica le informazioni del certificato in un file PEM locale: 
    gcloud sql ssl server-ca-certs list \
--format="value(cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/FILE_NAME.pem
  4. Aggiorna tutti i client in modo che utilizzino le nuove informazioni copiando il file scaricato nelle macchine host client, sostituendo i file server-ca.pem esistenti.

Per le istanze che utilizzano certificati server emessi da una CA condivisa:

  1. Per ottenere informazioni sul certificato del server, utilizza il comando sql ssl server-certs list: 
    gcloud sql ssl server-certs list \
   --instance=INSTANCE_NAME
  2. Per creare un certificato server, utilizza il comando sql ssl server-certs create: 
    gcloud sql ssl server-certs create \
   --instance=INSTANCE_NAME
  3. Scarica le informazioni del certificato in un file PEM locale: 
    gcloud sql ssl server-certs list \
   --format="value(ca_cert.cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem
  4. Aggiorna tutti i client in modo che utilizzino le nuove informazioni copiando il file scaricato nelle macchine host client, sostituendo i file server-ca.pem esistenti.

Terraform

Per fornire le informazioni sul certificato del server come output, utilizza un'origine dati Terraform:

  1. Aggiungi quanto segue al file di configurazione Terraform: 
       data "google_sql_ca_certs" "ca_certs" {
     instance = google_sql_database_instance.default.name
   }

   locals {
     furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
     latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
   }

   output "db_latest_ca_cert" {
     description = "Latest CA certificate used by the primary database server"
     value       = local.latest_ca_cert
     sensitive   = true
   }
  2. Per creare il file server-ca.pem, esegui questo comando: 
       terraform output db_latest_ca_cert > server-ca.pem

Certificati client

Crea un nuovo certificato client

Puoi creare fino a 10 certificati client per ogni istanza. Per creare certificati client, devi disporre del ruolo IAM Cloud SQL Admin.

Ecco alcune informazioni importanti sui certificati client:

  • Se perdi la chiave privata di un certificato, devi crearne una nuova. La chiave privata non può essere recuperata.
  • Per impostazione predefinita, il certificato client ha una data di scadenza di 10 anni.
  • Non ricevi notifiche quando i certificati client sono prossimi alla scadenza.
  • Per creare un certificato SSL, l'istanza Cloud SQL deve essere in stato di esecuzione.

Console

  1. Nella console Google Cloud , vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Per aprire la pagina Panoramica di un'istanza, fai clic sul nome dell'istanza.
  3. Fai clic su Connessioni dal menu di navigazione SQL.
  4. Seleziona la scheda Sicurezza.
  5. Fai clic su Crea certificato client.
  6. Nella finestra di dialogo Crea un certificato client, aggiungi un nome univoco.
  7. Fai clic su Crea.
  8. Nella prima sezione della finestra di dialogo Nuovo certificato SSL creato, fai clic su Scarica client-key.pem per scaricare la chiave privata in un file denominato client-key.pem.
  9. Nella seconda sezione, fai clic su Scarica client-cert.pem per scaricare il certificato client in un file denominato client-cert.pem.
  10. Nella terza sezione, fai clic su Scarica server-ca.pem per scaricare il certificato del server in un file denominato server-ca.pem.
  11. Fai clic su Chiudi.

gcloud

  1. Crea un certificato client utilizzando il comando ssl client-certs create:

    gcloud sql ssl client-certs create CERT_NAME client-key.pem \
--instance=INSTANCE_NAME

  2. Recupera la chiave pubblica per il certificato appena creato e copiala nel file client-cert.pem con il comando ssl client-certs describe:

    gcloud sql ssl client-certs describe CERT_NAME \
--instance=INSTANCE_NAME \
--format="value(cert)" > client-cert.pem

  3. Copia il certificato del server nel file server-ca.pem utilizzando il comando instances describe:

    gcloud sql instances describe INSTANCE_NAME \
--format="value(serverCaCert.cert)" > server-ca.pem

Terraform

Per creare un certificato client, utilizza una risorsa Terraform: 

resource "google_sql_ssl_cert" "mysql_client_cert" {
  common_name = "mysql_common_name"
  instance    = google_sql_database_instance.mysql_instance.name
}

REST v1

  1. Crea un certificato SSL/TLS, assegnandogli un nome univoco per questa istanza:

    Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • project-id: l'ID progetto
    • instance-id: l'ID istanza
    • client-cert-name: il nome del certificato client

    Metodo HTTP e URL: 

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

    Corpo JSON della richiesta: 

    {
  "commonName" : "client-cert-name"
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

  2. Copia tutto il contenuto del certificato tra virgolette (ma non le virgolette stesse) dalla risposta nei file locali come segue:
    1. Copia serverCaCert.cert in server-ca.pem.
    2. Copia clientCert.cert in client-cert.pem.
    3. Copia certPrivateKey in client-key.pem.

  3. Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • project-id: l'ID progetto
    • instance-id: l'ID istanza
    • activation-policy: la policy di attivazione è ALWAYS o NEVER

    Metodo HTTP e URL: 

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/restart

    Corpo JSON della richiesta: 

    {
  "settings": {
    "activationPolicy": "activation-policy"
  }
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

    {
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "RESTART",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

REST v1beta4

  1. Crea un certificato SSL/TLS, assegnandogli un nome univoco per questa istanza:

    Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • project-id: l'ID progetto
    • instance-id: l'ID istanza
    • client-cert-name: il nome del certificato client

    Metodo HTTP e URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

    Corpo JSON della richiesta: 

    {
  "commonName" : "client-cert-name"
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

  2. Copia tutto il contenuto del certificato tra virgolette (ma non le virgolette stesse) dalla risposta nei file locali come segue:
    1. Copia serverCaCert.cert in server-ca.pem.
    2. Copia clientCert.cert in client-cert.pem.
    3. Copia certPrivateKey in client-key.pem.

  3. Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

    • project-id: l'ID progetto
    • instance-id: l'ID istanza
    • activation-policy: la policy di attivazione è ALWAYS o NEVER

    Metodo HTTP e URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/restart

    Corpo JSON della richiesta: 

    {
  "settings": {
    "activationPolicy": "activation-policy"
  }
}

    Per inviare la richiesta, espandi una di queste opzioni:

    Dovresti ricevere una risposta JSON simile alla seguente:

    {
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "RESTART",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

A questo punto, hai:

  • Un certificato del server salvato come server-ca.pem.
  • Un certificato di chiave pubblica client salvato come client-cert.pem.
  • Una chiave privata del client salvata come client-key.pem.

A seconda dello strumento utilizzato per la connessione, questi tre elementi vengono specificati in modi diversi. Ad esempio, quando ti connetti utilizzando il client MySQL, questi tre file sono i valori rispettivamente per le opzioni di comando --ssl-ca, --ssl-cert e --ssl-key. Per una connessione di esempio che utilizza il client MySQL e SSL/TLS, consulta Connessione con il client MySQL.

Verifica dell'identità del server

La verifica dell'identità del server dipende dalla configurazione della gerarchia delle autorità di certificazione (CA) del server della tua istanza Cloud SQL.

Per le istanze che utilizzano una CA per istanza, la verifica della CA verifica anche l'identità del server, poiché ogni istanza ha una CA univoca. Per le istanze che utilizzano una CA condivisa, la verifica del nome host insieme alla verifica della CA è obbligatoria per la verifica dell'identità del server, poiché le CA del server sono condivise tra le istanze.

Se hai una CA per istanza, puoi eseguire la verifica dell'identità del server basata sul nome DNS solo per le istanze configurate con Private Service Connect. Se hai una CA condivisa, puoi eseguire la verifica dell'identità del server basata sul nome DNS per tutti i tipi di istanze, ovvero Private Service Connect, accesso privato ai servizi e istanze con IP pubblico.

Se utilizzi una CA gestita dal cliente, puoi verificare la catena di attendibilità della CA ed eseguire la verifica dell'identità del server basata sul nome DNS per qualsiasi tipo di istanza che utilizza una CA gestita dal cliente per il proprio serverCAmode.

Quando selezioni l'opzione CA gestita dal cliente per la tua istanza, puoi inserire nomi DNS personalizzati nel campo SAN del certificato del server. Per saperne di più, consulta Modifica un campo SAN personalizzato.

Puoi visualizzare la gerarchia delle CA configurata per un'istanza Cloud SQL visualizzando i dettagli dell'istanza. Per saperne di più, consulta Visualizza le informazioni sull'istanza.

Abilita la verifica dell'identità del server

Se selezioni la CA condivisa come modalità CA server della tua istanza Cloud SQL o se configuri nomi DNS personalizzati utilizzando valori SAN personalizzati, ti consigliamo di abilitare anche la verifica dell'identità del server.

Le istanze che utilizzano la CA condivisa come modalità CA del server contengono il nome DNS dell'istanza nel campo Nome alternativo del soggetto (SAN) del certificato server. Puoi ottenere questo nome DNS utilizzando l'API di ricerca delle istanze e la risposta come nome host per la verifica dell'identità del server. Devi configurare la risoluzione DNS per il nome DNS.

Per attivare la verifica dell'identità del server per un'istanza che utilizza una CA condivisa, completa i seguenti passaggi:

  1. Recupera il nome DNS.

    1. Per visualizzare le informazioni di riepilogo su un'istanza Cloud SQL, incluso il nome DNS dell'istanza, utilizza il comando gcloud sql instances describe:

      gcloud sql instances describe INSTANCE_NAME \
  --project=PROJECT_ID

      Effettua le seguenti sostituzioni:

      • INSTANCE_NAME: il nome dell'istanza Cloud SQL
      • PROJECT_ID: l'ID o il numero di progetto del progetto Google Cloud che contiene l'istanza

    2. Nella risposta, cerca il campo dnsNames:. Questo campo può restituire più nomi DNS, con i seguenti formati:

      Configurazione di rete Formato del nome DNS Nome del livello
      Private Service Connect o Indirizzo IP pubblico INSTANCE_UID.PROJECT_DNS_LABEL.REGION_NAME.sql.goog.

      Esempio:
      1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.       		Istanza
      Accesso privato ai servizi INSTANCE_UID.PROJECT_DNS_LABEL.REGION_NAME.sql-psa.goog.

      Esempio:
      1a23b4cd5e67.1a2b345c6d27.us-central1.sql-psa.goog.       		Istanza

  2. Crea il record DNS in una zona DNS. Se ti connetti privatamente, crea il record DNS in una zona DNS privata nella rete virtual private cloud (VPC) corrispondente.

  3. Quando ti connetti all'istanza Cloud SQL per MySQL, configura il nome DNS come nome host. Quindi, attiva la verifica dell'identità del server nel client.

    Ad esempio, se utilizzi il client MySQL, specifica il flag --ssl-mode=VERIFY_IDENTITY. Altri driver client MySQL hanno flag di configurazione simili.

Passaggi successivi