ניהול אישורי SSL/TLS

בדף הזה מוסבר איך לנהל את אישורי רשות האישורים (CA) של השרת.

שימוש בחיבורים מוצפנים

מידע נוסף על השימוש בחיבורים מוצפנים ב-SQL Server

ניהול אישורי CA של שרת (CA לכל מופע)

בקטע הזה מוסבר איך לנהל אישורי CA של שרתים שנוצרים באופן פנימי על ידי Cloud SQL. זהו מצב ברירת המחדל של CA בשרת ב-Cloud SQL. בהיררכיית רשויות האישורים הזו, Cloud SQL יוצר CA של שרת לכל מכונה.

החלפת אישורי CA של השרת

אם קיבלתם הודעה על כך שתוקף האישורים שלכם עומד לפוג, או שאתם רוצים להתחיל בהחלפה, אתם צריכים לבצע את השלבים הבאים כדי להשלים את ההחלפה. לפני שמתחילים את הרוטציה, צריך שיהיה מופעל במופע אישור CA חדש של השרת. אם כבר נוצר CA חדש לשרת, אפשר לדלג על השלב הראשון בתהליך הבא.

  1. יוצרים CA חדש לשרת.
  2. מורידים את פרטי אישור ה-CA החדש של השרת.
  3. צריך לעדכן את הלקוחות כך שישתמשו בפרטי אישור ה-CA החדשים של השרת.
  4. משלימים את הרוטציה, שמעבירה את האישור הפעיל למשבצת 'הקודמת' ומעדכנת את האישור שנוסף לאחרונה כך שיהיה האישור הפעיל.

המסוף

מורידים את אישור ה-CA החדש של השרת, שמקודד כקובץ PEM, לסביבה המקומית:

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.
  5. לוחצים על ניהול אישורים כדי להרחיב אותו.
  6. בוחרים באפשרות החלפת אישור CA.

    אם אין אישורים שעומדים בדרישות, האפשרות rotate (סיבוב) לא זמינה. צריך ליצור אישור CA חדש של שרת.

  7. לוחצים על הורדת אישורים.

כדי לעדכן את כל הלקוחות של SQL Server כך שישתמשו במידע החדש, מעתיקים את הקובץ שהורד למחשבי המארחים של הלקוחות ומחליפים את הקובץ הקיים server-ca.pem.

אחרי שמעדכנים את הלקוחות, משלימים את הרוטציה:

  1. חוזרים לכרטיסייה אבטחה.
  2. לוחצים על ניהול אישורים כדי להרחיב אותו.
  3. בוחרים באפשרות החלפת אישור CA.
  4. מוודאים שהלקוחות מתחברים בצורה תקינה.

    5. אם יש לקוחות שלא מתחברים באמצעות האישור החדש שהוחלף, אפשר לבחור באפשרות Rollback CA certificate (החזרת אישור CA) כדי לחזור להגדרה הקודמת.

gcloud

  1. יוצרים אישור CA של שרת: 
    gcloud sql ssl server-ca-certs create \
--instance=INSTANCE
  2. מורידים את פרטי האישור לקובץ PEM מקומי: 
    gcloud sql ssl server-ca-certs list \
--format="value(cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/FILE_NAME.pem
  3. כדי לעדכן את כל הלקוחות כך שישתמשו במידע החדש, צריך להעתיק את הקובץ שהורדתם למחשבי המארחים של הלקוחות ולהחליף את קובצי ה-server-ca.pem הקיימים.
  4. אחרי שמעדכנים את הלקוחות, משלימים את הרוטציה: 
    gcloud sql ssl server-ca-certs rotate \
--instance=INSTANCE_NAME
  5. מוודאים שהלקוחות מתחברים בצורה תקינה.

    6. אם יש לקוחות שלא מתחברים באמצעות האישור החדש, אפשר לחזור להגדרה הקודמת.

REST v1

  1. מורידים את אישורי ה-CA של השרת:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/listServerCas

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. משלימים את הסבב:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/rotateServerCa

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

REST v1beta4

  1. מורידים את אישורי ה-CA של השרת:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/listServerCas

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. משלימים את הסבב:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/rotateServerCa

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

אם מופיעה השגיאה No upcoming/previous Server CA Certificate exists כשמנסים להחליף אישור, צריך לוודא שמריצים את הפקודה במופע שמשתמש בהיררכיית CA לכל מופע. אפשר לראות איזו היררכיית CA מוגדרת למופע Cloud SQL באמצעות הפקודה gcloud sql instances describe. מידע נוסף זמין במאמר בנושא צפייה בפרטי המופע.

ביטול פעולה של רוטציה של אישורים

אחרי שמבצעים רוטציה של אישורים, כל הלקוחות צריכים להשתמש באישור החדש כדי להתחבר למופע Cloud SQL. אם הלקוחות לא מעודכנים בצורה נכונה כדי להשתמש בפרטי האישור החדשים, הם לא יכולים להתחבר למופע באמצעות SSL/TLS. במקרה כזה, אפשר לחזור להגדרות הקודמות של האישור.

פעולת חזרה לגרסה קודמת מעבירה את האישור הפעיל למשבצת 'בקרוב' (ומחליפה כל אישור 'בקרוב'). האישור 'הקודם' הופך לאישור הפעיל, והגדרת האישור חוזרת למצב שבו הייתה לפני שהשלמתם את הרוטציה.

כדי לחזור להגדרת האישור הקודמת:

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.
  5. לוחצים על ניהול אישורים כדי להרחיב אותו.
  6. בוחרים באפשרות החזרת אישור CA.

    אם אין אישורים שעומדים בדרישות, האפשרות לביטול השינוי לא זמינה. אחרת, פעולת החזרה לגרסה הקודמת מסתיימת אחרי כמה שניות.

gcloud

gcloud sql ssl server-ca-certs rollback \
--instance=INSTANCE_NAME

REST v1

  1. מורידים את אישורי ה-CA של השרת:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/listServerCas

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. מעתיקים את השדה sha1Fingerprint של הגרסה שאליה רוצים לחזור.

    מחפשים את הגרסה עם הערך createTime שמופיע מיד לפני הגרסה עם הערך sha1Fingerprint שמוצג כ-activeVersion.

  3. החזרה למצב הקודם של הסבב:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/rotateServerCa

    תוכן בקשת JSON: 

    {
  "rotateServerCaContext": {"nextVersion": "sha1Fingerprint"}
}

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

REST v1beta4

  1. מורידים את אישורי ה-CA של השרת:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/listServerCas

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. מעתיקים את השדה sha1Fingerprint של הגרסה שאליה רוצים לחזור.

    מחפשים את הגרסה עם הערך createTime שמופיע מיד לפני הגרסה עם הערך sha1Fingerprint שמוצג כ-activeVersion.

  3. החזרה למצב הקודם של הסבב:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/rotateServerCa

    תוכן בקשת JSON: 

    {
  "rotateServerCaContext": {"nextVersion": "sha1Fingerprint"}
}

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

אם מופיעה שגיאה כשמנסים לבטל את השינוי של רוטציה של CA של אישור, עם ההודעה No upcoming/previous Server CA Certificate exists, צריך לוודא שמריצים את הפקודה במופע שמשתמש בהיררכיית CA לכל מופע. אפשר לראות איזו היררכיית CA מוגדרת למופע Cloud SQL באמצעות הפקודה gcloud sql instances describe. מידע נוסף זמין במאמר בנושא צפייה בפרטי המופע.

התחלת סבב

לא צריך לחכות לאימייל מ-Cloud SQL כדי להתחיל בהחלפה. אפשר להתחיל שיחה בכל שלב. כשמתחילים רוטציה, נוצר אישור חדש והוא מוצב במשבצת 'בקרוב'. אם יש כבר אישור במשבצת 'בקרוב' בזמן הבקשה, האישור הזה יימחק. יכול להיות רק אישור אחד שצפוי להתקבל.

כדי להתחיל סיבוב:

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.
  5. לוחצים על ניהול אישורים כדי להרחיב אותו.
  6. לוחצים על יצירת אישור CA חדש.
  7. בוחרים באפשרות החלפת אישור CA.

    אם אין אישורים שעומדים בדרישות, אפשרות הרוטציה לא תהיה זמינה.

  8. משלימים את הסבב כמו שמתואר במאמר בנושא החלפת אישורי CA של השרת.

gcloud

  1. מתחילים את הסבב: 
    gcloud sql ssl server-ca-certs create \
--instance=INSTANCE_NAME
  2. משלימים את הסבב כמו שמתואר במאמר בנושא החלפת אישורי CA של השרת.

REST v1

  1. לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/rotateServerCa

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. משלימים את הסבב כמו שמתואר במאמר בנושא החלפת אישורי CA של השרת.

REST v1beta4

  1. לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/rotateServerCa

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. משלימים את הסבב כמו שמתואר במאמר בנושא החלפת אישורי CA של השרת.

קבלת מידע על אישור CA של שרת

אתם יכולים לקבל מידע על אישור ה-CA של השרת, כמו מועד התפוגה שלו או רמת ההצפנה שהוא מספק.

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.

    בקטע ניהול אישורי CA של שרת, אפשר לראות את תאריך התפוגה של אישור ה-CA של השרת בטבלה.

    כדי לראות את סוג האישור, משתמשים בפקודה gcloud sql ssl server-ca-certs list --instance=INSTANCE_NAME.

gcloud

gcloud sql ssl server-ca-certs list \
--instance=INSTANCE_NAME

REST v1

כשמתארים את המופע, אפשר לראות פרטים על אישור ה-CA של השרת:

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫project-id: מזהה הפרויקט
  • ‫instance-id: מזהה המכונה

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id?fields=serverCaCert

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

REST v1beta4

כשמתארים את המופע, אפשר לראות פרטים על אישור ה-CA של השרת:

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫project-id: מזהה הפרויקט
  • ‫instance-id: מזהה המכונה

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id?fields=serverCaCert

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

צפייה בתוכן של אישורי CA

אפשר להשתמש ב-openssl storeutl כדי לראות את התוכן של אישורי CA.

כשמריצים את הפקודה sql ssl server-ca-certs list יכול להיות שיוצגו כמה אישורי CA מפעולות קודמות שקשורות להחלפה.

gcloud

  1. מריצים את הפקודה הבאה: 
    gcloud sql ssl server-ca-certs list \
  --instance=INSTANCE_NAME \
  --format='value(cert)' > temp_cert.pem

    מחליפים את INSTANCE_NAME בשם המכונה.

  2. משתמשים ב-openssl כדי לבדוק את התוכן של אישורי ה-CA.
    3. openssl storeutl -noout -text temp_cert.pem

הצגת התוכן של אישור שרת

אפשר להשתמש ב-nmap כדי להציג את התוכן של אישורי שרת. כדי להוריד ולהתקין את nmap, עוברים אל https://nmap.org/.

gcloud

כדי לראות את תוכן אישור השרת, מריצים את הפקודה הבאה:

nmap -sV -p 1433 --script ssl-cert INSTANCE_IP_ADDRESS -Pn

מחליפים את INSTANCE_IP_ADDRESS בכתובת ה-IP של המכונה.

הודעה על תפוגה של אישור SSL בשרת חיצוני

  • אם תוקף אישור ה-CA של השרת החיצוני עומד לפוג, צריך לעדכן את אישורי ה-SSL, כולל אישור ה-CA של השרת במופע המקומי. השלב הזה תלוי באופן הניהול של המופע המקומי. השלבים עשויים להיות שונים אם, לדוגמה, אתם משתמשים באישור CA של שרת RDS, באישור CA של שרת Cloud SQL או באישור CA של שרת כללי למסד נתונים.
  • אם תוקף אישור הלקוח עומד לפוג, צריך ליצור אישור ומפתח חדשים. ההגבלה הזו חלה גם על אישורי SSL בניהול Google Cloudוגם על אישורים בחתימה עצמית.
  • מעדכנים את מופע הייצוג של מקור Cloud SQL עם אישורי ה-SSL החדשים.

ניהול אישורי שרת (CA משותף)

בקטע הזה מוסבר איך לנהל אישורי שרת במופעים שמשתמשים ב-CA משותפים או ב-CA בניהול הלקוח.

כדי להשתמש ב-CA משותף במצב שרת CA עבור המופע, צריך לציין GOOGLE_MANAGED_CAS_CA בהגדרה serverCaMode (Cloud SQL Admin API) או בדגל --server-ca-mode (ה-CLI של gcloud) כשיוצרים או עורכים את המופע.

כדי להשתמש ב-CA בניהול הלקוח כמצב CA של השרת במופע, צריך לציין CUSTOMER_MANAGED_CAS_CA בהגדרה serverCaMode (Cloud SQL Admin API) או בדגל --server-ca-mode (ה-CLI של gcloud) כשיוצרים או עורכים את המופע, וצריך שיהיה מאגר CA ו-CA תקינים. מידע נוסף מופיע במאמר בנושא שימוש ב-CA בניהול הלקוח.

הפעלה או השבתה של רוטציה אוטומטית של אישורי שרת

מומלץ להפעיל רוטציה אוטומטית של אישורי שרת. כשהתכונה הזו מופעלת, Cloud SQL מבצע רוטציה אוטומטית של אישור השרת במהלך עדכון התחזוקה המתוזמן באופן קבוע או כשמבצעים תחזוקה בשירות עצמי עד 180 ימים לפני שתוקף האישור פג. רוטציה אוטומטית של אישורים עוזרת לכם להימנע מהפרעות בחיבור שנגרמות בגלל אישורים שתוקפם פג, ומבטלת את הצורך ברוטציה ידנית של האישורים.

אפשר להפעיל את הרוטציה האוטומטית של אישורי השרת כשיוצרים את המופע או כשעורכים את המופע הקיים.

בתהליך הבא מוסבר איך לערוך מופע קיים כדי להפעיל או להשבית את הרוטציה האוטומטית של אישורי השרת.

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. לוחצים על Edit.
  4. בקטע Customize your instance (התאמה אישית של המופע), מרחיבים את האפשרות Show configuration options (הצגת אפשרויות ההגדרה).
  5. לוחצים על Security כדי להרחיב את הקטע של הגדרות האבטחה.
  6. מבצעים אחת מהפעולות הבאות:
    • כדי להפעיל סיבוב אוטומטי של אישורי שרת, מסמנים את התיבה Rotate server certificates automatically.
    • כדי להשבית את הרוטציה האוטומטית של אישורי השרת, מבטלים את הסימון בתיבה Rotate server certificates automatically.
  7. לוחצים על Save.

gcloud

כדי לערוך את מצב הרוטציה של אישורי השרת עבור מופע, משתמשים בפקודה gcloud sql instances patch:

gcloud sql instances patch INSTANCE_NAME \
  --project=PROJECT_ID \
  --server-certificate-rotation-mode=SERVER_CERTIFICATE_ROTATION_MODE

מחליפים את הפרטים הבאים:

  • ‫INSTANCE_NAME: השם של מופע Cloud SQL שיש לו אישור שרת שאתם משנים
  • ‫PROJECT_ID: המזהה או מספר הפרויקט של פרויקט Google Cloud שמכיל את המופע
  • ‫SERVER_CERTIFICATE_ROTATION_MODE: מציינים NO_AUTOMATIC_ROTATION או AUTOMATIC_ROTATION_DURING_MAINTENANCE.

REST v1

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫PROJECT_ID: המזהה או מספר הפרויקט של הפרויקט ב- Google Cloud . הפרויקט הזה מכיל מופע Cloud SQL עם אישור שרת שאתם מנהלים.
  • ‫INSTANCE_NAME: השם של המכונה.

  • ‫SERVER_CERTIFICATE_ROTATION_MODE: מציינים NO_AUTOMATIC_ROTATION או AUTOMATIC_ROTATION_DURING_MAINTENANCE.

ה-method של ה-HTTP וכתובת ה-URL: 

PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME

תוכן בקשת JSON: 

{
  "kind": "sql#instance",
  "name": "INSTANCE_NAME",
  "project": "PROJECT_ID",
  "settings": {
    "ipConfiguration": {
      "serverCertificateRotationMode": "SERVER_CERTIFICATE_ROTATION_MODE"
    },
    "kind": "sql#settings"
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2026-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
כדי לראות איך בקשת ה-REST API הבסיסית מורכבת עבור המשימה הזו, אפשר לעיין בדף instances:patch ב-APIs Explorer.

REST v1beta4

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫PROJECT_ID: המזהה או מספר הפרויקט של הפרויקט ב- Google Cloud . הפרויקט הזה מכיל מופע Cloud SQL עם אישור שרת שאתם מנהלים.
  • ‫INSTANCE_NAME: השם של המכונה.

  • ‫SERVER_CERTIFICATE_ROTATION_MODE: מציינים NO_AUTOMATIC_ROTATION או AUTOMATIC_ROTATION_DURING_MAINTENANCE.

ה-method של ה-HTTP וכתובת ה-URL: 

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_NAME

תוכן בקשת JSON: 

{
  "kind": "sql#instance",
  "name": "INSTANCE_NAME",
  "project": "PROJECT_ID",
  "settings": {
    "ipConfiguration": {
      "serverCertificateRotationMode": "SERVER_CERTIFICATE_ROTATION_MODE"
    },
    "kind": "sql#settings"
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_NAME",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2026-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_NAME",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
כדי לראות איך בקשת ה-REST API הבסיסית מורכבת עבור המשימה הזו, אפשר לעיין בדף instances:patch ב-APIs Explorer.

סבב ידני של אישורי שרת

אם קיבלתם הודעה על כך שתוקף אישורי השרת שלכם עומד לפוג או שאתם רוצים להתחיל בהחלפה אבל לא הפעלתם החלפה אוטומטית של אישורי השרת, אתם צריכים לבצע את השלבים הבאים כדי להשלים את ההחלפה. לפני שמתחילים את הרוטציה, צריך ליצור אישור שרת חדש לרוטציה הקרובה. אם כבר נוצר אישור שרת חדש לרוטציה הקרובה, אפשר לדלג על השלב הראשון בתהליך הבא.

כדי לבצע רוטציה של אישור השרת במופע, פועלים לפי השלבים הבאים:

  1. אם אתם צריכים אישור שרת חדש, צרו אחד.

  2. אם הלקוחות שלכם כבר סומכים על חבילת האישורים האזורית העדכנית, השלב הזה הוא אופציונלי. אבל אם אתם צריכים לעדכן את הלקוחות בפרטי CA של השרת, אתם צריכים לבצע את הפעולות הבאות:

    1. מורידים את המידע העדכני על אישור ה-CA של השרת.
    2. מעדכנים את הלקוחות כדי להשתמש במידע העדכני ביותר על CA של השרת.

  3. כדי להשלים את הרוטציה, מעבירים את האישור הפעיל למשבצת הקודמת ומעדכנים את האישור החדש כך שיהיה האישור הפעיל.

המסוף

מורידים את פרטי אישור ה-CA של השרת, שמקודדים כקובץ PEM, לסביבה המקומית:

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.
  5. לוחצים על ניהול אישורים כדי להרחיב אותו.
  6. מוודאים שהאפשרות Rotate server certificate (החלפת אישור השרת) מופיעה כאפשרות זמינה, אבל לא בוחרים בה עדיין.

    אם אין אישורים שעומדים בדרישות, האפשרות rotate (סיבוב) לא זמינה. צריך ליצור אישור שרת חדש.

  7. לוחצים על הורדת אישורים.

כדי לעדכן את כל הלקוחות של SQL Server כך שישתמשו במידע החדש, מעתיקים את הקובץ שהורד למחשבי המארח של הלקוחות ומחליפים את הקובץ הקיים server-ca.pem.

אחרי שמעדכנים את הלקוחות, משלימים את הרוטציה:

  1. חוזרים לכרטיסייה אבטחה.
  2. לוחצים על ניהול אישורים כדי להרחיב אותו.
  3. בוחרים באפשרות החלפת אישור.
  4. בתיבת הדו-שיח Confirm certificate rotation (אישור החלפת אישורים), לוחצים על Rotate (החלפה).

  5. מוודאים שהלקוחות מתחברים בצורה תקינה.

    אם יש לקוחות שלא מתחברים באמצעות האישור החדש, אפשר לבחור באפשרות החזרת האישור כדי לחזור להגדרה הקודמת.

gcloud

  1. כדי ליצור אישור שרת, משתמשים בפקודה הבאה: 
    gcloud sql ssl server-certs create \
--instance=INSTANCE
    2. מחליפים את INSTANCE בשם המכונה.
  2. מוודאים שמשתמשים בחבילת האישורים העדכנית ביותר. אם לא משתמשים בחבילת ה-CA העדכנית, מריצים את הפקודה הבאה כדי להוריד את פרטי ה-CA העדכניים של השרת עבור המופע לקובץ PEM מקומי: 
    gcloud sql ssl server-certs list \
--format="value(ca_cert.cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/server-ca.pem

    אפשר גם להוריד את חבילות ה-CA מהטבלה חבילת אישורי CA אזוריים ובסיסיים בדף הזה.

    לאחר מכן מעדכנים את כל הלקוחות כך שישתמשו במידע חדש על אישור ה-CA של השרת. לשם כך, מעתיקים את הקובץ שהורדתם למחשבי המארחים של הלקוחות ומחליפים את הקבצים הקיימים server-ca.pem.

  3. אחרי שתעדכנו את כל הלקוחות (אם נדרשים עדכונים ללקוחות), תצטרכו להשלים את הרוטציה: 
    gcloud sql ssl server-certs rotate \
--instance=INSTANCE_NAME

  4. מוודאים שהלקוחות מתחברים בצורה תקינה.

    אם יש לקוחות שלא מתחברים באמצעות אישור השרת החדש, צריך לחזור להגדרה הקודמת.

REST v1

  1. יוצרים אישור שרת.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/addServerCertificate

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. אם אתם צריכים להוריד מידע על אישור CA של השרת, אתם יכולים להשתמש בפקודה הבאה.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/listServerCertificates

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  3. משלימים את הסבב.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/rotateServerCertificate

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

REST v1beta4

  1. יוצרים אישור שרת.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/addServerCertificate

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. אם אתם צריכים להוריד מידע על אישור CA של השרת, אתם יכולים להשתמש בפקודה הבאה.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/listServerCertificates

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  3. משלימים את הסבב.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/rotateServerCertificate

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

חזרה לגרסה קודמת של רוטציית אישורים

אחרי שמסיימים את הרוטציה של אישור השרת, כל הלקוחות צריכים להשתמש באישור החדש כדי להתחבר למופע Cloud SQL. אם הלקוחות לא מעודכנים בצורה נכונה כדי להשתמש בפרטי האישור החדשים, הם לא יכולים להתחבר למופע באמצעות SSL/TLS. במקרה כזה, אפשר לחזור להגדרות הקודמות של האישור.

פעולת חזרה אחורה מעבירה את האישור הפעיל למשבצת 'בקרוב', שמחליפה כל אישור 'בקרוב'. האישור 'הקודם' הופך לאישור הפעיל, והגדרת האישור חוזרת למצב הקודם שלה לפני שהשלמתם את הרוטציה.

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. לוחצים על הכרטיסייה אבטחה.
  5. לוחצים על ניהול אישורים כדי להרחיב אותו.
  6. בוחרים באפשרות Rollback server certificate (החזרה לאחור של אישור השרת).

    אם אין אישורים שעומדים בדרישות, האפשרות לביטול השינוי לא זמינה.

  7. בתיבת הדו-שיח Confirm certificate rollback (אישור החזרה לגרסה קודמת של האישור), לוחצים על Rollback (חזרה לגרסה קודמת).

    החזרה לגרסה הקודמת עשויה להימשך כמה שניות.

gcloud

gcloud sql ssl server-certs rollback \
--instance=INSTANCE_NAME

REST v1

  1. מציגים את רשימת אישורי השרת.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/listServerCertificates

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. מעתיקים את השדה sha1Fingerprint של הגרסה שאליה רוצים לחזור.

    מחפשים את הגרסה עם הערך createTime שקודם לערך sha1Fingerprint שמוצג כ-activeVersion.

  3. חזרה למצב הקודם של הסבב.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/rotateServerCertificate

    תוכן בקשת JSON: 

    {
  "rotateServerCertificateContext": {"nextVersion": "sha1Fingerprint"}
}

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

REST v1beta4

  1. מציגים את רשימת אישורי השרת.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    GET https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/listServerCertificates

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

  2. מעתיקים את השדה sha1Fingerprint של הגרסה שאליה רוצים לחזור.

    מחפשים את הגרסה עם הערך createTime שקודם לערך sha1Fingerprint שמוצג כ-activeVersion.

  3. חזרה למצב הקודם של הסבב.

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/rotateServerCertificate

    תוכן בקשת JSON: 

    {
  "rotateServerCertificateContext": {"nextVersion": "sha1Fingerprint"}
}

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

צפייה בתוכן של אישורי CA

אפשר להשתמש בכלי השירות openssl storeutl כדי לראות את התוכן של אישורי CA.

כשמריצים את הפקודה sql ssl server-certs list, תמיד מקבלים כמה אישורי CA בגלל שרשרת האמון. יכול להיות שתקבלו גם כמה אישורי CA מפעולות קודמות שקשורות להחלפה.

gcloud

  1. מריצים את הפקודה הבאה: 
    gcloud sql ssl server-certs list \
  --instance=INSTANCE_NAME \
  --format='value(ca_cert.cert)' > temp_cert.pem

    מחליפים את INSTANCE_NAME בשם המכונה.

  2. משתמשים ב-openssl כדי לבדוק את התוכן של אישורי ה-CA.
    3. openssl storeutl -noout -text temp_cert.pem

הורדת חבילות של אישורי CA בסיסיים ואזוריים עבור CA משותף

אם אתם משתמשים בהגדרת CA משותפת שמנוהלת על ידי Google, אתם יכולים להוריד את חבילות אישורי ה-CA הבסיסיים והאזוריים מהטבלה הבאה.

חבילות האישורים האלה לא חלות על מקרים שבהם נעשה שימוש באפשרויות של CA לכל מופע או בניהול הלקוח.

שם האזור מיקום חבילת אישורים
גלובלי
CA לכל האזורים כל המיקומים global.pem
אסיה
asia-east1 טייוואן asia-east1.pem
asia-east2 הונג קונג asia-east2.pem
asia-northeast1 טוקיו asia-northeast1.pem
asia-northeast2 אוסקה asia-northeast2.pem
asia-northeast3 סיאול asia-northeast3.pem
asia-south1 מומבאי asia-south1.pem
asia-south2 דלהי asia-south2.pem
asia-southeast1 סינגפור asia-southeast1.pem
asia-southeast2 ג'קארטה asia-southeast2.pem
אפריקה
africa-south1 יוהנסבורג africa-south1.pem
אוסטרליה
australia-southeast1 סידני australia-southeast1.pem
australia-southeast2 מלבורן australia-southeast2.pem
אירופה
europe-central2 ורשה europe-central2.pem
europe-north1 פינלנד europe-north1.pem
europe-north2 שטוקהולם europe-north2.pem
europe-southwest1 מדריד europe-southwest1.pem
europe-west1 בלגיה europe-west1.pem
europe-west2 לונדון europe-west2.pem
europe-west3 פרנקפורט europe-west3.pem
europe-west4 הולנד europe-west4.pem
europe-west6 ציריך europe-west6.pem
europe-west8 מילאנו europe-west8.pem
europe-west9 פריז europe-west9.pem
europe-west10 ברלין europe-west10.pem
europe-west12 טורינו europe-west12.pem
המזרח התיכון
me-central1 דוחה me-central1.pem
me-central2 דמאם me-central2.pem
me-west1 תל אביב me-west1.pem
צפון אמריקה
northamerica-northeast1 מונטריאול northamerica-northeast1.pem
northamerica-northeast2 טורונטו northamerica-northeast2.pem
northamerica-south1 מקסיקו northamerica-south1.pem
us-central1 איווה us-central1.pem
us-east1 דרום קרוליינה us-east1.pem
us-east4 צפון וירג'יניה us-east4.pem
us-east5 קולומבוס us-east5.pem
us-south1 דאלאס us-south1.pem
us-west1 אורגון us-west1.pem
us-west2 לוס-אנג׳לס us-west2.pem
us-west3 סולט לייק סיטי us-west3.pem
us-west4 לאס וגאס us-west4.pem
דרום אמריקה
southamerica-east1 סאו פאולו southamerica-east1.pem
southamerica-west1 סנטיאגו southamerica-west1.pem

איפוס ההגדרה של SSL/TLS

אפשר לאפס לגמרי את ההגדרה של SSL/TLS.

המסוף

  1. נכנסים לדף Cloud SQL Instances במסוף Google Cloud .

    כניסה לדף Cloud SQL Instances

  2. כדי לפתוח את הדף סקירה כללית של מכונה, לוחצים על שם המכונה.
  3. בתפריט הניווט של SQL, בוחרים באפשרות Connections (קישורים).
  4. עוברים אל הקטע איפוס הגדרת SSL.
  5. לוחצים על איפוס הגדרת SSL.

gcloud

  1. מרעננים את האישור:

    gcloud sql instances reset-ssl-config INSTANCE_NAME

REST v1beta4

  1. מרעננים את האישור:

    לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

    • ‫project-id: מזהה הפרויקט
    • ‫instance-id: מזהה המכונה

    ה-method של ה-HTTP וכתובת ה-URL: 

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/resetSslConfig

    כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

    אתם אמורים לקבל תגובת JSON שדומה לזו:

המאמרים הבאים