Configurar certificados SSL/TLS, Configurar certificados SSL/TLS, Configurar certificados SSL/TLS, Configurar certificados SSL/TLS

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Console

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Selecione uma das seguintes opções:
   • Permitir tráfego de rede não criptografado (não recomendado)
   • Permitir apenas conexões SSL. Esta opção permite apenas conexões que usam criptografia SSL/TLS. Certificados não são validados.
   • Exigir certificados de cliente confiáveis. Esta opção permite conexões apenas de clientes que utilizam um certificado de cliente válido e são criptografados por SSL. Se um cliente ou usuário se conectar usando a autenticação de banco de dados do IAM , ele deverá usar o Cloud SQL Auth Proxy ou os Cloud SQL Connectors para aplicar a verificação de identidade do cliente.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE
  

Substitua SSL_ENFORCEMENT_MODE por uma das seguintes opções:

• ALLOW_UNENCRYPTED_AND_ENCRYPTED permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Este é o valor padrão.
• ENCRYPTED_ONLY permite apenas conexões criptografadas com SSL/TLS. O certificado do cliente não é verificado para conexões SSL.
• TRUSTED_CLIENT_CERTIFICATE_REQUIRED permite apenas conexões criptografadas com SSL/TLS e com certificados de cliente válidos. Se um cliente ou usuário se conectar usando a autenticação de banco de dados do IAM , ele deverá usar o Cloud SQL Auth Proxy ou os Cloud SQL Connectors para aplicar a verificação de identidade do cliente.
Para obter mais informações, consulte Configurações do Cloud SQL para PostgreSQL .

Terraform

Para impor a criptografia SSL/TLS, use um recurso do Terraform :

resource "google_sql_database_instance" "postgres_instance" {
  name             = "postgres-instance"
  region           = "asia-northeast1"
  database_version = "POSTGRES_14"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Aplicar as alterações

Para aplicar sua configuração do Terraform em um Google Cloud projeto, conclua as etapas nas seções a seguir.

Preparar o Cloud Shell

1. Inicie o Cloud Shell .

2. Defina o padrão Google Cloud projeto onde você deseja aplicar suas configurações do Terraform.

   Você só precisa executar este comando uma vez por projeto e pode executá-lo em qualquer diretório.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Variáveis ​​de ambiente serão substituídas se você definir valores explícitos no arquivo de configuração do Terraform.

Preparar o diretório

Cada arquivo de configuração do Terraform deve ter seu próprio diretório (também chamado de módulo raiz ).

1. No Cloud Shell , crie um diretório e um novo arquivo dentro dele. O nome do arquivo deve ter a extensão .tf — por exemplo, main.tf Neste tutorial, o arquivo será chamado de main.tf

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Se estiver seguindo um tutorial, você pode copiar o código de exemplo em cada seção ou etapa.

   Copie o código de exemplo no main.tf recém-criado.

   Opcionalmente, copie o código do GitHub. Isso é recomendado quando o snippet do Terraform faz parte de uma solução completa.

3. Revise e modifique os parâmetros de amostra para aplicar ao seu ambiente.
4. Salve suas alterações.
5. Inicialize o Terraform. Você só precisa fazer isso uma vez por diretório.

   terraform init

   Opcionalmente, para usar a versão mais recente do provedor do Google, inclua a opção -upgrade :

   terraform init -upgrade

Aplicar as alterações

1. Revise a configuração e verifique se os recursos que o Terraform irá criar ou atualizar correspondem às suas expectativas:

   terraform plan

   Faça correções na configuração conforme necessário.

2. Aplique a configuração do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform apply

   Aguarde até que o Terraform exiba a mensagem "Aplicação concluída!".

3. Abra seu Google Cloud projeto para visualizar os resultados. No Google Cloud console, navegue até seus recursos na interface do usuário para garantir que o Terraform os criou ou atualizou.

Excluir as alterações

Para excluir suas alterações, faça o seguinte:

1. Para desabilitar a proteção contra exclusão, no seu arquivo de configuração do Terraform defina o argumento deletion_protection como false .

   deletion_protection =  "false"

2. Aplique a configuração atualizada do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform apply

3. Remova os recursos aplicados anteriormente com sua configuração do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform destroy

REST v1

1. Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • PROJECT_ID : O ID do projeto
   • SSL_ENFORCEMENT_MODE : Use uma das seguintes opções:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED : permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Este é o valor padrão.
     • ENCRYPTED_ONLY : permite somente conexões criptografadas com SSL/TLS.
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED : permite apenas conexões criptografadas com SSL/TLS e com certificados de cliente válidos. Se um cliente ou usuário se conectar usando a autenticação de banco de dados do IAM , ele deverá usar o Cloud SQL Auth Proxy ou os Cloud SQL Connectors para aplicar a verificação de identidade do cliente.
   • INSTANCE_ID : O ID da instância

   Método HTTP e URL:

   PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

   Corpo JSON da solicitação:

   
   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

REST v1beta4

1. Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • PROJECT_ID : O ID do projeto
   • SSL_ENFORCEMENT_MODE : Use uma das seguintes opções:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED : permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Este é o valor padrão.
     • ENCRYPTED_ONLY : permite somente conexões criptografadas com SSL/TLS.
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED : permite apenas conexões criptografadas com SSL/TLS e com certificados de cliente válidos. Se um cliente ou usuário se conectar usando a autenticação de banco de dados do IAM , ele deverá usar o Cloud SQL Auth Proxy ou os Cloud SQL Connectors para aplicar a verificação de identidade do cliente.
   • INSTANCE_ID : O ID da instância

   Método HTTP e URL:

   PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

   Corpo JSON da solicitação:

   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

Console

Para instâncias que usam certificados de servidor autoassinados (CA por instância) :

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Vá para a seção Gerenciar certificados de CA do servidor .
6. Clique para expandir Gerenciar certificados .
7. Clique em Criar novo certificado CA.

O novo certificado da CA do servidor aparece no slot "Próximos" . Se você quiser alternar para o novo certificado da CA do servidor imediatamente, prossiga com a rotação do certificado da CA do servidor atualizando seus clientes e concluindo a rotação.

Para instâncias que usam certificados de servidor emitidos por uma CA compartilhada :

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Vá para a seção Gerenciar certificados do servidor .
6. Clique para expandir Gerenciar certificados .
7. Clique em Criar certificado de servidor .

O novo certificado de servidor aparece no slot "Próximos" . Se você quiser usar o novo certificado de servidor imediatamente, prossiga com a rotação do certificado de servidor atualizando seus clientes e concluindo a rotação.

gcloud

Para instâncias que usam certificados de servidor autoassinados (CA por instância) :

1. Para obter informações sobre o certificado do servidor, use o comando sql ssl server-ca-certs list :

   gcloud sql ssl server-ca-certs list \
   --instance=INSTANCE_NAME

2. Para criar um certificado de servidor, use o comando sql ssl server-ca-certs create :

   gcloud sql ssl server-ca-certs create \
   --instance=INSTANCE_NAME

3. Baixe as informações do certificado para um arquivo PEM local:

   gcloud sql ssl server-ca-certs list \
   --format="value(cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem

4. Atualize todos os seus clientes para usar as novas informações copiando o arquivo baixado para as máquinas host do cliente, substituindo os arquivos server-ca.pem existentes.

Para instâncias que usam certificados de servidor emitidos por uma CA compartilhada :

1. Para obter informações sobre o certificado do servidor, use o comando sql ssl server-certs list :

   gcloud sql ssl server-certs list \
      --instance=INSTANCE_NAME

2. Para criar um certificado de servidor, use o comando sql ssl server-certs create :

   gcloud sql ssl server-certs create \
      --instance=INSTANCE_NAME

3. Baixe as informações do certificado para um arquivo PEM local:

   gcloud sql ssl server-certs list \
      --format="value(ca_cert.cert)" \
      --instance=INSTANCE_NAME > \
      FILE_PATH/FILE_NAME.pem

4. Atualize todos os seus clientes para usar as novas informações copiando o arquivo baixado para as máquinas host do cliente, substituindo os arquivos server-ca.pem existentes.

Terraform

Para fornecer informações de certificado de servidor como uma saída, use uma fonte de dados do Terraform :

1. Adicione o seguinte ao seu arquivo de configuração do Terraform:

      data "google_sql_ca_certs" "ca_certs" {
        instance = google_sql_database_instance.default.name
      }
   
      locals {
        furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
        latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
      }
   
      output "db_latest_ca_cert" {
        description = "Latest CA certificate used by the primary database server"
        value       = local.latest_ca_cert
        sensitive   = true
      }
      

2. Para criar o arquivo server-ca.pem , execute o seguinte comando:

      terraform output db_latest_ca_cert > server-ca.pem
      

Console

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Clique em Criar certificado de cliente .
6. Na caixa de diálogo Criar um certificado de cliente , adicione um nome exclusivo.
7. Clique em Criar .
8. Na primeira seção da caixa de diálogo Novo certificado SSL criado , clique em Baixar client-key.pem para baixar a chave privada para um arquivo chamado client-key.pem .
9. Na segunda seção, clique em Baixar client-cert.pem para baixar o certificado do cliente para um arquivo chamado client-cert.pem .
10. Na terceira seção, clique em Baixar server-ca.pem para baixar o certificado do servidor para um arquivo chamado server-ca.pem .
11. Clique em Fechar .

gcloud

1. Crie um certificado de cliente usando o comando ssl client-certs create :

   gcloud sql ssl client-certs create CERT_NAME client-key.pem \
   --instance=INSTANCE_NAME

2. Recupere a chave pública do certificado que você acabou de criar e copie-a para o arquivo client-cert.pem com o comando ssl client-certs describe :

   gcloud sql ssl client-certs describe CERT_NAME \
   --instance=INSTANCE_NAME \
   --format="value(cert)" > client-cert.pem

3. Copie o certificado do servidor para o arquivo server-ca.pem usando o comando instances describe :

   gcloud sql instances describe INSTANCE_NAME \
   --format="value(serverCaCert.cert)" > server-ca.pem

Terraform

Para criar um certificado de cliente, use um recurso do Terraform :

resource "google_sql_ssl_cert" "postgres_client_cert" {
  common_name = "postgres_common_name"
  instance    = google_sql_database_instance.postgres_instance.name
}

REST v1

1. Crie um certificado SSL/TLS, dando a ele um nome exclusivo para esta instância:

   Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • project-id : O ID do projeto
   • instance-id : O ID da instância
   • client-cert-name : O nome do certificado do cliente

   Método HTTP e URL:

   POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

   Corpo JSON da solicitação:

   {
     "commonName" : "client-cert-name"
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[email protected]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. Copie todo o conteúdo do certificado entre aspas (mas não as aspas em si) da resposta para os arquivos locais da seguinte maneira:
   1. Copie serverCaCert.cert para server-ca.pem .
   2. Copie clientCert.cert para client-cert.pem .
   3. Copie certPrivateKey para client-key.pem .

REST v1beta4

1. Crie um certificado SSL/TLS, dando a ele um nome exclusivo para esta instância:

   Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • project-id : O ID do projeto
   • instance-id : O ID da instância
   • client-cert-name : O nome do certificado do cliente

   Método HTTP e URL:

   POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

   Corpo JSON da solicitação:

   {
     "commonName" : "client-cert-name"
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[email protected]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. Copie todo o conteúdo do certificado entre aspas (mas não as aspas em si) da resposta para os arquivos locais da seguinte maneira:
   1. Copie serverCaCert.cert para server-ca.pem .
   2. Copie clientCert.cert para client-cert.pem .
   3. Copie certPrivateKey para client-key.pem .