設定安全資料傳輸層 (SSL)/傳輸層安全標準 (TLS) 憑證

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

控制台

1. 前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

   前往 Cloud SQL 執行個體

2. 如要開啟執行個體的「總覽」頁面，請按一下執行個體名稱。
3. 按一下 SQL 導覽選單中的「連結」。
4. 選取「安全性」分頁標籤。
5. 請選取下列其中一種做法：
   • 允許未加密的網路流量 (不建議)
   • 僅允許 SSL 連線。這個選項只允許使用 SSL/TLS 加密的連線。系統不會驗證憑證。
   • 要求使用信任的用戶端憑證。這個選項只允許使用有效用戶端憑證並經過 SSL 加密的用戶端連線。如果用戶端或使用者使用 IAM 資料庫驗證連線，則必須使用 Cloud SQL Auth Proxy 或 Cloud SQL 連接器來強制執行用戶端身分驗證。

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE
  

請使用下列其中一個選項取代 SSL_ENFORCEMENT_MODE：

• ALLOW_UNENCRYPTED_AND_ENCRYPTED 允許非 SSL/非 TLS 和 SSL/TLS 連線。對於 SSL 連線，系統不會驗證用戶端憑證。這是預設值。
• ENCRYPTED_ONLY 僅允許使用 SSL/TLS 加密的連線。系統未針對 SSL 連線驗證用戶端憑證。
• TRUSTED_CLIENT_CERTIFICATE_REQUIRED 只允許使用 SSL/TLS 加密的連線，且必須具備有效的用戶端憑證。如果用戶端或使用者使用 IAM 資料庫驗證連線，則必須使用 Cloud SQL Auth Proxy 或 Cloud SQL 連接器來強制執行用戶端身分驗證。
詳情請參閱「 PostgreSQL 適用的 Cloud SQL 設定」。

Terraform

如要強制執行 SSL/TLS 加密機制，請使用 Terraform 資源：

resource "google_sql_database_instance" "postgres_instance" {
  name             = "postgres-instance"
  region           = "asia-northeast1"
  database_version = "POSTGRES_14"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

套用變更

如要在 Google Cloud 專案中套用 Terraform 設定，請完成下列各節中的步驟。

準備 Cloud Shell

1. 啟動 Cloud Shell。

2. 設定要套用 Terraform 設定的預設 Google Cloud 專案。

   您只需為每個專案執行這個指令一次，而且可以在任何目錄中執行。

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   如果您在 Terraform 設定檔中設定明確的值，系統就會覆寫環境變數。

準備目錄

每個 Terraform 設定檔都必須有自己的目錄 (也稱為根模組)。

1. 在 Cloud Shell 中建立目錄，並在該目錄中建立新檔案。檔案名稱必須包含 .tf 副檔名，例如 main.tf。在本教學課程中，檔案稱為 main.tf。

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. 如果您正在參考教學課程，可以複製各個章節或步驟中的程式碼範例。

   將範例程式碼複製到新建立的 main.tf 中。

   您可以視需要從 GitHub 複製程式碼。如果 Terraform 程式碼片段是端對端解決方案的一部分，建議您採用這種做法。

3. 查看並修改要套用至環境的範例參數。
4. 儲存變更。
5. 初始化 Terraform。這項操作只需對每個目錄執行一次。

   terraform init

   如要使用最新版的 Google 供應器，請視需要加入 -upgrade 選項：

   terraform init -upgrade

套用變更

1. 檢查設定，並確認 Terraform 要建立或更新的資源是否符合您的預期：

   terraform plan

   視需要修正設定。

2. 執行下列指令，並在提示中輸入 yes，即可套用 Terraform 設定：

   terraform apply

   等待 Terraform 顯示「Apply complete!」(套用完成) 訊息。

3. 開啟 Google Cloud 專案即可查看結果。在 Google Cloud 控制台中，前往 UI 中的資源，確認 Terraform 已建立或更新這些資源。

刪除變更

如要刪除變更，請按照下列步驟操作：

1. 如要停用防刪除功能，請在 Terraform 設定檔中將 deletion_protection 引數設為 false。

   deletion_protection =  "false"

2. 執行下列指令，並在提示中輸入 yes，即可套用更新的 Terraform 設定：

   terraform apply

3. 如要移除先前透過 Terraform 設定套用的資源，請執行下列指令，並在提示中輸入 yes：

   terraform destroy

REST v1

1. 使用任何要求資料之前，請先替換以下項目：

   • PROJECT_ID：專案 ID
   • SSL_ENFORCEMENT_MODE：請使用下列其中一個選項：
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED：允許非 SSL/非 TLS 和 SSL/TLS 連線。對於 SSL 連線，系統不會驗證用戶端憑證。這是預設值。
     • ENCRYPTED_ONLY：只允許使用 SSL/TLS 加密的連線。
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED：只允許使用 SSL/TLS 加密的連線，且具備有效的用戶端憑證。如果用戶端或使用者使用 IAM 資料庫驗證連線，則必須使用 Cloud SQL Auth Proxy 或 Cloud SQL 連接器來強制執行用戶端身分驗證。
   • INSTANCE_ID：執行個體 ID

   HTTP 方法和網址：

   PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

   JSON 要求主體：

   
   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   如要傳送要求，請展開以下其中一個選項：

   curl (Linux、macOS 或 Cloud Shell)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   您應該會收到如下的 JSON 回應：

   回應

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

REST v1beta4

1. 使用任何要求資料之前，請先替換以下項目：

   • PROJECT_ID：專案 ID
   • SSL_ENFORCEMENT_MODE：請使用下列其中一個選項：
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED：允許非 SSL/非 TLS 和 SSL/TLS 連線。對於 SSL 連線，系統不會驗證用戶端憑證。這是預設值。
     • ENCRYPTED_ONLY：只允許使用 SSL/TLS 加密的連線。
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED：只允許使用 SSL/TLS 加密的連線，且具備有效的用戶端憑證。如果用戶端或使用者使用 IAM 資料庫驗證連線，則必須使用 Cloud SQL Auth Proxy 或 Cloud SQL 連接器來強制執行用戶端身分驗證。
   • INSTANCE_ID：執行個體 ID

   HTTP 方法和網址：

   PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

   JSON 要求主體：

   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   如要傳送要求，請展開以下其中一個選項：

   curl (Linux、macOS 或 Cloud Shell)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   您應該會收到如下的 JSON 回應：

   回應

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

控制台

如果是使用自行簽署的伺服器憑證 (個別例項 CA) 的例項：

1. 前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

   前往 Cloud SQL 執行個體

2. 如要開啟執行個體的「總覽」頁面，請按一下執行個體名稱。
3. 按一下 SQL 導覽選單中的「連結」。
4. 選取「安全性」分頁標籤。
5. 前往「管理伺服器 CA 憑證」部分。
6. 按一下「管理憑證」展開。
7. 按一下「建立新的 CA 憑證」。

新的伺服器 CA 憑證會顯示在「即將推出」的空格中。如果您想立即輪替至新的伺服器 CA 憑證，請更新用戶端並完成輪替作業，以便繼續輪替伺服器 CA 憑證。

如果是使用共用 CA 核發的伺服器憑證的例項：

1. 前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

   前往 Cloud SQL 執行個體

2. 如要開啟執行個體的「總覽」頁面，請按一下執行個體名稱。
3. 按一下 SQL 導覽選單中的「連結」。
4. 選取「安全性」分頁標籤。
5. 前往「管理伺服器憑證」部分。
6. 按一下「管理憑證」展開。
7. 按一下「建立伺服器憑證」。

新的伺服器憑證會顯示在「即將到期」的空格中。如果您想立即使用新的伺服器憑證，請更新用戶端並完成伺服器憑證輪替。

gcloud

如果是使用自行簽署的伺服器憑證 (個別例項 CA) 的例項：

1. 如要取得伺服器憑證的相關資訊，請使用 sql ssl server-ca-certs list 指令：

   gcloud sql ssl server-ca-certs list \
   --instance=INSTANCE_NAME

2. 如要建立伺服器憑證，請使用 sql ssl server-ca-certs create 指令：

   gcloud sql ssl server-ca-certs create \
   --instance=INSTANCE_NAME

3. 將憑證資訊下載至本機 PEM 檔案：

   gcloud sql ssl server-ca-certs list \
   --format="value(cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem

4. 將下載的檔案複製到用戶端主機，取代現有的 server-ca.pem 檔案，藉此更新所有用戶端以使用新資訊。

如果是使用共用 CA 核發的伺服器憑證的例項：

1. 如要取得伺服器憑證的相關資訊，請使用 sql ssl server-certs list 指令：

   gcloud sql ssl server-certs list \
      --instance=INSTANCE_NAME

2. 如要建立伺服器憑證，請使用 sql ssl server-certs create 指令：

   gcloud sql ssl server-certs create \
      --instance=INSTANCE_NAME

3. 將憑證資訊下載至本機 PEM 檔案：

   gcloud sql ssl server-certs list \
      --format="value(ca_cert.cert)" \
      --instance=INSTANCE_NAME > \
      FILE_PATH/FILE_NAME.pem

4. 將下載的檔案複製到用戶端主機，取代現有的 server-ca.pem 檔案，藉此更新所有用戶端以使用新資訊。

Terraform

如要將伺服器憑證資訊做為輸出內容，請使用 Terraform 資料來源：

1. 在 Terraform 設定檔中新增下列內容：

      data "google_sql_ca_certs" "ca_certs" {
        instance = google_sql_database_instance.default.name
      }
   
      locals {
        furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
        latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
      }
   
      output "db_latest_ca_cert" {
        description = "Latest CA certificate used by the primary database server"
        value       = local.latest_ca_cert
        sensitive   = true
      }
      

2. 如要建立 server-ca.pem 檔案，請執行下列指令：

      terraform output db_latest_ca_cert > server-ca.pem
      

主控台

1. 前往 Google Cloud 控制台的「Cloud SQL 執行個體」頁面。

   前往 Cloud SQL 執行個體

2. 如要開啟執行個體的「總覽」頁面，請按一下執行個體名稱。
3. 按一下 SQL 導覽選單中的「連結」。
4. 選取「安全性」分頁標籤。
5. 按一下「建立用戶端憑證」。
6. 在「Create a client certificate」對話方塊中，新增專屬名稱。
7. 按一下 [建立]。
8. 在「New SSL certificate created」對話方塊的第一個區段中，按一下「Download client-key.pem」，將私密金鑰下載到名為 client-key.pem 的檔案中。
9. 按一下第二個區段中的「Download client-cert.pem」(下載 client-cert.pem)，將用戶端憑證下載到名為 client-cert.pem 的檔案中。
10. 按一下第三個區段中的「Download server-ca.pem」(下載 server-ca.pem)，將伺服器憑證下載到名為 server-ca.pem 的檔案中。
11. 按一下「關閉」。

gcloud

1. 使用 ssl client-certs create 指令建立用戶端憑證：

   gcloud sql ssl client-certs create CERT_NAME client-key.pem \
   --instance=INSTANCE_NAME

2. 擷取您剛建立的憑證公開金鑰，然後使用 ssl client-certs describe 指令將其複製到 client-cert.pem 檔案中：

   gcloud sql ssl client-certs describe CERT_NAME \
   --instance=INSTANCE_NAME \
   --format="value(cert)" > client-cert.pem

3. 使用 instances describe 指令，將伺服器憑證複製到 server-ca.pem 檔案中：

   gcloud sql instances describe INSTANCE_NAME \
   --format="value(serverCaCert.cert)" > server-ca.pem

Terraform

如要建立用戶端憑證，請使用 Terraform 資源：

resource "google_sql_ssl_cert" "postgres_client_cert" {
  common_name = "postgres_common_name"
  instance    = google_sql_database_instance.postgres_instance.name
}

REST v1

1. 建立 SSL/TLS 憑證，為它提供對此執行個體唯一的名稱：

   使用任何要求資料之前，請先替換以下項目：

   • project-id：專案 ID
   • instance-id：執行個體 ID
   • client-cert-name：用戶端憑證名稱

   HTTP 方法和網址：

   POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

   JSON 要求主體：

   {
     "commonName" : "client-cert-name"
   }
   

   如要傳送要求，請展開以下其中一個選項：

   curl (Linux、macOS 或 Cloud Shell)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   您應該會收到如下的 JSON 回應：

   回應

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[email protected]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. 複製回應中引號內的所有憑證內容 (但不包含引號本身) 到本機檔案中，如下所示：
   1. 將 serverCaCert.cert 複製到 server-ca.pem。
   2. 將 clientCert.cert 複製到 client-cert.pem。
   3. 將 certPrivateKey 複製到 client-key.pem。

REST v1beta4

1. 建立 SSL/TLS 憑證，為它提供對此執行個體唯一的名稱：

   使用任何要求資料之前，請先替換以下項目：

   • project-id：專案 ID
   • instance-id：執行個體 ID
   • client-cert-name：用戶端憑證名稱

   HTTP 方法和網址：

   POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

   JSON 要求主體：

   {
     "commonName" : "client-cert-name"
   }
   

   如要傳送要求，請展開以下其中一個選項：

   curl (Linux、macOS 或 Cloud Shell)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   您應該會收到如下的 JSON 回應：

   回應

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[email protected]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. 複製回應中引號內的所有憑證內容 (但不包含引號本身) 到本機檔案中，如下所示：
   1. 將 serverCaCert.cert 複製到 server-ca.pem。
   2. 將 clientCert.cert 複製到 client-cert.pem。
   3. 將 certPrivateKey 複製到 client-key.pem。