Configurar certificados SSL/TLS, Configurar certificados SSL/TLS, Configurar certificados SSL/TLS, Configurar certificados SSL/TLS

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Console

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Selecione uma das seguintes opções:
   • Permitir tráfego de rede não criptografado (não recomendado)
   • Permitir apenas conexões SSL. Esta opção permite apenas conexões que utilizam criptografia SSL/TLS.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE
  

Substitua SSL_ENFORCEMENT_MODE por uma das seguintes opções:

• ALLOW_UNENCRYPTED_AND_ENCRYPTED permite conexões não SSL/não TLS e SSL/TLS. Este é o valor padrão.
• ENCRYPTED_ONLY permite apenas conexões criptografadas com SSL/TLS.

Terraform

Para impor a criptografia SSL/TLS, use um recurso do Terraform :

resource "google_sql_database_instance" "sqlserver_instance" {
  name             = "sqlserver-instance"
  region           = "asia-northeast1"
  database_version = "SQLSERVER_2019_STANDARD"
  root_password    = "INSERT-PASSWORD-HERE"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      ssl_mode = "ENCRYPTED_ONLY"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Aplicar as alterações

Para aplicar sua configuração do Terraform em um Google Cloud projeto, conclua as etapas nas seções a seguir.

Preparar o Cloud Shell

1. Inicie o Cloud Shell .

2. Defina o padrão Google Cloud projeto onde você deseja aplicar suas configurações do Terraform.

   Você só precisa executar este comando uma vez por projeto e pode executá-lo em qualquer diretório.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Variáveis ​​de ambiente serão substituídas se você definir valores explícitos no arquivo de configuração do Terraform.

Preparar o diretório

Cada arquivo de configuração do Terraform deve ter seu próprio diretório (também chamado de módulo raiz ).

1. No Cloud Shell , crie um diretório e um novo arquivo dentro dele. O nome do arquivo deve ter a extensão .tf — por exemplo, main.tf Neste tutorial, o arquivo será chamado de main.tf

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Se estiver seguindo um tutorial, você pode copiar o código de exemplo em cada seção ou etapa.

   Copie o código de exemplo no main.tf recém-criado.

   Opcionalmente, copie o código do GitHub. Isso é recomendado quando o snippet do Terraform faz parte de uma solução completa.

3. Revise e modifique os parâmetros de amostra para aplicar ao seu ambiente.
4. Salve suas alterações.
5. Inicialize o Terraform. Você só precisa fazer isso uma vez por diretório.

   terraform init

   Opcionalmente, para usar a versão mais recente do provedor do Google, inclua a opção -upgrade :

   terraform init -upgrade

Aplicar as alterações

1. Revise a configuração e verifique se os recursos que o Terraform irá criar ou atualizar correspondem às suas expectativas:

   terraform plan

   Faça correções na configuração conforme necessário.

2. Aplique a configuração do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform apply

   Aguarde até que o Terraform exiba a mensagem "Aplicação concluída!".

3. Abra seu Google Cloud projeto para visualizar os resultados. No Google Cloud console, navegue até seus recursos na interface do usuário para garantir que o Terraform os criou ou atualizou.

Excluir as alterações

Para excluir suas alterações, faça o seguinte:

1. Para desabilitar a proteção contra exclusão, no seu arquivo de configuração do Terraform defina o argumento deletion_protection como false .

   deletion_protection =  "false"

2. Aplique a configuração atualizada do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform apply

3. Remova os recursos aplicados anteriormente com sua configuração do Terraform executando o seguinte comando e digitando yes no prompt:

   terraform destroy

REST v1

1. Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • PROJECT_ID : O ID do projeto
   • SSL_ENFORCEMENT_MODE : Use uma das seguintes opções:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED : permite conexões não SSL/não TLS e SSL/TLS.
     • ENCRYPTED_ONLY : permite somente conexões criptografadas com SSL/TLS.
   • INSTANCE_ID : O ID da instância

   Método HTTP e URL:

   PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

   Corpo JSON da solicitação:

   
   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

REST v1beta4

1. Antes de usar qualquer um dos dados solicitados, faça as seguintes substituições:

   • PROJECT_ID : O ID do projeto
   • SSL_ENFORCEMENT_MODE : Use uma das seguintes opções:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED : permite conexões não SSL/não TLS e SSL/TLS.
     • ENCRYPTED_ONLY : permite somente conexões criptografadas com SSL/TLS.
   • INSTANCE_ID : O ID da instância

   Método HTTP e URL:

   PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

   Corpo JSON da solicitação:

   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Para enviar sua solicitação, expanda uma destas opções:

   curl (Linux, macOS ou Cloud Shell)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Salve o corpo da solicitação em um arquivo chamado request.json e execute o seguinte comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Você deve receber uma resposta JSON semelhante à seguinte:

   Resposta

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[email protected]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

Console

Para instâncias que usam certificados de servidor autoassinados (CA por instância) :

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Vá para a seção Gerenciar certificados de CA do servidor .
6. Clique para expandir Gerenciar certificados .
7. Clique em Criar novo certificado CA.

O novo certificado da CA do servidor aparece no slot "Próximos" . Se você quiser alternar para o novo certificado da CA do servidor imediatamente, prossiga com a rotação do certificado da CA do servidor atualizando seus clientes e concluindo a rotação.

Para instâncias que usam certificados de servidor emitidos por uma CA compartilhada :

1. No Google Cloud console, acesse a página Instâncias do Cloud SQL .

   Acesse Instâncias do Cloud SQL

2. Para abrir a página Visão geral de uma instância, clique no nome da instância.
3. Clique em Conexões no menu de navegação SQL.
4. Selecione a aba Segurança .
5. Vá para a seção Gerenciar certificados do servidor .
6. Clique para expandir Gerenciar certificados .
7. Clique em Criar certificado de servidor .

O novo certificado de servidor aparece no slot "Próximos" . Se você quiser usar o novo certificado de servidor imediatamente, prossiga com a rotação do certificado de servidor atualizando seus clientes e concluindo a rotação.

gcloud

Para instâncias que usam certificados de servidor autoassinados (CA por instância) :

1. Para obter informações sobre o certificado do servidor, use o comando sql ssl server-ca-certs list :

   gcloud sql ssl server-ca-certs list \
   --instance=INSTANCE_NAME

2. Para criar um certificado de servidor, use o comando sql ssl server-ca-certs create :

   gcloud sql ssl server-ca-certs create \
   --instance=INSTANCE_NAME

3. Baixe as informações do certificado para um arquivo PEM local:

   gcloud sql ssl server-ca-certs list \
   --format="value(cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem

4. Atualize todos os seus clientes para usar as novas informações copiando o arquivo baixado para as máquinas host do cliente, substituindo os arquivos server-ca.pem existentes.

Para instâncias que usam certificados de servidor emitidos por uma CA compartilhada :

1. Para obter informações sobre o certificado do servidor, use o comando sql ssl server-certs list :

   gcloud sql ssl server-certs list \
      --instance=INSTANCE_NAME

2. Para criar um certificado de servidor, use o comando sql ssl server-certs create :

   gcloud sql ssl server-certs create \
      --instance=INSTANCE_NAME

3. Baixe as informações do certificado para um arquivo PEM local:

   gcloud sql ssl server-certs list \
      --format="value(ca_cert.cert)" \
      --instance=INSTANCE_NAME > \
      FILE_PATH/FILE_NAME.pem

4. Atualize todos os seus clientes para usar as novas informações copiando o arquivo baixado para as máquinas host do cliente, substituindo os arquivos server-ca.pem existentes.

Terraform

Para fornecer informações de certificado de servidor como uma saída, use uma fonte de dados do Terraform :

1. Adicione o seguinte ao seu arquivo de configuração do Terraform:

      data "google_sql_ca_certs" "ca_certs" {
        instance = google_sql_database_instance.default.name
      }
   
      locals {
        furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
        latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
      }
   
      output "db_latest_ca_cert" {
        description = "Latest CA certificate used by the primary database server"
        value       = local.latest_ca_cert
        sensitive   = true
      }
      

2. Para criar o arquivo server-ca.pem , execute o seguinte comando:

      terraform output db_latest_ca_cert > server-ca.pem