Esta página foi traduzida pela API Cloud Translation.

Configurar certificados SSL/TLS

MySQL | PostgreSQL | SQL Server

Esta página descreve como aplicar a criptografia SSL/TLS a uma instância para garantir que todas as conexões sejam criptografadas. Saiba como o Cloud SQL usa certificados SSL/TLS autogerenciados para se conectar a instâncias do Cloud SQL com segurança.

Visão geral

O Cloud SQL cria um certificado de servidor automaticamente quando você cria a instância. Recomendamos que você imponha todas as conexões para usar SSL/TLS.

Para validar a identidade do cliente/servidor usando certificados SSL/TLS, você precisa criar um certificado do cliente e fazer o download dos certificados para a máquina host do cliente MySQL.

Se você aplicar o SSL em uma instância, ela precisará ser reiniciada. Uma reinicialização também pode ser necessária depois que você alterar os certificados SSL/TLS. Quando uma reinicialização é necessária, o Cloud SQL reinicia a instância automaticamente para você. A reinicialização de uma instância pode gerar inatividade.

Aplicar criptografia SSL/TLS

Use a configuração modo SSL para aplicar a criptografia SSL das seguintes maneiras:

Permita conexões SSL/TLS e não SSL/não TLS. O certificado do cliente não foi verificado para conexões SSL/TLS. Esse é o padrão.
Permitir apenas conexões criptografadas com SSL/TLS. O certificado do cliente não foi verificado para conexões SSL.

Permitir apenas conexões criptografadas com SSL/TLS e com certificados de cliente válidos.

Se você selecionar Permitir conexões não SSL/não TLS e SSL/TLS para a instância do Cloud SQL, serão aceitas tanto as conexões SSL/TLS quanto as não criptografadas e não seguras. Se você não exigir SSL/TLS para todas as conexões, ainda serão permitidas conexões não criptografadas. Por esse motivo, se você estiver acessando a instância usando um IP público, recomendamos que aplique SSL a todas as conexões.

É possível se conectar diretamente às instâncias usando certificados SSL/TLS ou usando o proxy de autenticação do Cloud SQL ou os conectores do Cloud SQL. Se você se conectar usando o proxy do Cloud SQL Auth ou os conectores do Cloud SQL, as conexões serão criptografadas automaticamente com SSL/TLS. Com o proxy do Cloud SQL Auth e os conectores do Cloud SQL, as identidades de cliente e servidor também são verificadas automaticamente, independentemente da configuração do modo SSL.

Para ativar a solicitação de SSL/TLS, faça o seguinte:

Console

No Google Cloud console, acesse a página Instâncias do Cloud SQL.

Acesse "Instâncias do Cloud SQL"
Para abrir a página Visão geral de uma instância, clique no nome da instância.
Clique em Conexões no menu de navegação do SQL.
Selecione a guia Segurança.
Selecione uma destas opções:
- Permitir tráfego de rede não criptografado (não recomendado)
- Permitir somente conexões SSL. Essa opção só permite conexões que usam criptografia SSL/TLS. Os certificados não são validados.
- Exigir certificados do cliente confiáveis. Essa opção só permite conexões de clientes que usam um certificado válido do cliente e têm criptografia SSL.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE

Substitua SSL_ENFORCEMENT_MODE por uma das seguintes opções:

ALLOW_UNENCRYPTED_AND_ENCRYPTED permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Esse é o valor padrão.
ENCRYPTED_ONLY só permite conexões criptografadas com SSL/TLS. O certificado do cliente não foi verificado para conexões SSL.
TRUSTED_CLIENT_CERTIFICATE_REQUIRED só permite conexões criptografadas com SSL/TLS e com certificados de cliente válidos.

Configurações do Cloud SQL para MySQL

Terraform

Para aplicar a criptografia SSL/TLS, use um recurso do Terraform:

resource "google_sql_database_instance" "mysql_instance" {
  name             = "mysql-instance"
  region           = "asia-northeast1"
  database_version = "MYSQL_8_0"
  settings {
    tier = "db-f1-micro"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Aplique as alterações

Para aplicar a configuração do Terraform a um projeto do Google Cloud , siga as etapas nas seções a seguir.

Preparar o Cloud Shell

Inicie o Cloud Shell.
Defina o projeto padrão do Google Cloud em que você quer aplicar as configurações do Terraform.

Você só precisa executar esse comando uma vez por projeto, e ele pode ser executado em qualquer diretório.
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
As variáveis de ambiente serão substituídas se você definir valores explícitos no arquivo de configuração do Terraform.

Preparar o diretório

Cada arquivo de configuração do Terraform precisa ter o próprio diretório, também chamado de módulo raiz.

No Cloud Shell, crie um diretório e um novo arquivo dentro dele. O nome do arquivo precisa ter a extensão .tf, por exemplo, main.tf. Neste tutorial, o arquivo é chamado de main.tf.
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
Se você estiver seguindo um tutorial, poderá copiar o exemplo de código em cada seção ou etapa.

Copie o exemplo de código no main.tf recém-criado.

Se preferir, copie o código do GitHub. Isso é recomendado quando o snippet do Terraform faz parte de uma solução de ponta a ponta.
Revise e modifique os parâmetros de amostra para aplicar ao seu ambiente.
Salve as alterações.
Inicialize o Terraform. Você só precisa fazer isso uma vez por diretório.
```
terraform init
```
Opcionalmente, para usar a versão mais recente do provedor do Google, inclua a opção -upgrade:
```
terraform init -upgrade
```

Aplique as alterações

Revise a configuração e verifique se os recursos que o Terraform vai criar ou atualizar correspondem às suas expectativas:
```
terraform plan
```
Faça as correções necessárias na configuração.
Para aplicar a configuração do Terraform, execute o comando a seguir e digite yes no prompt:
```
terraform apply
```
Aguarde até que o Terraform exiba a mensagem "Apply complete!".
Abra o projeto Google Cloud para conferir os resultados. No console Google Cloud , navegue até seus recursos na UI para verificar se foram criados ou atualizados pelo Terraform.

Excluir as alterações

Para excluir as mudanças, faça o seguinte:

Para desativar a proteção contra exclusão, no arquivo de configuração do Terraform, defina o argumento deletion_protection como false.
```
deletion_protection =  "false"
```
Para aplicar a configuração atualizada do Terraform, execute o comando a seguir e digite yes no prompt:
```
terraform apply
```

Remova os recursos aplicados anteriormente com a configuração do Terraform executando o seguinte comando e inserindo yes no prompt:
```
terraform destroy
```

REST v1

Antes de usar os dados da solicitação, faça as seguintes substituições:
- PROJECT_ID: o ID do projeto
- SSL_ENFORCEMENT_MODE: Use uma das seguintes opções:
  - ALLOW_UNENCRYPTED_AND_ENCRYPTED: permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Esse é o valor padrão.
  - ENCRYPTED_ONLY: só permite conexões criptografadas com SSL/TLS.
  - TRUSTED_CLIENT_CERTIFICATE_REQUIRED: só permite conexões criptografadas com SSL/TLS e com certificados do cliente válidos.
- INSTANCE_ID: o ID da instância
Método HTTP e URL:
```
PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID
```
Corpo JSON da solicitação:
```
{
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}
```
Para enviar a solicitação, expanda uma destas opções:
curl (Linux, macOS ou Cloud Shell)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:
```
curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"
```
PowerShell (Windows)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content
```
Você receberá uma resposta JSON semelhante a esta:
Resposta
```
{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
```

REST v1beta4

Antes de usar os dados da solicitação, faça as seguintes substituições:
- PROJECT_ID: o ID do projeto
- SSL_ENFORCEMENT_MODE: Use uma das seguintes opções:
  - ALLOW_UNENCRYPTED_AND_ENCRYPTED: permite conexões não SSL/não TLS e SSL/TLS. Para conexões SSL, o certificado do cliente não é verificado. Esse é o valor padrão.
  - ENCRYPTED_ONLY: só permite conexões criptografadas com SSL/TLS.
  - TRUSTED_CLIENT_CERTIFICATE_REQUIRED: só permite conexões criptografadas com SSL/TLS e com certificados do cliente válidos.
- INSTANCE_ID: o ID da instância
Método HTTP e URL:
```
PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID
```
Corpo JSON da solicitação:
```
{
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}
```
Para enviar a solicitação, expanda uma destas opções:
curl (Linux, macOS ou Cloud Shell)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:
```
curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"
```
PowerShell (Windows)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content
```
Você receberá uma resposta JSON semelhante a esta:
Resposta
```
{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
```

Certificados do servidor

O Cloud SQL cria um certificado de servidor automaticamente quando você cria a instância. Desde que o certificado do servidor seja válido, não é necessário gerenciá-lo ativamente. O Cloud SQL permite selecionar entre três hierarquias de autoridades certificadoras (ACs) diferentes. A hierarquia de AC selecionada se torna o modo de AC do servidor da instância. Se você estiver usando a AC por instância como o modo de AC do servidor para sua instância, os certificados do servidor terão uma data de validade de 10 anos. Se você estiver usando uma AC compartilhada ou gerenciada pelo cliente como o modo de AC do servidor da sua instância, o certificado do servidor terá uma data de validade de 1 ano^*. Após a data de validade, o certificado do servidor não é mais válido, e os clientes não podem mais estabelecer uma conexão segura com a instância usando esse certificado. Se um cliente estiver configurado para verificar a AC ou o nome do host no certificado do servidor, as conexões desse cliente com instâncias do Cloud SQL com certificados de servidor expirados vão falhar. Para evitar interrupções nas conexões do cliente, alterne o certificado do servidor antes que ele expire. Você recebe notificações periódicas avisando que a expiração do certificado do servidor está se aproximando. As notificações são enviadas no seguinte número de dias antes da data de expiração: 90, 30, 10, 2 e 1.

^* Para uma AC gerenciada pelo cliente, a data de validade do certificado do servidor pode ser menor que um ano se você tiver selecionado uma data de validade mais curta para a AC.

Listar e criar certificados do servidor

Para conferir os detalhes dos certificados do servidor no Google Cloud console, acesse a página Conexões e clique na guia Segurança.

Na tabela de certificados, você pode conferir os seguintes detalhes:

Status do certificado: "Próximo", "Ativo" ou "Anterior".

Próximo: o certificado está disponível para uso, mas não está ativo. Para ativar o certificado, use o procedimento de rotação.
Ativo: o certificado está em uso.
Anterior: o certificado não está mais em uso. Para ativar o certificado, use o procedimento de reversão.

Criado: a data e a hora em que o certificado foi criado
Expiração: a data e a hora em que o certificado expira.

Antes que o certificado ativo expire, você pode criar um novo certificado manualmente.

Console

Para instâncias que usam certificados de servidor autoassinados (AC por instância):

No Google Cloud console, acesse a página Instâncias do Cloud SQL.

Acesse "Instâncias do Cloud SQL"
Para abrir a página Visão geral de uma instância, clique no nome da instância.
Clique em Conexões no menu de navegação do SQL.
Selecione a guia Segurança.
Acesse a seção Gerenciar certificados de AC do servidor.
Clique para expandir a opção Gerenciar certificados.
Clique em Criar certificado de CA.

O novo certificado de CA do servidor aparece no slot Próximo. Se você quiser alternar imediatamente para o novo certificado de AC do servidor, atualize seus clientes e conclua a rotação do certificado de AC do servidor.

Para instâncias que usam certificados de servidor emitidos por uma AC compartilhada:

No Google Cloud console, acesse a página Instâncias do Cloud SQL.

Acesse "Instâncias do Cloud SQL"
Para abrir a página Visão geral de uma instância, clique no nome da instância.
Clique em Conexões no menu de navegação do SQL.
Selecione a guia Segurança.
Acesse a seção Gerenciar certificados do servidor.
Clique para expandir a opção Gerenciar certificados.
Clique em Criar certificado do servidor.

O novo certificado do servidor aparece no slot Próxima. Se você quiser usar o novo certificado do servidor imediatamente, atualize seus clientes e conclua a rotação do certificado do servidor.

gcloud

Para instâncias que usam certificados de servidor autoassinados (AC por instância):

Para receber informações sobre o certificado do servidor, use o comando sql ssl server-ca-certs list:
```
gcloud sql ssl server-ca-certs list \
--instance=INSTANCE_NAME
```
Para criar um certificado do servidor, use o comando sql ssl server-ca-certs create:
```
gcloud sql ssl server-ca-certs create \
--instance=INSTANCE_NAME
```

Faça o download das informações do certificado para um arquivo PEM local:

gcloud sql ssl server-ca-certs list \
--format="value(cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/FILE_NAME.pem

Atualize todos os clientes para usar as novas informações. Basta copiar o arquivo transferido para as máquinas host do cliente, substituindo os arquivos server-ca.pem.

Para instâncias que usam certificados de servidor emitidos por uma AC compartilhada:

Para receber informações sobre o certificado do servidor, use o comando sql ssl server-certs list:
```
gcloud sql ssl server-certs list \
   --instance=INSTANCE_NAME
```
Para criar um certificado de servidor, use o comando sql ssl server-certs create:
```
gcloud sql ssl server-certs create \
   --instance=INSTANCE_NAME
```

Faça o download das informações do certificado para um arquivo PEM local:

gcloud sql ssl server-certs list \
   --format="value(ca_cert.cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem

Atualize todos os clientes para usar as novas informações. Basta copiar o arquivo transferido para as máquinas host do cliente, substituindo os arquivos server-ca.pem.

Terraform

Para fornecer informações de certificado de servidor como saída, use uma fonte de dados do Terraform:

Adicione o seguinte ao seu arquivo de configuração do Terraform:

   data "google_sql_ca_certs" "ca_certs" {
     instance = google_sql_database_instance.default.name
   }

   locals {
     furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
     latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
   }

   output "db_latest_ca_cert" {
     description = "Latest CA certificate used by the primary database server"
     value       = local.latest_ca_cert
     sensitive   = true
   }

Para criar o arquivo server-ca.pem, execute o seguinte comando:

   terraform output db_latest_ca_cert > server-ca.pem

Certificados de cliente

Criar um novo certificado do cliente

Você pode criar até dez certificados do cliente em cada instância. Para criar certificados do cliente, você precisa ter o papel Cloud SQL Admin do IAM.

Confira algumas informações importantes sobre os certificados do cliente:

Se você perder a chave privada de um certificado, vai precisar criar uma nova. Não é possível recuperar a antiga.
Por padrão, o certificado do cliente tem uma data de validade de 10 anos.
Você não será notificado quando os certificados do cliente estiverem prestes a expirar.
Sua instância do Cloud SQL precisa estar no estado de execução para criar um certificado SSL.

Console

No Google Cloud console, acesse a página Instâncias do Cloud SQL.

Acesse "Instâncias do Cloud SQL"
Para abrir a página Visão geral de uma instância, clique no nome da instância.
Clique em Conexões no menu de navegação do SQL.
Selecione a guia Segurança.
Clique em Criar certificado do cliente.
Na caixa de diálogo Criar um certificado do cliente, adicione um nome exclusivo.
Clique em Criar.
Na primeira seção da caixa de diálogo Novo certificado SSL criado, clique em Fazer o download do arquivo client-key.pem para transferir a chave privada em um arquivo chamado client-key.pem.
Importante: armazene essa chave privada com segurança. Em caso de perda, será necessário criar um novo certificado de cliente.
Na segunda seção, clique em Fazer download do client-cert.pem para fazer o download do certificado do cliente para um arquivo chamado client-cert.pem.
Na terceira seção, clique em Fazer download do server-ca.pem para fazer download do certificado do servidor para um arquivo chamado server-ca.pem.
Clique em Fechar.

gcloud

Crie um certificado do cliente usando o comando ssl client-certs create:
```
gcloud sql ssl client-certs create CERT_NAME client-key.pem \
--instance=INSTANCE_NAME
```
Importante: armazene essa chave privada com segurança. Em caso de perda, será necessário criar um novo certificado de cliente.
Recupere a chave pública do certificado recém-criado e copie-o no arquivo client-cert.pem com o comando ssl client-certs describe:
```
gcloud sql ssl client-certs describe CERT_NAME \
--instance=INSTANCE_NAME \
--format="value(cert)" > client-cert.pem
```

Copie o certificado do servidor no arquivo server-ca.pem usando o comando instances describe:

gcloud sql instances describe INSTANCE_NAME \
--format="value(serverCaCert.cert)" > server-ca.pem

Terraform

Para criar um certificado do cliente, use um recurso do Terraform:

resource "google_sql_ssl_cert" "mysql_client_cert" {
  common_name = "mysql_common_name"
  instance    = google_sql_database_instance.mysql_instance.name
}

REST v1

Crie um certificado SSL/TLS e insira um nome exclusivo para ele nesta instância:

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

project-id: o ID do projeto
instance-id: o ID da instância
client-cert-name: o nome do certificado do cliente

Método HTTP e URL:

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

Corpo JSON da solicitação:

{
  "commonName" : "client-cert-name"
}

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts"

PowerShell (Windows)

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

Você receberá uma resposta JSON semelhante a esta:

Resposta

{
  "kind": "sql#sslCertsInsert",
  "operation": {
    "kind": "sql#operation",
    "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
    "status": "PENDING",
    "user": "user@example.com",
    "operationType": "UPDATE",
    "name": "operation-id",
    "targetId": "instance-id",
    "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
    "targetProject": "doc-test-01",
    "insertTime": "2020-02-13T00:11:20.677Z"
  },
  "serverCaCert": {
    "kind": "sql#sslCert",
    "certSerialNumber": "server-cert-serial-number",
    "cert": "server-cert-value",
    "commonName": "server-cert-name,
    "sha1Fingerprint": "server-cert-sha1Fingerprint",
    "instance": "instance-id",
    "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
    "createTime": "2019-11-25T20:12:06.764Z",
    "expirationTime": "2029-11-22T20:13:06.764Z"
  },
  "clientCert": {
    "certInfo": {
      "kind": "sql#sslCert",
      "certSerialNumber": "client-cert-serial-number-2",
      "cert": "client-cert-value",
      "commonName": "client-cert-name",
      "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
      "instance": "instance-id",
      "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
      "createTime": "2020-02-13T00:10:20.595Z",
      "expirationTime": "2030-02-10T00:11:20.595Z"
    },
    "certPrivateKey": "private-key-value"
  }
}

Copie todo o conteúdo do certificado que está entre aspas (mas sem copiar as aspas) da resposta para os arquivos locais, da seguinte maneira:
1. Copie serverCaCert.cert para server-ca.pem.
2. Copie clientCert.cert para client-cert.pem.
3. Copie certPrivateKey para client-key.pem.
Importante: armazene essa chave privada com segurança. Em caso de perda, será necessário criar um novo certificado de cliente.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

project-id: o ID do projeto
instance-id: o ID da instância
activation-policy: a política de ativação é ALWAYS ou NEVER

Método HTTP e URL:

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/restart

Corpo JSON da solicitação:

{
  "settings": {
    "activationPolicy": "activation-policy"
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/restart"

PowerShell (Windows)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/restart" | Select-Object -Expand Content

Você receberá uma resposta JSON semelhante a esta:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "RESTART",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

REST v1beta4

Crie um certificado SSL/TLS e insira um nome exclusivo para ele nesta instância:

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

project-id: o ID do projeto
instance-id: o ID da instância
client-cert-name: o nome do certificado do cliente

Método HTTP e URL:

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

Corpo JSON da solicitação:

{
  "commonName" : "client-cert-name"
}

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts"

PowerShell (Windows)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

Você receberá uma resposta JSON semelhante a esta:

Resposta

{
  "kind": "sql#sslCertsInsert",
  "operation": {
    "kind": "sql#operation",
    "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
    "status": "PENDING",
    "user": "user@example.com",
    "operationType": "UPDATE",
    "name": "operation-id",
    "targetId": "instance-id",
    "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
    "targetProject": "doc-test-01",
    "insertTime": "2020-02-13T00:11:20.677Z"
  },
  "serverCaCert": {
    "kind": "sql#sslCert",
    "certSerialNumber": "server-cert-serial-number",
    "cert": "server-cert-value",
    "commonName": "server-cert-name,
    "sha1Fingerprint": "server-cert-sha1Fingerprint",
    "instance": "instance-id",
    "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
    "createTime": "2019-11-25T20:12:06.764Z",
    "expirationTime": "2029-11-22T20:13:06.764Z"
  },
  "clientCert": {
    "certInfo": {
      "kind": "sql#sslCert",
      "certSerialNumber": "client-cert-serial-number-2",
      "cert": "client-cert-value",
      "commonName": "client-cert-name",
      "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
      "instance": "instance-id",
      "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
      "createTime": "2020-02-13T00:10:20.595Z",
      "expirationTime": "2030-02-10T00:11:20.595Z"
    },
    "certPrivateKey": "private-key-value"
  }
}

Copie todo o conteúdo do certificado que está entre aspas (mas sem copiar as aspas) da resposta para os arquivos locais, da seguinte maneira:
1. Copie serverCaCert.cert para server-ca.pem.
2. Copie clientCert.cert para client-cert.pem.
3. Copie certPrivateKey para client-key.pem.
Importante: armazene essa chave privada com segurança. Em caso de perda, será necessário criar um novo certificado de cliente.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

project-id: o ID do projeto
instance-id: o ID da instância
activation-policy: a política de ativação é ALWAYS ou NEVER

Método HTTP e URL:

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/restart

Corpo JSON da solicitação:

{
  "settings": {
    "activationPolicy": "activation-policy"
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/restart"

PowerShell (Windows)

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/restart" | Select-Object -Expand Content

Você receberá uma resposta JSON semelhante a esta:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-20T21:30:35.667Z",
  "operationType": "RESTART",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Neste momento, você tem:

Um certificado do servidor salvo como server-ca.pem.
Um certificado de chave pública do cliente salvo como client-cert.pem.
Uma chave privada de cliente salva como client-key.pem.

Dependendo da ferramenta que você usa para se conectar, esses três itens são especificados de modo diferente. Por exemplo, ao conectar usando o cliente do MySQL, esses três arquivos são os valores para as opções de comando --ssl-ca, --ssl-cert e --ssl-key, respectivamente. Para ver uma conexão de amostra usando o cliente MySQL e SSL/TLS, consulte Como se conectar com o cliente MySQL.

Verificação de identidade do servidor

A verificação de identidade do servidor depende da configuração da autoridade certificadora (CA) do servidor da sua instância do Cloud SQL.

Para instâncias que usam uma AC por instância, a verificação da AC também verifica a identidade do servidor, já que cada instância tem uma AC exclusiva. Para instâncias que usam uma AC compartilhada, a verificação do nome de host e da AC é necessária para a verificação de identidade do servidor, já que as ACs do servidor são compartilhadas entre as instâncias.

Se você tiver uma AC por instância, poderá realizar a verificação de identidade do servidor com base no nome DNS apenas para instâncias configuradas com o Private Service Connect. Se você tiver uma AC compartilhada, poderá realizar a verificação de identidade do servidor com base no nome DNS para todos os tipos de instâncias, ou seja, Private Service Connect, Acesso a serviços privados e instâncias de IP público.

Se você estiver usando uma AC gerenciada pelo cliente, poderá verificar a cadeia de confiança da AC e realizar a verificação de identidade do servidor com base no nome DNS para qualquer tipo de instância que use a AC gerenciada pelo cliente para o serverCAmode.

Ao selecionar a opção de AC gerenciada pelo cliente para sua instância, é possível inserir nomes de DNS personalizados no campo SAN do certificado do servidor. Para mais informações, consulte Editar um campo SAN personalizado.

É possível conferir qual hierarquia de AC está configurada para uma instância do Cloud SQL abrindo os detalhes da instância. Para mais informações, consulte Acessar informações da instância.

Ativar a verificação de identidade do servidor

Se você selecionar a AC compartilhada como o modo de AC do servidor da sua instância do Cloud SQL ou se configurar nomes DNS personalizados usando valores SAN personalizados, recomendamos que você também ative a verificação de identidade do servidor.

As instâncias que usam a AC compartilhada como o modo de AC do servidor contêm o nome DNS da instância no campo "Nome alternativo do assunto" (SAN, na sigla em inglês) do certificado do servidor. É possível receber esse nome de DNS usando a API de pesquisa de instância e a resposta como um nome de host para a verificação da identidade do servidor. É necessário configurar a resolução de DNS para o nome DNS.

Para ativar a verificação de identidade do servidor em uma instância que usa uma AC compartilhada, siga estas etapas:

Extraia o nome do DNS.

Para conferir informações resumidas sobre uma instância do Cloud SQL, incluindo o nome DNS da instância, use o comando gcloud sql instances describe:
```
gcloud sql instances describe INSTANCE_NAME \
  --project=PROJECT_ID
```
Faça as seguintes substituições:
- INSTANCE_NAME: o nome da instância do Cloud SQL
- PROJECT_ID: o ID ou número do projeto do Google Cloud projeto que contém a instância

Na resposta, procure o campo dnsNames:. Esse campo pode retornar vários nomes de DNS, que têm os seguintes formatos:

Configuração de rede	Formato de nome DNS	Nome do nível
Private Service Connect ou Endereço IP público	`INSTANCE_UID`.`PROJECT_DNS_LABEL`.`REGION_NAME`.sql.goog. Exemplo: `1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.`	Instância
Acesso privado a serviços	`INSTANCE_UID`.`PROJECT_DNS_LABEL`.`REGION_NAME`.sql-psa.goog. Exemplo: `1a23b4cd5e67.1a2b345c6d27.us-central1.sql-psa.goog.`	Instância

Crie o registro DNS em uma zona DNS. Se você estiver se conectando de forma particular, crie o registro DNS em uma zona de DNS particular na rede VPC correspondente.
Ao se conectar à instância do Cloud SQL para MySQL, configure o nome DNS como o nome do host. Em seguida, ative a verificação de identidade do servidor no cliente.

Por exemplo, ao usar o cliente MySQL, especifique a flag --ssl-mode=VERIFY_IDENTITY. Outros drivers de cliente do MySQL têm flags de configuração semelhantes.

A seguir

Gerencie o SSL/TLS na instância do Cloud SQL.
Saiba mais sobre como a criptografia é processada no Google Cloud.
Conecte-se à instância do Cloud SQL usando certificados SSL/TLS.
Saiba mais sobre como o MySQL usa SSL/TLS.

Configurar certificados SSL/TLS Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Visão geral

Aplicar criptografia SSL/TLS

Console

gcloud

Terraform

Aplique as alterações

Preparar o Cloud Shell

Preparar o diretório

Aplique as alterações

Excluir as alterações

REST v1

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Resposta

REST v1beta4

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Resposta

Certificados do servidor

Listar e criar certificados do servidor

Console

gcloud

Terraform

Certificados de cliente

Criar um novo certificado do cliente

Console

gcloud

Terraform

REST v1

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Resposta

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

REST v1beta4

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Resposta

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Verificação de identidade do servidor

Ativar a verificação de identidade do servidor

A seguir

Configurar certificados SSL/TLS