Configurazione di istanze nuove ed esistenti per l'autenticazione IAM dei database

Questa pagina contiene le procedure per creare o modificare istanze Cloud SQL per consentire a utenti, account di servizio o gruppi configurati per utilizzare l'autenticazione del database IAM di Cloud SQL. Per saperne di più sulle IAM di Cloud SQL integrazione, consulta Autenticazione IAM.

Un'istanza appena creata ha quattro database di sistema:

  • information_schema: fornisce l'accesso ai metadati del database e alle informazioni sul server MySQL.
  • mysql: lo schema del sistema. Contiene tabelle che archiviano le informazioni richieste dal server MySQL durante l'esecuzione.
  • performance_schema: una funzionalità per il monitoraggio dell'esecuzione del server MySQL a basso livello.
  • sys: contiene un insieme di oggetti che aiutano i DBA e gli sviluppatori a interpretare i dati raccolti dallo schema sul rendimento.

Prima di iniziare

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  7. Make sure that billing is enabled for your Google Cloud project.

  8. Install the Google Cloud CLI.

  9. To initialize the gcloud CLI, run the following command: 

    gcloud init
  10. Assicurati di disporre dei ruoli Amministratore Cloud SQL e Visualizzatore Compute on il tuo account utente.

    Vai alla pagina IAM

    Scopri di più su ruoli e autorizzazioni.

Configura nuove istanze per l'autenticazione IAM dei database

Per configurare una nuova istanza Cloud SQL per l'autenticazione IAM dei database, devi attivare il flag cloudsql_iam_authentication. Dopo aver attivato questo flag, puoi aggiungere utenti, account di servizio o gruppi IAM all'istanza Cloud SQL.

Per configurare una nuova istanza Cloud SQL in modo che utilizzi l'autenticazione IAM dei database:

Console

  1. Nella console Google Cloud, vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Fai clic su Crea istanza.
  3. Fai clic su Scegli MySQL.
  4. Inserisci un nome per l'ID istanza.
    5. Non includere informazioni sensibili o che consentono l'identificazione personale nel nome dell'istanza, in quanto è visibile all'esterno. Non è necessario includere l'ID progetto nel nome dell'istanza. L'ID progetto viene incluso automaticamente dove appropriato (ad esempio nei file di log).
  5. Inserisci una password per l'utente root.
  6. Dal menu Versione database, seleziona una la versione del database.
  7. Nella sezione Scegli la disponibilità per regione e zona, seleziona la regione e la zona per l'istanza. Posiziona l'istanza nella stessa regione delle risorse che vi accedono. La la regione selezionata non potrà essere modificata in futuro. In genere, non è necessario specificare una zona.
  8. Nella sezione Personalizza la tua istanza, fai clic su Mostra le opzioni di configurazione, quindi espandi Flag.
  9. Fai clic su Aggiungi indicatore.
  10. Dal menu Scegli un flag, seleziona il flag cloudsql_iam_authentication. Assicurati che On sia selezionato come valore per questo flag e poi fai clic su Fine.
  11. Configura altre impostazioni dell'istanza, se necessario. Per ulteriori informazioni sulle impostazioni, consulta Impostazioni.
  12. Fai clic su Crea istanza.

gcloud

Corsa gcloud sql instances create con il parametro --database-flags impostato su cloudsql_iam_authentication=on.

Sostituisci quanto segue:

  • INSTANCE_NAME: il nome della nuova istanza.
  • MYSQL_VERSION: la versione MySQL (ad esempio MYSQL_5_7 o MYSQL_8_0).
  • NUMBER_OF_CORES: il numero di core della macchina.
  • AMOUNT_OF_MEMORY: la quantità di memoria nella macchina. Una taglia dell'unità di misura (ad esempio, 3072 MiB o 9GiB).
  • ZONE: la zona Compute Engine preferita (ad esempio us-central1-a o us-central1-b).
  • PASSWORD: crea una password per l'utente root.
gcloud sql instances create INSTANCE_NAME \
--database-version=MYSQL_VERSION \
--cpu=NUMBER_OF_CORES \
--memory=AMOUNT_OF_MEMORY \
--zone=ZONE_NAME \
--root-password=PASSWORD \
--database-flags=cloudsql_iam_authentication=on

Terraform

Per creare un'istanza con l'autenticazione IAM dei database abilitata, utilizza una risorsa Terraform.

resource "google_sql_database_instance" "default" {
  name             = "mysql-db-auth-instance-name-test"
  region           = "us-west4"
  database_version = "MYSQL_8_0"
  settings {
    tier = "db-f1-micro"
    database_flags {
      name  = "cloudsql_iam_authentication"
      value = "on"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally
  # delete this instance by use of Terraform whereas
  # `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Applica le modifiche

Per applicare la configurazione Terraform in un progetto Google Cloud, completa i passaggi nelle seguenti sezioni.

Prepara Cloud Shell

  1. Avvia Cloud Shell.

  2. Imposta il progetto Google Cloud predefinito in cui vuoi applicare le configurazioni Terraform.

    Devi eseguire questo comando una sola volta per progetto e puoi farlo in qualsiasi directory.

    export GOOGLE_CLOUD_PROJECT=PROJECT_ID

    Le variabili di ambiente vengono sostituite se imposti valori espliciti in Terraform di configurazione del deployment.

Prepara la directory

Ogni file di configurazione Terraform deve avere una directory dedicata (inoltre chiamato modulo principale).

  1. In Cloud Shell, crea una directory e un nuovo all'interno di quella directory. Il nome file deve contenere .tf, ad esempio main.tf. In questo tutorial, il file è denominato main.tf. 
    mkdir DIRECTORY && cd DIRECTORY && touch main.tf

  2. Se stai seguendo un tutorial, puoi copiare il codice di esempio in ogni sezione o passaggio.

    Copia il codice di esempio nel file main.tf appena creato.

    Facoltativamente, copia il codice da GitHub. Questa opzione è consigliata quando lo snippet Terraform fa parte di una soluzione end-to-end.

  3. Esamina e modifica i parametri di esempio da applicare al tuo ambiente.
  4. Salva le modifiche.
  5. Inizializza Terraform. Devi eseguire questa operazione una sola volta per directory. 
    terraform init

    Facoltativamente, per utilizzare la versione più recente del provider Google, includi -upgrade : 

    terraform init -upgrade

Applica le modifiche

  1. Rivedi la configurazione e verifica che le risorse che Terraform sta per creare o aggiornare corrispondano alle tue aspettative: 
    terraform plan

    Apporta le correzioni necessarie alla configurazione.

  2. Applica la configurazione di Terraform eseguendo il seguente comando e inserendo yes al prompt: 
    terraform apply

    Attendi finché Terraform non visualizzi il messaggio "Applicazione completata!". per creare un nuovo messaggio email.

  3. Apri il progetto Google Cloud per visualizzare i risultati. Nella console Google Cloud, vai alle risorse nella UI per assicurarti create o aggiornate da Terraform.

Elimina le modifiche

Per eliminare le modifiche:

  1. Per disattivare la protezione dell'eliminazione, imposta l'argomento deletion_protection su false nel file di configurazione Terraform. 
    deletion_protection =  "false"
  2. Applica la configurazione Terraform aggiornata eseguendo il comando seguente inserendo yes alla richiesta: 
    terraform apply

  1. Rimuovi le risorse applicate in precedenza con la configurazione Terraform eseguendo il seguente comando e inserendo yes al prompt:

    terraform destroy

REST v1

Non includere informazioni sensibili o che consentono l'identificazione personale (PII) nel tuo nome istanza; è visibile all'esterno.

Non è necessario includere l'ID progetto nel nome dell'istanza. L'ID progetto viene incluso automaticamente dove necessario (ad esempio nei file di log).

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

  • INSTANCE_ID: l'ID istanza desiderato
  • REGION: l'area geografica desiderata, ad esempio us-east-1
  • PROJECT_ID: l'ID progetto
  • LOCATION_ID: l'ID località
  • DATABASE_VERSION: stringa enum della versione del database. Ad esempio: MYSQL_8_0
  • PASSWORD: la password per l'utente root
  • MACHINE_TYPE: stringa enum del tipo di macchina (livello), ad esempio: db-custom-[CPUS]-[MEMORY_MBS]

Metodo HTTP e URL: 

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/instances

Corpo JSON della richiesta: 

{
  "name": "INSTANCE_ID",
  "region": "REGION",
  "databaseVersion": "DATABASE_VERSION",
  "rootPassword": "PASSWORD",
  "settings": {
    "tier": "MACHINE_TYPE",
    "backupConfiguration": {
      "enabled": true
    },
    "databaseFlags": [
      {
        "name": "cloudsql_iam_authentication",
        "value": "on"
      }
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-01T19:13:21.834Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
Per vedere come vengono richiesta API REST sottostante per questa attività, vedi Explorer API nella pagina instances:insert.

REST v1beta4

Non includere informazioni sensibili o che consentono l'identificazione personale (PII) nel nome dell'istanza, in quanto è visibile all'esterno.

Non è necessario includere l'ID progetto nel nome dell'istanza. L'ID progetto viene incluso automaticamente dove necessario (ad esempio nei file di log).

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

  • INSTANCE_ID: l'ID istanza desiderato
  • REGION: l'area geografica desiderata, ad esempio us-east-1
  • PROJECT_ID: l'ID progetto
  • LOCATION_ID: l'ID località
  • DATABASE_VERSION: stringa enum della versione del database. Ad esempio: MYSQL_8_0
  • PASSWORD: la password per l'utente root
  • MACHINE_TYPE: stringa enum del tipo di macchina (livello), ad esempio: db-custom-[CPUS]-[MEMORY_MBS]

Metodo HTTP e URL: 

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/locations/LOCATION_ID/instances

Corpo JSON della richiesta: 

{
  "name": "INSTANCE_ID",
  "region": "REGION",
  "databaseVersion": "DATABASE_VERSION",
  "rootPassword": "PASSWORD",
  "settings": {
    "tier": "MACHINE_TYPE",
    "backupConfiguration": {
      "enabled": true
    },
    "databaseFlags": [
      {
        "name": "cloudsql_iam_authentication",
        "value": "on"
      }
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-01T19:13:21.834Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}
Per vedere come vengono richiesta API REST sottostante per questa attività, vedi Explorer API nella pagina instances:insert.

Configura istanze esistenti per l'autenticazione IAM dei database

Per configurare un'istanza Cloud SQL esistente per l'autenticazione IAM dei database, devi attivare il flag cloudsql_iam_authentication. Dopo aver abilitato questo flag, puoi aggiungere utenti IAM, servizi o gruppi di utenti all'istanza Cloud SQL.

Per configurare un'istanza Cloud SQL esistente in modo che utilizzi l'autenticazione IAM dei database:

Console

  1. Nella console Google Cloud, vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Per aprire la pagina Panoramica di un'istanza, fai clic sul nome dell'istanza.
  3. Fai clic su Modifica.
  4. Nella sezione Personalizza la tua istanza, espandi Flag.
  5. Fai clic su Aggiungi indicatore.
  6. Dal menu Scegli un flag, seleziona il flag cloudsql_iam_authentication. Assicurati che On sia selezionato come valore per questo flag e poi fai clic su Fine.
  7. Configura altre impostazioni dell'istanza, se necessario. Per ulteriori informazioni sulle impostazioni, consulta Impostazioni.
  8. Fai clic su Salva.

gcloud

Per informazioni sull'installazione e su come iniziare a utilizzare gcloud CLI, consulta Installare con gcloud CLI. Per informazioni su come avviare Cloud Shell, consulta Utilizzare Cloud Shell.

Per questa procedura, utilizza gcloud sql instances patch.

Sostituisci quanto segue:

  • INSTANCE_NAME: il nome della nuova istanza.
gcloud sql instances patch INSTANCE_NAME \
--database-flags=cloudsql_iam_authentication=on

In questo modo vengono reimpostate tutte le altre impostazioni dei flag di database esistenti. Per ulteriori indicazioni sull'impostazione dei flag di database, consulta Imposta un flag di database.


REST v1

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID progetto
  • LOCATION_ID: l'ID posizione
  • INSTANCE_ID: l'ID istanza desiderato
  • REGION: la regione desiderata
  • DATABASE_VERSION: stringa enum della versione del database. Ad esempio: MYSQL_8_0
  • PASSWORD: la password per l'utente root
  • MACHINE_TYPE: stringa enum del tipo di macchina (livello), ad esempio: db-custom-[CPUS]-[MEMORY_MBS]

Metodo HTTP e URL: 

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/instances

Corpo JSON della richiesta: 

{
  "name": "INSTANCE_ID",
  "region": "REGION",
  "databaseVersion": "DATABASE_VERSION",
  "rootPassword": "PASSWORD",
  "settings": {
    "tier": "MACHINE_TYPE",
    "backupConfiguration": {
      "enabled": true
    }
    "databaseFlags":
    [
      {
        "name": "cloudsql_iam_authentication",
        "value": "on"
      }
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-01T19:13:21.834Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

  • PROJECT_ID: l'ID progetto
  • LOCATION_ID: l'ID posizione
  • INSTANCE_ID: l'ID istanza desiderato
  • REGION: la regione desiderata
  • DATABASE_VERSION: stringa enum della versione del database. Ad esempio: MYSQL_8_0
  • PASSWORD: la password per l'utente root
  • MACHINE_TYPE: stringa enum del tipo di macchina (livello), ad esempio: db-custom-[CPUS]-[MEMORY_MBS]

Metodo HTTP e URL: 

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/locations/LOCATION_ID/instances

Corpo JSON della richiesta: 

{
  "name": "INSTANCE_ID",
  "region": "REGION",
  "databaseVersion": "DATABASE_VERSION",
  "rootPassword": "PASSWORD",
  "settings": {
    "tier": "MACHINE_TYPE",
    "backupConfiguration": {
      "enabled": true
    }
    "databaseFlags":
    [
      {
        "name": "cloudsql_iam_authentication",
        "value": "on"
      }
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-01T19:13:21.834Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Passaggi successivi