Mengonfigurasi sertifikat SSL/TLS

MySQL   |  PostgreSQL   |  SQL Server

Halaman ini menjelaskan cara menerapkan enkripsi SSL/TLS untuk instance guna memastikan bahwa semua koneksi dienkripsi. Anda juga dapat mempelajari lebih lanjut cara Cloud SQL menggunakan sertifikat SSL/TLS yang dikelola sendiri untuk terhubung ke instance Cloud SQL dengan aman.

Ringkasan

Cloud SQL membuat sertifikat server secara otomatis saat Anda membuat instance. Sebaiknya menerapkan semua koneksi untuk menggunakan SSL/TLS.

Untuk memvalidasi identitas klien/server menggunakan sertifikat SSL/TLS, Anda harus membuat sertifikat klien dan mendownload sertifikat tersebut ke mesin host klien PostgreSQL.

Catatan: Cloud SQL merekomendasikan autentikasi bersama, yang melibatkan penggunaan sertifikat untuk mengautentikasi klien dan server. Menerapkan enkripsi SSL/TLS dengan sertifikat klien yang valid akan membuat TLS bersama diperlukan untuk semua klien. Namun, jika SSL/TLS tidak diterapkan dengan sertifikat klien yang valid, terhubung dengan TLS non-bersama menggunakan sertifikat server masih dapat dilakukan.

Untuk mengetahui informasi selengkapnya, lihat dokumentasi untuk mesin database Anda.

Saat Anda menerapkan SSL untuk instance, instance tersebut tidak perlu dimulai ulang. Namun, perubahan pada sertifikat SSL/TLS dapat menyebabkan dimulai ulangnya instance secara otomatis dan dapat menyebabkan periode nonaktif.

Perubahan pada konfigurasi mode SSL hanya berlaku untuk koneksi baru. Jika Anda menerapkan SSL dan instance Anda memiliki koneksi yang tidak dienkripsi, koneksi akan tetap terhubung dan tidak dienkripsi. Untuk menutup koneksi yang tidak dienkripsi dan menerapkan SSL pada semua koneksi, Anda harus memulai ulang instance.

Menerapkan enkripsi SSL/TLS

Anda dapat menggunakan setelan mode SSL untuk menerapkan enkripsi SSL dengan cara berikut:

• Mengizinkan koneksi non-SSL/non-TLS dan SSL/TLS. Sertifikat klien tidak diverifikasi untuk koneksi SSL/TLS. Ini adalah setelan defaultnya.

• Hanya izinkan koneksi yang dienkripsi dengan SSL/TLS. Sertifikat klien tidak diverifikasi untuk koneksi SSL.

• Hanya izinkan koneksi yang dienkripsi dengan SSL/TLS dan dengan sertifikat klien yang valid.

Jika Anda memilih Izinkan koneksi non-SSL/non-TLS dan SSL/TLS untuk instance Cloud SQL, koneksi SSL/TLS akan diterima, serta koneksi yang tidak dienkripsi dan tidak aman. Jika Anda tidak mewajibkan SSL/TLS untuk semua koneksi, koneksi yang tidak dienkripsi tetap diizinkan. Oleh karena itu, jika Anda mengakses instance menggunakan IP publik, sebaiknya terapkan SSL untuk semua koneksi.

Anda dapat terhubung langsung ke instance menggunakan sertifikat SSL/TLS, atau Anda dapat terhubung menggunakan Proxy Auth Cloud SQL atau Cloud SQL Connector. Jika Anda terhubung menggunakan Proxy Auth Cloud SQL atau Cloud SQL Connector, koneksi tersebut akan otomatis dienkripsi dengan SSL/TLS. Dengan Proxy Auth Cloud SQL dan Konektor Cloud SQL, identitas klien dan server juga akan otomatis diverifikasi, apa pun setelan mode SSL.

Catatan: Sebaiknya update instance menggunakan mode SSL, bukan menggunakan parameter require-ssl lama. Jika Anda memperbarui konfigurasi penerapan SSL pada instance yang ada, pastikan nilainya tidak bertentangan dengan parameter require-ssl.

Untuk mengaktifkan requiring SSL/TLS, lakukan hal berikut:

Konsol

1. Di konsol Google Cloud, buka halaman Instance Cloud SQL.

   Buka Instance Cloud SQL

2. Untuk membuka halaman Overview instance, klik nama instance.
3. Klik Connections dari menu navigasi SQL.
4. Pilih tab Keamanan.
5. Pilih salah satu opsi berikut:
   • Mengizinkan traffic jaringan yang tidak dienkripsi (tidak direkomendasikan)
   • Hanya izinkan koneksi SSL. Opsi ini hanya mengizinkan koneksi yang menggunakan enkripsi SSL/TLS. Sertifikat tidak divalidasi.
   • Wajibkan sertifikat klien tepercaya. Opsi ini hanya mengizinkan koneksi dari klien yang menggunakan sertifikat klien yang valid dan dienkripsi SSL. Jika klien atau pengguna terhubung menggunakan autentikasi database IAM, mereka harus menggunakan Proxy Auth Cloud SQL atau Konektor Cloud SQL untuk menerapkan verifikasi identitas klien.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE
  

Ganti SSL_ENFORCEMENT_MODE dengan salah satu opsi berikut:

• ALLOW_UNENCRYPTED_AND_ENCRYPTED mengizinkan koneksi non-SSL/non-TLS dan SSL/TLS. Untuk koneksi SSL, sertifikat klien tidak diverifikasi. Ini adalah nilai defaultnya.
• ENCRYPTED_ONLY hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS. Sertifikat klien tidak diverifikasi untuk koneksi SSL.
• TRUSTED_CLIENT_CERTIFICATE_REQUIRED hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS dan dengan sertifikat klien yang valid. Jika klien atau pengguna terhubung menggunakan autentikasi database IAM, mereka harus menggunakan Proxy Auth Cloud SQL atau Konektor Cloud SQL untuk menerapkan verifikasi identitas klien.
Untuk mengetahui informasi selengkapnya, lihat Setelan untuk Cloud SQL untuk PostgreSQL.

Terraform

Untuk menerapkan enkripsi SSL/TLS, gunakan resource Terraform:

resource "google_sql_database_instance" "postgres_instance" {
  name             = "postgres-instance"
  region           = "asia-northeast1"
  database_version = "POSTGRES_14"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Menerapkan perubahan

Untuk menerapkan konfigurasi Terraform di project Google Cloud, selesaikan langkah-langkah di bagian berikut.

Menyiapkan Cloud Shell

1. Luncurkan Cloud Shell.

2. Tetapkan project Google Cloud default tempat Anda ingin menerapkan konfigurasi Terraform.

   Anda hanya perlu menjalankan perintah ini sekali per project, dan dapat dijalankan di direktori mana pun.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Variabel lingkungan akan diganti jika Anda menetapkan nilai eksplisit dalam file konfigurasi Terraform.

Menyiapkan direktori

Setiap file konfigurasi Terraform harus memiliki direktorinya sendiri (juga disebut modul root).

1. Di Cloud Shell, buat direktori dan file baru di dalam direktori tersebut. Nama file harus memiliki ekstensi .tf—misalnya main.tf. Dalam tutorial ini, file ini disebut sebagai main.tf.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Jika mengikuti tutorial, Anda dapat menyalin kode contoh di setiap bagian atau langkah.

   Salin kode contoh ke dalam main.tf yang baru dibuat.

   Atau, salin kode dari GitHub. Tindakan ini direkomendasikan jika cuplikan Terraform adalah bagian dari solusi menyeluruh.

3. Tinjau dan ubah contoh parameter untuk diterapkan pada lingkungan Anda.
4. Simpan perubahan Anda.
5. Lakukan inisialisasi Terraform. Anda hanya perlu melakukan ini sekali per direktori.

   terraform init

   Secara opsional, untuk menggunakan versi penyedia Google terbaru, sertakan opsi -upgrade:

   terraform init -upgrade

Menerapkan perubahan

1. Tinjau konfigurasi dan pastikan resource yang akan dibuat atau diupdate oleh Terraform sesuai yang Anda inginkan:

   terraform plan

   Koreksi konfigurasi jika diperlukan.

2. Terapkan konfigurasi Terraform dengan menjalankan perintah berikut dan memasukkan yes pada prompt:

   terraform apply

   Tunggu hingga Terraform menampilkan pesan "Apply complete!".

3. Buka project Google Cloud Anda untuk melihat hasilnya. Di Konsol Google Cloud, buka resource Anda di UI untuk memastikan bahwa Terraform telah membuat atau mengupdatenya.

Catatan: Contoh Terraform biasanya mengasumsikan bahwa API yang diperlukan diaktifkan di project Google Cloud Anda.

Menghapus perubahan

Untuk menghapus perubahan Anda, lakukan langkah-langkah berikut:

1. Untuk menonaktifkan perlindungan penghapusan, di file konfigurasi Terraform Anda, tetapkan argumen deletion_protection ke false.

   deletion_protection =  "false"

2. Terapkan konfigurasi Terraform dengan menjalankan perintah berikut dan memasukkan yes pada prompt:

   terraform apply

3. Hapus resource yang sebelumnya diterapkan dengan konfigurasi Terraform Anda dengan menjalankan perintah berikut dan memasukkan yes pada prompt:

   terraform destroy

REST v1

1. Sebelum menggunakan salah satu dari data permintaan, lakukan penggantian berikut:

   • PROJECT_ID: ID project
   • SSL_ENFORCEMENT_MODE: Gunakan salah satu opsi berikut:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED: mengizinkan koneksi non-SSL/non-TLS dan SSL/TLS. Untuk koneksi SSL, sertifikat klien tidak diverifikasi. Ini adalah nilai defaultnya.
     • ENCRYPTED_ONLY: hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS.
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS dan dengan sertifikat klien yang valid. Jika klien atau pengguna terhubung menggunakan autentikasi database IAM, mereka harus menggunakan Proxy Auth Cloud SQL atau Konektor Cloud SQL untuk menerapkan verifikasi identitas klien.
   • INSTANCE_ID: ID instance

   Metode HTTP dan URL:

   PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

   Meminta isi JSON:

   
   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

   curl (Linux, macOS, atau Cloud Shell)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login , atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Anda akan menerima respons JSON yang mirip dengan yang berikut ini:

   Tanggapan

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[e-mail]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

REST v1beta4

1. Sebelum menggunakan salah satu dari data permintaan, lakukan penggantian berikut:

   • PROJECT_ID: ID project
   • SSL_ENFORCEMENT_MODE: Gunakan salah satu opsi berikut:
     • ALLOW_UNENCRYPTED_AND_ENCRYPTED: mengizinkan koneksi non-SSL/non-TLS dan SSL/TLS. Untuk koneksi SSL, sertifikat klien tidak diverifikasi. Ini adalah nilai defaultnya.
     • ENCRYPTED_ONLY: hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS.
     • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: hanya mengizinkan koneksi yang dienkripsi dengan SSL/TLS dan dengan sertifikat klien yang valid. Jika klien atau pengguna terhubung menggunakan autentikasi database IAM, mereka harus menggunakan Proxy Auth Cloud SQL atau Konektor Cloud SQL untuk menerapkan verifikasi identitas klien.
   • INSTANCE_ID: ID instance

   Metode HTTP dan URL:

   PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

   Meminta isi JSON:

   {
     "settings": {
       "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
     }
   }
   

   Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

   curl (Linux, macOS, atau Cloud Shell)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login , atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

   PowerShell (Windows)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

   Anda akan menerima respons JSON yang mirip dengan yang berikut ini:

   Tanggapan

   {
     "kind": "sql#operation",
     "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
     "status": "PENDING",
     "user": "[e-mail]",
     "insertTime": "2020-01-20T21:30:35.667Z",
     "operationType": "UPDATE",
     "name": "OPERATION_ID",
     "targetId": "INSTANCE_ID",
     "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
     "targetProject": "PROJECT_ID"
   }
   

Sertifikat Server

Cloud SQL membuat sertifikat server secara otomatis saat Anda membuat instance. Selama sertifikat server valid, Anda tidak perlu mengelola sertifikat server secara aktif. Cloud SQL memungkinkan Anda memilih antara dua hierarki certificate authority (CA) yang berbeda. Hierarki CA yang Anda pilih akan menjadi mode CA server instance. Jika Anda menggunakan CA per instance sebagai mode CA server untuk instance, sertifikat server memiliki tanggal habis masa berlaku 10 tahun. Jika Anda menggunakan CA bersama sebagai mode CA server untuk instance (Pratinjau), sertifikat server memiliki tanggal habis masa berlaku 1 tahun. Setelah tanggal habis masa berlaku, sertifikat server tidak lagi valid, dan klien tidak dapat lagi membuat koneksi yang aman ke instance Anda menggunakan sertifikat tersebut. Jika klien dikonfigurasi untuk memverifikasi CA atau memverifikasi nama host di sertifikat server, koneksi klien tersebut ke instance Cloud SQL dengan sertifikat server yang sudah tidak berlaku akan gagal. Untuk mencegah gangguan pada koneksi klien, rotasi sertifikat server sebelum masa berlaku sertifikat berakhir. Anda akan diberi tahu secara berkala bahwa sertifikat server hampir habis masa berlakunya. Notifikasi dikirim dalam jumlah hari sebagai berikut sebelum tanggal habis masa berlaku: 90, 30, 10, 2, dan 1.

Anda dapat memperoleh informasi tentang sertifikat server, seperti kapan sertifikat dibuat, dan kapan masa berlakunya berakhir. Sebelum tanggal habis masa berlaku, Anda dapat membuat yang baru secara manual.

Konsol

1. Di konsol Google Cloud, buka halaman Instance Cloud SQL.

   Buka Instance Cloud SQL

2. Untuk membuka halaman Overview instance, klik nama instance.
3. Klik Connections dari menu navigasi SQL.
4. Pilih tab Keamanan.
5. Buka bagian Manage server certificates.

   Anda dapat melihat tanggal habis masa berlaku sertifikat server pada tabel.

gcloud

Untuk instance yang menggunakan sertifikat server yang ditandatangani sendiri (CA per instance):

1. Untuk mendapatkan informasi tentang sertifikat server, gunakan perintah sql ssl server-ca-certs list:

   gcloud sql ssl server-ca-certs list \
   --instance=INSTANCE_NAME

2. Untuk membuat sertifikat server, gunakan perintah sql ssl server-ca-certs create:

   gcloud sql ssl server-ca-certs create \
   --instance=INSTANCE_NAME

3. Download informasi sertifikat ke file PEM lokal:

   gcloud sql ssl server-ca-certs list \
   --format="value(cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem

4. Perbarui semua klien Anda untuk menggunakan informasi baru dengan menyalin file yang didownload ke mesin host klien, menggantikan file server-ca.pem yang sudah ada.

Untuk instance yang menggunakan sertifikat server yang dikeluarkan oleh CA bersama (Pratinjau):

1. Untuk mendapatkan informasi tentang sertifikat server, gunakan perintah beta sql ssl server-certs list:

   gcloud beta sql ssl server-certs list \
      --instance=INSTANCE_NAME

2. Untuk membuat sertifikat server, gunakan perintah beta sql ssl server-certs create:

   gcloud beta sql ssl server-certs create \
      --instance=INSTANCE_NAME

3. Download informasi sertifikat ke file PEM lokal:

   gcloud beta sql ssl server-certs list \
      --format="value(ca_cert.cert)" \
      --instance=INSTANCE_NAME > \
      FILE_PATH/FILE_NAME.pem

4. Perbarui semua klien Anda untuk menggunakan informasi baru dengan menyalin file yang didownload ke mesin host klien, menggantikan file server-ca.pem yang sudah ada.

Terraform

Untuk memberikan informasi sertifikat server sebagai output, gunakan sumber data Terraform:

1. Tambahkan kode berikut ke file konfigurasi Terraform Anda:

      data "google_sql_ca_certs" "ca_certs" {
        instance = google_sql_database_instance.default.name
      }
   
      locals {
        furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
        latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
      }
   
      output "db_latest_ca_cert" {
        description = "Latest CA certificate used by the primary database server"
        value       = local.latest_ca_cert
        sensitive   = true
      }
      

2. Untuk membuat file server-ca.pem, jalankan perintah berikut:

      terraform output db_latest_ca_cert > server-ca.pem
      

Sertifikat klien

Membuat sertifikat klien baru

Anda dapat membuat hingga 10 sertifikat klien untuk setiap instance. Untuk membuat sertifikat klien, Anda harus memiliki peran IAM Cloud SQL Admin.

Berikut adalah beberapa hal penting yang perlu diketahui tentang sertifikat klien:

• Jika kunci pribadi untuk sertifikat hilang, Anda harus membuat yang baru; kunci pribadi tidak dapat dipulihkan.
• Secara default, sertifikat klien memiliki tanggal habis masa berlaku selama 10 tahun.
• Anda tidak akan menerima notifikasi saat sertifikat klien hampir habis masa berlakunya.
• Instance Cloud SQL harus dalam keadaan berjalan untuk membuat sertifikat SSL.

Konsol

1. Di konsol Google Cloud, buka halaman Instance Cloud SQL.

   Buka Instance Cloud SQL

2. Untuk membuka halaman Overview instance, klik nama instance.
3. Klik Connections dari menu navigasi SQL.
4. Pilih tab Security.
5. Klik Create client certificate.
6. Di dialog Create a client certificate, tambahkan nama yang unik.
7. Klik Create.
8. Di bagian pertama dialog New SSL certificate created, klik Download client-key.pem untuk mendownload kunci pribadi ke file bernama client-key.pem.
   Penting: Simpan kunci pribadi ini dengan aman. Jika kehilangan, Anda harus membuat sertifikat klien baru.
9. Di bagian kedua, klik Download client-cert.pem untuk mendownload sertifikat klien ke file bernama client-cert.pem.
10. Di bagian ketiga, klik Download server-ca.pem untuk mendownload sertifikat server ke file bernama server-ca.pem.
11. Klik Close.

gcloud

1. Buat sertifikat klien menggunakan perintah ssl client-certs create:

   gcloud sql ssl client-certs create CERT_NAME client-key.pem \
   --instance=INSTANCE_NAME

   Penting: Simpan kunci pribadi ini dengan aman. Jika kehilangan kunci ini, Anda harus membuat sertifikat klien baru.

2. Ambil kunci publik untuk sertifikat yang baru saja Anda buat dan salin ke dalam file client-cert.pem menggunakan perintah ssl client-certs describe:

   gcloud sql ssl client-certs describe CERT_NAME \
   --instance=INSTANCE_NAME \
   --format="value(cert)" > client-cert.pem

3. Salin sertifikat server ke dalam file server-ca.pem menggunakan perintah instances describe:

   gcloud sql instances describe INSTANCE_NAME \
   --format="value(serverCaCert.cert)" > server-ca.pem

Terraform

Untuk membuat sertifikat klien, gunakan resource Terraform:

resource "google_sql_ssl_cert" "postgres_client_cert" {
  common_name = "postgres_common_name"
  instance    = google_sql_database_instance.postgres_instance.name
}

REST v1

1. Buat sertifikat SSL/TLS, dengan memberikan nama unik untuk instance ini:

   Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

   • project-id: ID project
   • instance-id: ID instance
   • client-cert-name: Nama sertifikat klien

   Metode HTTP dan URL:

   POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

   Meminta isi JSON:

   {
     "commonName" : "client-cert-name"
   }
   

   Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

   curl (Linux, macOS, atau Cloud Shell)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login , atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   Anda akan menerima respons JSON yang mirip dengan yang berikut ini:

   Tanggapan

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[e-mail]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. Salin semua konten sertifikat dalam tanda kutip (tetapi tidak dengan tanda kutipnya) dari respons ke file lokal seperti berikut:
   1. Salin serverCaCert.cert ke server-ca.pem.
   2. Salin clientCert.cert ke client-cert.pem.
   3. Salin certPrivateKey ke client-key.pem.
   Penting: Simpan kunci pribadi ini dengan aman. Jika kehilangan, Anda harus membuat sertifikat klien baru.

REST v1beta4

1. Buat sertifikat SSL/TLS, dengan memberikan nama unik untuk instance ini:

   Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

   • project-id: ID project
   • instance-id: ID instance
   • client-cert-name: Nama sertifikat klien

   Metode HTTP dan URL:

   POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

   Meminta isi JSON:

   {
     "commonName" : "client-cert-name"
   }
   

   Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

   curl (Linux, macOS, atau Cloud Shell)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login , atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts"

   PowerShell (Windows)

   Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login . Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

   Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts" | Select-Object -Expand Content

   Anda akan menerima respons JSON yang mirip dengan yang berikut ini:

   Tanggapan

   {
     "kind": "sql#sslCertsInsert",
     "operation": {
       "kind": "sql#operation",
       "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
       "status": "PENDING",
       "user": "[e-mail]",
       "operationType": "UPDATE",
       "name": "operation-id",
       "targetId": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
       "targetProject": "doc-test-01",
       "insertTime": "2020-02-13T00:11:20.677Z"
     },
     "serverCaCert": {
       "kind": "sql#sslCert",
       "certSerialNumber": "server-cert-serial-number",
       "cert": "server-cert-value",
       "commonName": "server-cert-name,
       "sha1Fingerprint": "server-cert-sha1Fingerprint",
       "instance": "instance-id",
       "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
       "createTime": "2019-11-25T20:12:06.764Z",
       "expirationTime": "2029-11-22T20:13:06.764Z"
     },
     "clientCert": {
       "certInfo": {
         "kind": "sql#sslCert",
         "certSerialNumber": "client-cert-serial-number-2",
         "cert": "client-cert-value",
         "commonName": "client-cert-name",
         "sha1Fingerprint": "client-cert-sha1Fingerprint-2",
         "instance": "instance-id",
         "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts/operation-id",
         "createTime": "2020-02-13T00:10:20.595Z",
         "expirationTime": "2030-02-10T00:11:20.595Z"
       },
       "certPrivateKey": "private-key-value"
     }
   }
   
   

2. Salin semua konten sertifikat dalam tanda kutip (tetapi tidak dengan tanda kutipnya) dari respons ke file lokal seperti berikut:
   1. Salin serverCaCert.cert ke server-ca.pem.
   2. Salin clientCert.cert ke client-cert.pem.
   3. Salin certPrivateKey ke client-key.pem.
   Penting: Simpan kunci pribadi ini dengan aman. Jika kehilangan, Anda harus membuat sertifikat klien baru.

Pada tahap ini, Anda memiliki:

• Sertifikat server yang disimpan sebagai server-ca.pem.
• Sertifikat kunci publik klien yang disimpan sebagai client-cert.pem.
• Kunci pribadi klien yang disimpan sebagai client-key.pem.

Bergantung pada alat yang Anda gunakan untuk terhubung, ketiga item ini ditentukan dengan cara yang berbeda. Misalnya, saat terhubung menggunakan klien command line psql, ketiga file ini adalah nilai untuk parameter sslrootcert, sslcert, dan sslkey dalam string koneksi psql. Untuk contoh koneksi menggunakan klien psql dan SSL/TLS, lihat Menghubungkan ke klien psql.

Tentang verifikasi identitas server

Verifikasi identitas server bergantung pada konfigurasi hierarki otoritas sertifikasi (CA) server instance Cloud SQL Anda.

Jika instance Anda dikonfigurasi untuk menggunakan CA per instance, memverifikasi CA juga akan memverifikasi identitas server karena setiap instance memiliki CA yang unik.

Jika instance Anda dikonfigurasi untuk menggunakan CA bersama (Pratinjau), verifikasi nama host beserta verifikasi CA diperlukan untuk verifikasi identitas server karena CA server dibagikan di seluruh instance.

Jika memiliki CA per instance, Anda hanya dapat melakukan verifikasi identitas server berbasis nama DNS untuk instance Private Service Connect.

Jika memiliki CA bersama (Pratinjau), Anda dapat melakukan verifikasi identitas server berbasis nama DNS untuk semua jenis instance, yaitu Private Service Connect, akses layanan pribadi, dan instance IP publik.

Anda dapat melihat hierarki CA yang dikonfigurasi untuk instance Cloud SQL dengan melihat detail instance.

Untuk informasi selengkapnya, lihat Melihat informasi instance atau bagian berikut, Mengaktifkan verifikasi identitas server.

Mengaktifkan verifikasi identitas server

Jika Anda memilih CA bersama sebagai mode CA server instance Cloud SQL (Pratinjau), sebaiknya Anda juga mengaktifkan verifikasi identitas server. Instance yang menggunakan CA bersama sebagai mode CA server berisi nama DNS instance di kolom Subject Alternative Name (SAN) sertifikat server. Anda bisa mendapatkan nama DNS ini menggunakan API pencarian instance dan menggunakan respons sebagai nama host untuk verifikasi identitas server. Anda perlu menyiapkan resolusi DNS untuk nama DNS.

Untuk mengaktifkan verifikasi identitas server, selesaikan langkah-langkah berikut:

1. Ambil nama DNS.

   1. Untuk melihat informasi ringkasan tentang instance Cloud SQL, termasuk nama DNS instance tersebut, gunakan perintah gcloud sql instances describe:

      gcloud sql instances describe INSTANCE_NAME \
        --project=PROJECT_ID

      Lakukan penggantian berikut:

      • INSTANCE_NAME: nama instance Cloud SQL
      • PROJECT_ID: ID atau nomor project project Google Cloud yang berisi instance

   2. Dalam respons, pastikan nama DNS muncul. Nama ini memiliki pola berikut:

      INSTANCE_UID.PROJECT_DNS_LABEL.REGION_NAME.sql.goog.
      

      Contoh:

      1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.

2. Buat data DNS di zona DNS. Jika Anda terhubung secara pribadi, buat data DNS di zona DNS pribadi di jaringan Virtual Private Cloud (VPC) yang sesuai.

3. Saat Anda terhubung ke instance Cloud SQL untuk PostgreSQL, konfigurasikan nama DNS sebagai nama host. Kemudian, aktifkan verifikasi identitas server di klien Anda.

   Misalnya, saat menggunakan klien psql, tentukan flag sslmode=verify-full. Driver klien PostgreSQL lainnya memiliki flag konfigurasi yang serupa.

Langkah selanjutnya

• Kelola sertifikat SSL/TLS di instance Cloud SQL.
• Pelajari lebih lanjut cara penanganan enkripsi di Google Cloud.
• Hubungkan ke instance Cloud SQL Anda menggunakan sertifikat SSL/TLS.
• Pelajari lebih lanjut cara PostgreSQL menggunakan sertifikat SSL/TLS.