SSL/TLS-Zertifikate konfigurieren

Auf dieser Seite wird beschrieben, wie Sie die SSL/TLS-Verschlüsselung für eine Instanz erzwingen, damit alle Verbindungen verschlüsselt werden. Sie können auch mehr dazu erfahren, wie Cloud SQL selbstverwaltete SSL/TLS-Zertifikate verwendet, um eine sichere Verbindung zu Cloud SQL-Instanzen herzustellen

Übersicht

Cloud SQL generiert automatisch ein Serverzertifikat (server-ca.pem), wenn Sie eine Instanz erstellen. Wir empfehlen, alle Verbindungen zur Verwendung von SSL/TLS zu zwingen.

Erstellen Sie ein Clientzertifikat laden Sie die Zertifikate auf Ihren PostgreSQL-Clienthostcomputer herunter, um die Client-/Serveridentität mithilfe von SSL/TLS-Zertifikaten zu validieren.

Wenn Sie für eine Instanz SSL erzwingen, ist für die Instanz kein Neustart erforderlich. Änderungen an SSL/TLS-Zertifikaten können jedoch zu einem automatischen Neustart der Instanz führen und Ausfallzeiten verursachen.

Eine Änderung der SSL-Modus-Konfiguration gilt nur für neue Verbindungen. Wenn Sie SSL erzwingen und Ihre Instanz vorhandene unverschlüsselte Verbindungen hat, bleiben die Verbindungen verbunden und unverschlüsselt. Sie müssen Ihre Instanz neu starten, um unverschlüsselte Verbindungen zu schließen und SSL auf allen Verbindungen zu erzwingen.

SSL/TLS-Verschlüsselung erzwingen

Sie können die Einstellung SSL-Modus verwenden, um die SSL-Verschlüsselung zu erzwingen:

  • Sowohl Nicht-SSL als auch Nicht-TLS zulassen und SSL/TLS-Verbindungen herstellen. Das Clientzertifikat wird für SSL/TLS-Verbindungen nicht geprüft. Das ist die Standardeinstellung.

  • Erlaubt nur Verbindungen, die mit SSL/TLS verschlüsselt wurden. Das Clientzertifikat wird für SSL-Verbindungen nicht geprüft.

  • Erlaubt nur Verbindungen, die mit SSL/TLS und mit gültigen Client-Zertifikaten verschlüsselt wurden.

Wenn Sie für Ihre Cloud SQL-Instanz Nicht-SSL/Nicht-TLS- und SSL/TLS-Verbindungen zulassen auswählen, werden SSL-/TLS-Verbindungen sowie unverschlüsselte und unsichere Verbindungen akzeptiert. Wenn Sie nicht für alle Verbindungen SSL/TLS benötigen, sind unverschlüsselte Verbindungen weiterhin zulässig. Es wird daher dringend empfohlen, SSL für alle Verbindungen zu erzwingen, wenn über öffentliche IP-Adressen auf Ihre Instanz zugegriffen wird.

Sie können SSL/TLS-Zertifikate verwenden, um eine direkte Verbindung zu Instanzen herzustellen, oder Sie können über den Cloud SQL Auth Proxy oder Cloud SQL-Connectors eine Verbindung herstellen. Wenn Sie eine Verbindung über Cloud SQL Auth Proxy oder Cloud SQL Connectors herstellen, werden die Verbindungen automatisch mit SSL/TLS verschlüsselt. Mit Cloud SQL Auth Proxy und Cloud SQL Connectors werden Client- und Server-Identitäten auch unabhängig von der Einstellung des SSL-Modus automatisch überprüft.

So aktivieren Sie die Erfordernis von SSL/TLS:

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

    Cloud SQL-Instanzen aufrufen

  2. Klicken Sie auf den Instanznamen, um die Seite Übersicht einer Instanz zu öffnen.
  3. Klicken Sie im SQL-Navigationsmenü auf Verbindungen.
  4. Wählen Sie den Tab Sicherheit aus.
  5. Folgende Optionen sind verfügbar:
    • Unverschlüsselten Netzwerktraffic zulassen (nicht empfohlen)
    • Nur SSL-Verbindungen zulassen. Diese Option lässt nur Verbindungen mit SSL/TLS-Verschlüsselung zu. Zertifikate werden nicht validiert.
    • Vertrauenswürdige Clientzertifikate erforderlich. Diese Option lässt nur Verbindungen von Clients zu, die ein gültiges Clientzertifikat verwenden und SSL-verschlüsselt sind. Wenn ein Client oder Nutzer über die IAM-Datenbankauthentifizierung eine Verbindung herstellt, müssen sie entweder den Cloud SQL Auth Proxy oder die Cloud SQL-Connectors verwenden, um die Überprüfung der Kundenidentität zu erzwingen.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE

Ersetzen Sie SSL_ENFORCEMENT_MODE durch eine der folgenden Optionen:

  • ALLOW_UNENCRYPTED_AND_ENCRYPTED: Lässt Nicht-SSL-/Nicht-TLS- und SSL/TLS-Verbindungen zu. Bei SSL-Verbindungen wird das Clientzertifikat nicht geprüft. Dies ist der Standardwert.
  • ENCRYPTED_ONLY: Erlaubt nur Verbindungen, die mit SSL/TLS verschlüsselt wurden. Das Clientzertifikat wird für SSL-Verbindungen nicht geprüft.
  • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: Erlaubt nur Verbindungen, die mit SSL/TLS und mit gültigen Client-Zertifikaten verschlüsselt wurden. Wenn ein Client oder Nutzer über die IAM-Datenbankauthentifizierung eine Verbindung herstellt, müssen sie entweder den Cloud SQL Auth Proxy oder die Cloud SQL-Connectors verwenden, um die Überprüfung der Kundenidentität zu erzwingen.
    • Weitere Informationen finden Sie unter Einstellungen: Cloud SQL for PostgreSQL.

Terraform

Verwenden Sie zum Erzwingen der SSL/TLS-Verschlüsselung eine Terraform-Ressource: 

resource "google_sql_database_instance" "postgres_instance" {
  name             = "postgres-instance"
  region           = "asia-northeast1"
  database_version = "POSTGRES_14"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      # The following SSL enforcement options only allow connections encrypted with SSL/TLS and with
      # valid client certificates. Please check the API reference for other SSL enforcement options:
      # https://cloud.google.com/sql/docs/postgres/admin-api/rest/v1beta4/instances#ipconfiguration
      ssl_mode = "TRUSTED_CLIENT_CERTIFICATE_REQUIRED"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Änderungen anwenden

Führen Sie die Schritte in den folgenden Abschnitten aus, um Ihre Terraform-Konfiguration auf ein Google Cloud-Projekt anzuwenden.

Cloud Shell vorbereiten

  1. Rufen Sie Cloud Shell auf.

  2. Legen Sie das Google Cloud-Standardprojekt fest, auf das Sie Ihre Terraform-Konfigurationen anwenden möchten.

    Sie müssen diesen Befehl nur einmal pro Projekt und in jedem beliebigen Verzeichnis ausführen.

    export GOOGLE_CLOUD_PROJECT=PROJECT_ID

    Umgebungsvariablen werden überschrieben, wenn Sie in der Terraform-Konfigurationsdatei explizite Werte festlegen.

Verzeichnis vorbereiten

Jede Terraform-Konfigurationsdatei muss ein eigenes Verzeichnis haben (auch als Stammmodul bezeichnet).

  1. Erstellen Sie in Cloud Shell ein Verzeichnis und eine neue Datei in diesem Verzeichnis. Der Dateiname muss die Erweiterung .tf haben, z. B. main.tf. In dieser Anleitung wird die Datei als main.tf bezeichnet. 
    mkdir DIRECTORY && cd DIRECTORY && touch main.tf

  2. Wenn Sie einer Anleitung folgen, können Sie den Beispielcode in jedem Abschnitt oder Schritt kopieren.

    Kopieren Sie den Beispielcode in das neu erstellte main.tf.

    Kopieren Sie optional den Code aus GitHub. Dies wird empfohlen, wenn das Terraform-Snippet Teil einer End-to-End-Lösung ist.

  3. Prüfen und ändern Sie die Beispielparameter, die auf Ihre Umgebung angewendet werden sollen.
  4. Speichern Sie die Änderungen.
  5. Initialisieren Sie Terraform. Dies ist nur einmal für jedes Verzeichnis erforderlich. 
    terraform init

    Fügen Sie optional die Option -upgrade ein, um die neueste Google-Anbieterversion zu verwenden: 

    terraform init -upgrade

Änderungen anwenden

  1. Prüfen Sie die Konfiguration und prüfen Sie, ob die Ressourcen, die Terraform erstellen oder aktualisieren wird, Ihren Erwartungen entsprechen: 
    terraform plan

    Korrigieren Sie die Konfiguration nach Bedarf.

  2. Wenden Sie die Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein: 
    terraform apply

    Warten Sie, bis Terraform die Meldung „Apply complete“ anzeigt.

  3. Öffnen Sie Ihr Google Cloud-Projekt, um die Ergebnisse aufzurufen. Rufen Sie in der Google Cloud Console Ihre Ressourcen in der Benutzeroberfläche auf, um sicherzustellen, dass Terraform sie erstellt oder aktualisiert hat.

Änderungen löschen

So löschen Sie das Projekt:

  1. Um den Löschschutz zu deaktivieren, setzen Sie in der Terraform-Konfigurationsdatei das Argument deletion_protection auf false. 
    deletion_protection =  "false"
  2. Wenden Sie die aktualisierte Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein: 
    terraform apply

  1. Entfernen Sie Ressourcen, die zuvor mit Ihrer Terraform-Konfiguration angewendet wurden, indem Sie den folgenden Befehl ausführen und yes an der Eingabeaufforderung eingeben:

    terraform destroy

REST Version 1

  1. Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • PROJECT_ID: die Projekt-ID
    • SSL_ENFORCEMENT_MODE: Verwenden Sie eine der folgenden Optionen:
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED: Lässt Nicht-SSL-/Nicht-TLS- und SSL/TLS-Verbindungen zu. Bei SSL-Verbindungen wird das Clientzertifikat nicht geprüft. Dies ist der Standardwert.
      • ENCRYPTED_ONLY: Erlaubt nur Verbindungen, die mit SSL/TLS verschlüsselt wurden.
      • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: Erlaubt nur Verbindungen, die mit SSL/TLS und mit gültigen Client-Zertifikaten verschlüsselt wurden. Wenn ein Client oder Nutzer über die IAM-Datenbankauthentifizierung eine Verbindung herstellt, müssen sie entweder den Cloud SQL Auth Proxy oder die Cloud SQL-Connectors verwenden, um die Überprüfung der Kundenidentität zu erzwingen.
    • INSTANCE_ID: die Instanz-ID

    HTTP-Methode und URL:

    PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

    JSON-Text anfordern:

    
{
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Sie sollten in etwa folgende JSON-Antwort erhalten:

REST v1beta4

  1. Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • PROJECT_ID: die Projekt-ID
    • SSL_ENFORCEMENT_MODE: Verwenden Sie eine der folgenden Optionen:
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED: Lässt Nicht-SSL-/Nicht-TLS- und SSL/TLS-Verbindungen zu. Bei SSL-Verbindungen wird das Clientzertifikat nicht geprüft. Dies ist der Standardwert.
      • ENCRYPTED_ONLY: Erlaubt nur Verbindungen, die mit SSL/TLS verschlüsselt wurden.
      • TRUSTED_CLIENT_CERTIFICATE_REQUIRED: Erlaubt nur Verbindungen, die mit SSL/TLS und mit gültigen Client-Zertifikaten verschlüsselt wurden. Wenn ein Client oder Nutzer über die IAM-Datenbankauthentifizierung eine Verbindung herstellt, müssen sie entweder den Cloud SQL Auth Proxy oder die Cloud SQL-Connectors verwenden, um die Überprüfung der Kundenidentität zu erzwingen.
    • INSTANCE_ID: die Instanz-ID

    HTTP-Methode und URL:

    PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

    JSON-Text anfordern:

    {
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Sie sollten in etwa folgende JSON-Antwort erhalten:

Serverzertifikate

Cloud SQL generiert automatisch ein Serverzertifikat, wenn Sie eine Instanz erstellen. Solange das Serverzertifikat gültig ist, müssen Sie keine Schritte zum Verwalten Ihres Serverzertifikats ausführen. Wenn das Ablaufdatum des Zertifikats nach zehn Jahren jedoch erreicht und überschritten wird, ist das Zertifikat ungültig und kann von den Clients nicht mehr verwendet werden, um eine sichere Verbindung zu Ihrer Instanz herzustellen. Sie werden benachrichtigt, wenn das Serverzertifikat bald abläuft. Die Benachrichtigungen werden an den folgenden Tagen vor dem Ablaufdatum gesendet: 90, 30, 10, 2 und 1.

Sie können Informationen zu Ihrem Serverzertifikat abrufen, z. B. wann es erstellt wurde und wann es abläuft. Außerdem haben Sie die Möglichkeit, manuell ein neues Zertifikat zu erstellen.

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

    Cloud SQL-Instanzen aufrufen

  2. Klicken Sie auf den Instanznamen, um die Seite Übersicht einer Instanz zu öffnen.
  3. Klicken Sie im SQL-Navigationsmenü auf Verbindungen.
  4. Wählen Sie den Tab Sicherheit aus.
  5. Gehen Sie zum Abschnitt Serverzertifikate verwalten.

    In der Tabelle sehen Sie das Ablaufdatum Ihres Serverzertifikats.

gcloud

  1. Rufen Sie Informationen zum Dienstzertifikat ab: 
    gcloud beta sql ssl server-ca-certs list \
--instance=INSTANCE_NAME
  2. Erstellen Sie ein Serverzertifikat: 
    gcloud beta sql ssl server-ca-certs create \
--instance=INSTANCE_NAME
  3. Laden Sie die Zertifikatsinformationen in eine lokale PEM-Datei herunter: 
    gcloud beta sql ssl server-ca-certs list \
--format="value(cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/FILE_NAME.pem
  4. Aktualisieren Sie alle Ihre Clients so, dass die neuen Informationen verwendet werden. Kopieren Sie hierzu die heruntergeladene Datei auf Ihre Client-Hostcomputer und ersetzen Sie die vorhandenen server-ca.pem-Dateien.

Terraform

Verwenden Sie zum Bereitstellen von Informationen zum Serverzertifikat als Ausgabe eine Terraform-Datenquelle:

  1. Fügen Sie Ihrer Terraform-Konfigurationsdatei Folgendes hinzu: 
       data "google_sql_ca_certs" "ca_certs" {
     instance = google_sql_database_instance.default.name
   }

   locals {
     furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
     latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
   }

   output "db_latest_ca_cert" {
     description = "Latest CA certificate used by the primary database server"
     value       = local.latest_ca_cert
     sensitive   = true
   }
  2. Führen Sie den folgenden Befehl aus, um die Datei server-ca.pem zu erstellen: 
       terraform output db_latest_ca_cert > server-ca.pem

Clientzertifikate

Neues Clientzertifikat erstellen

Sie können für jede Instanz bis zu zehn Clientzertifikate erstellen. Zum Erstellen von Clientzertifikaten benötigen Sie die IAM-Rolle Cloud SQL Admin.

Beachten Sie bei Clientzertifikaten Folgendes:

  • Wenn Sie den privaten Schlüssel für ein Zertifikat verlieren, müssen Sie einen neuen Schlüssel erstellen. Der private Schlüssel kann nicht wiederhergestellt werden.
  • Das Clientzertifikat hat standardmäßig ein Ablaufdatum von 10 Jahren.
  • Sie werden nicht benachrichtigt, wenn die Clientzertifikate bald ablaufen.
  • Die Cloud SQL-Instanz muss ausgeführt werden, um ein SSL-Zertifikat erstellen zu können.

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

    Cloud SQL-Instanzen aufrufen

  2. Klicken Sie auf den Instanznamen, um die Seite Übersicht einer Instanz zu öffnen.
  3. Klicken Sie im SQL-Navigationsmenü auf Verbindungen.
  4. Wählen Sie den Tab Sicherheit aus.
  5. Klicken Sie auf Clientzertifikat erstellen.
  6. Geben Sie im Dialogfeld Clientzertifikat erstellen einen eindeutigen Namen ein.
  7. Klicken Sie auf Erstellen.
  8. Klicken Sie im ersten Abschnitt des Dialogfelds Neues SSL-Zertifikat erstellt auf client-key.pem herunterladen, um den privaten Schlüssel in eine Datei mit dem Namen client-key.pem herunterzuladen.
  9. Klicken Sie im zweiten Abschnitt auf client-cert.pem herunterladen, um das Clientzertifikat in eine Datei mit dem Namen client-cert.pem herunterzuladen.
  10. Klicken Sie im dritten Abschnitt auf server-ca.pem herunterladen, um das Serverzertifikat in eine Datei mit dem Namen server-ca.pem herunterzuladen.
  11. Klicken Sie auf Schließen.

gcloud

  1. Erstellen Sie mit dem Befehl ssl client-certs create ein Clientzertifikat:

    gcloud sql ssl client-certs create CERT_NAME client-key.pem \
--instance=INSTANCE_NAME

  2. Rufen Sie den öffentlichen Schlüssel für das gerade erstellte Zertifikat ab und kopieren Sie ihn mit dem Befehl ssl client-certs describe in die Datei client-cert.pem:

    gcloud sql ssl client-certs describe CERT_NAME \
--instance=INSTANCE_NAME \
--format="value(cert)" > client-cert.pem

  3. Kopieren Sie das Serverzertifikat mit dem Befehl instances describe in die Datei server-ca.pem:

    gcloud sql instances describe INSTANCE_NAME \
--format="value(serverCaCert.cert)" > server-ca.pem

Terraform

Verwenden Sie zum Erstellen eines Clientzertifikats eine Terraform-Ressource: 

resource "google_sql_ssl_cert" "postgres_client_cert" {
  common_name = "postgres_common_name"
  instance    = google_sql_database_instance.postgres_instance.name
}

REST Version 1

  1. Erstellen Sie ein SSL/TLS-Zertifikat. Sein Name darf für diese Instanz nur einmal vorkommen:

    Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • project-id: die Projekt-ID
    • instance-id: die Instanz-ID
    • client-cert-name: der Name des Clientzertifikats

    HTTP-Methode und URL:

    POST https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id/sslCerts

    JSON-Text anfordern:

    {
  "commonName" : "client-cert-name"
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Sie sollten in etwa folgende JSON-Antwort erhalten:

  2. Gehen Sie so vor, um den gesamten Zertifikatsinhalt innerhalb der Anführungszeichen (jedoch ohne die Anführungszeichen selbst) aus der Antwort in lokale Dateien zu kopieren:
    1. Kopieren Sie serverCaCert.cert in server-ca.pem.
    2. Kopieren Sie clientCert.cert in client-cert.pem.
    3. Kopieren Sie certPrivateKey in client-key.pem.

REST v1beta4

  1. Erstellen Sie ein SSL/TLS-Zertifikat. Sein Name darf für diese Instanz nur einmal vorkommen:

    Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • project-id: die Projekt-ID
    • instance-id: die Instanz-ID
    • client-cert-name: der Name des Clientzertifikats

    HTTP-Methode und URL:

    POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id/sslCerts

    JSON-Text anfordern:

    {
  "commonName" : "client-cert-name"
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Sie sollten in etwa folgende JSON-Antwort erhalten:

  2. Gehen Sie so vor, um den gesamten Zertifikatsinhalt innerhalb der Anführungszeichen (jedoch ohne die Anführungszeichen selbst) aus der Antwort in lokale Dateien zu kopieren:
    1. Kopieren Sie serverCaCert.cert in server-ca.pem.
    2. Kopieren Sie clientCert.cert in client-cert.pem.
    3. Kopieren Sie certPrivateKey in client-key.pem.

Sie verfügen nun über die folgenden Elemente:

  • Ein Serverzertifikat, das als server-ca.pem gespeichert ist.
  • Ein Public-Key-Zertifikat des Clients, das als client-cert.pem gespeichert ist.
  • Einen privaten Schlüssel für den Client, der als client-key.pem gespeichert ist.
Je nachdem, welches Tool beim Verbindungsaufbau verwendet wird, werden diese drei Elemente auf unterschiedliche Weise angegeben. Wenn Sie zum Beispiel für den Verbindungsaufbau den psql-Befehlszeilenclient nutzen, sind diese drei Dateien die Werte für die Parameter sslrootcert, sslcert und sslkey im psql-Verbindungsstring. Ein Beispiel für den Verbindungsaufbau mit dem psql-Client und SSL/TLS finden Sie unter Mit dem psql-Client verbinden.

Nächste Schritte