In questa pagina viene descritto come configurare una connessione da un'applicazione in esecuzione da Google Kubernetes Engine (GKE) a un'istanza Cloud SQL.
Per istruzioni dettagliate sull'esecuzione di un'applicazione web di esempio di Google Kubernetes Engine collegata a Cloud SQL, consulta la guida rapida per la connessione da Google Kubernetes Engine.
Cloud SQL è un servizio di database completamente gestito che ti aiuta a configurare, gestire e amministrare i database relazionali nel cloud.
Google Kubernetes Engine è un modo semplice per eseguire automaticamente il deployment, e gestire Kubernetes.
Informazioni sulla connessione di Google Kubernetes Engine a Cloud SQL
Per accedere a un'istanza Cloud SQL da un'applicazione in esecuzione Google Kubernetes Engine, puoi utilizzare il proxy di autenticazione Cloud SQL (con IP pubblico o privato), o connetterti direttamente usando un indirizzo IP privato.
Il proxy di autenticazione Cloud SQL è il metodo consigliato per connettersi a Cloud SQL, anche quando utilizzando l'IP privato. Questo perché il proxy di autenticazione Cloud SQL fornisce crittografia e autenticazione avanzate utilizzando IAM, il che può contribuire a proteggere il tuo database.
Le connessioni al database consumano risorse sul server e durante la connessione un'applicazione. Usa sempre buone pratiche di gestione della connessione per ridurre al minimo dell'applicazione e ridurre la probabilità di superare Limiti di connessione di Cloud SQL. Per saperne di più, consulta Gestire le connessioni al database.
Prima di iniziare
Per connetterti a Cloud SQL devi disporre di:
Un cluster GKE, con Strumento a riga di comando
kubectl
installato e configurato per comunicare con in un cluster Kubernetes.Per iniziare a utilizzare GKE, vedi Eseguire il deployment di un'app in un cluster GKE.
Per la connessione tramite IP privato, il cluster deve essere nativo VPC ed è in peering con la stessa rete Virtual Private Cloud (VPC) dell'istanza Cloud SQL.
Un'istanza creata.
Per informazioni sulla creazione di un'istanza Cloud SQL, consulta Creazione di istanze.
Un account utente PostgreSQL configurato nell'istanza.
L'applicazione utilizzerà questo account per connettersi al database. Per assistenza con la creazione di un account utente, consulta Creazione di un utente.
Informazioni sui secret di Kubernetes
In Kubernetes, i Secret sono un modo sicuro per trasferire i dettagli di configurazione all'applicazione. Puoi crea un secret con dettagli come nome, utente e password del database che puoi inserire nell'applicazione come variabili env.
Esistono molti modi diversi per utilizzare i secret, a seconda del tipo di connessione:
- Un secret delle credenziali del database include il nome dell'utente del database che stai e la password del database dell'utente.
- Se ti connetti con il proxy di autenticazione Cloud SQL, è possibile utilizzare un secret per memorizzare il servizio le credenziali dell'account.
- In caso di connessione con un IP privato, è possibile utilizzare un secret per specificare Indirizzo IP dell'istanza Cloud SQL.
Per esempi completi su come utilizzare i secret, consulta i repository GitHub a cui si fa riferimento più avanti in questa pagina.
Crea un oggetto Secret
Per creare gli oggetti Secret, utilizza il comando
kubectl create secret
.Per creare un secret delle credenziali del database:
kubectl create secret generic <YOUR-DB-SECRET> \ --from-literal=username=<YOUR-DATABASE-USER> \ --from-literal=password=<YOUR-DATABASE-PASSWORD> \ --from-literal=database=<YOUR-DATABASE-NAME>
Una volta creati, puoi visualizzare gli oggetti nella sezione Configurazione di la pagina Google Kubernetes Engine nella console Google Cloud.
Connettiti a Cloud SQL utilizzando il proxy di autenticazione Cloud SQL
Quando ti connetti utilizzando il proxy di autenticazione Cloud SQL, il proxy di autenticazione Cloud SQL
viene aggiunto al tuo pod utilizzando il pattern container sidecar
. La
Il container proxy di autenticazione Cloud SQL si trova nello stesso pod della tua applicazione,
consente all'applicazione di connettersi al proxy di autenticazione Cloud SQL utilizzando localhost
,
aumentando la sicurezza e le prestazioni.
Per saperne di più sul proxy di autenticazione Cloud SQL, consulta Informazioni sul proxy di autenticazione Cloud SQL. Per ulteriori informazioni sull'utilizzo dei pod, consulta Panoramica dei pod in Kubernetes documentazione.
Per connetterti utilizzando il proxy di autenticazione Cloud SQL, hai bisogno di quanto segue:
Il nome della connessione dell'istanza di Cloud SQL.
Il nome della connessione istanza è disponibile in Cloud SQL Dettagli istanza della console Google Cloud o Comando
gcloud sql instances describe INSTANCE_ID
.La posizione del file della chiave associato a un account di servizio con i privilegi appropriati per la tua istanza Cloud SQL.
Per ulteriori informazioni, consulta la sezione Creazione di un account di servizio.
L'API Cloud SQL Admin è abilitata.
Fornisci l'account di servizio al proxy di autenticazione Cloud SQL
Il primo passaggio per eseguire il proxy di autenticazione Cloud SQL in Google Kubernetes Engine è creare Account di servizio Google (GSA) per rappresentare la tua applicazione. Ti consigliamo di creare un account di servizio univoco per ogni applicazione, invece di utilizzare lo stesso servizio Google Cloud ovunque. Questo modello è più sicuro perché consente di limitare autorizzazioni di ogni singola applicazione.
L'account di servizio per la tua applicazione deve soddisfare i seguenti criteri:
- Appartenere a un progetto con l'API Cloud SQL Admin abilitata
- Deve aver ricevuto il ruolo IAM client Cloud SQL (o equivalente) per il progetto contenente l'istanza a cui vuoi connetterti
- Se ti connetti utilizzando un IP privato, devi utilizzare un cluster GKE nativo di VPC, nel stesso VPC della tua istanza Cloud SQL
Devi configurare GKE per fornire l'account di servizio il proxy di autenticazione Cloud SQL. Puoi farlo in due modi: Workload Identity o un account di servizio chiave.
Workload Identity
Se utilizzi Google Kubernetes Engine, il metodo preferito è usano la funzionalità Workload Identity di GKE. Questo metodo consente di associare un account di servizio Kubernetes (KSA) a un account di servizio Google (GSA). Sarà quindi accessibile alle applicazioni che utilizzano l'Arabia Saudita corrispondente.
Un account di servizio Google (GSA) è un'identità IAM che rappresenta la tua in Google Cloud. In modo simile, un servizio Kubernetes L'account Arabia Saudita è un'identità che rappresenta la tua applicazione in un in un cluster Google Kubernetes Engine.
Workload Identity associa un'Arabia Saudita a una Google Cloud, determinando che qualsiasi deployment con quell'Arabia Saudita autenticarsi come Google Cloud nelle interazioni con Google Cloud.
- Abilitare Workload Identity per il cluster
In genere, ogni applicazione ha la propria identità, rappresentata da un Arabia Saudita e la coppia di GB. Crea un'Arabia Saudita per l'applicazione eseguendo
kubectl apply -f service-account.yaml
:Abilita l'associazione IAM tra YOUR-GSA-NAME e YOUR-KSA-NAME:
gcloud iam service-accounts add-iam-policy-binding \ --role="roles/iam.workloadIdentityUser" \ --member="serviceAccount:YOUR-GOOGLE-CLOUD-PROJECT.svc.id.goog[YOUR-K8S-NAMESPACE/YOUR-KSA-NAME]" \ YOUR-GSA-NAME@YOUR-GOOGLE-CLOUD-PROJECT.iam.gserviceaccount.com
Aggiungi un'annotazione a YOUR-KSA-NAME per completare l'associazione:
kubectl annotate serviceaccount \ YOUR-KSA-NAME \ iam.gke.io/gcp-service-account=YOUR-GSA-NAME@YOUR-GOOGLE-CLOUD-PROJECT.iam.gserviceaccount.com
Infine, assicurati di specificare l'account di servizio per l'oggetto k8s.
File della chiave dell'account di servizio
In alternativa, se non riesci a utilizzare Workload Identity, il pattern consigliato è
per montare un file di chiave dell'account di servizio nel pod del proxy di autenticazione Cloud SQL e utilizzare
--credentials-file
flag.
Crea un file di credenziali per la chiave dell'account di servizio:
gcloud iam service-accounts keys create ~/key.json \ --iam-account=YOUR-SA-NAME@project-id.iam.gserviceaccount.com
Trasforma la chiave dell'account di servizio in un secret k8s:
kubectl create secret generic YOUR-SA-SECRET \ --from-file=service_account.json=~/key.json
Monta il secret come volume sotto
spec:
per il tuo oggetto k8s:Segui le istruzioni nella sezione successiva per accedere al volume dalla il pod del proxy di autenticazione Cloud SQL.
Esegui il proxy di autenticazione Cloud SQL in un pattern sidecar
Consigliamo di eseguire Cloud SQL Auth Proxy in un pattern sidecar
(come contenitore aggiuntivo che condivide un pod con l'applicazione). Lo consigliamo piuttosto di usare
come servizio separato per vari motivi:
- Impedisce l'esposizione del traffico SQL a livello locale. Il proxy di autenticazione Cloud SQL fornisce la crittografia per le connessioni in uscita, ma devi limitare l'esposizione per le connessioni in entrata.
- Previene un single point of failure; l'accesso di ogni applicazione poiché il database è indipendente dagli altri, il che lo rende più resiliente.
- Limita l'accesso al proxy di autenticazione Cloud SQL, consentendoti di utilizzare le autorizzazioni IAM per anziché esporre il database all'intero cluster.
Consente di definire l'ambito delle richieste di risorse in modo più accurato; perché Il proxy di autenticazione Cloud SQL consuma le risorse in modo lineare fino all'utilizzo, questo pattern ti consente definire l'ambito e richiedere le risorse in modo che corrispondano alle applicazioni delle scale.
Aggiungi il proxy di autenticazione Cloud SQL alla configurazione del pod in
containers
:Se utilizzi una chiave dell'account di servizio, specifica il volume del secret e aggiungi il flag
--credentials-file
al comando:
- Se utilizzi l'autenticazione dei database IAM,
avviare il proxy di autenticazione Cloud SQL con il flag
--auto-iam-authn
.
- Infine, configura l'applicazione in modo che si connetta utilizzando
127.0.0.1
su a seconda di quale DB_PORT hai specificato nella sezione di comando.
Completa i file di configurazione di esempio:
Workload Identity
Chiave account di servizio
Connettiti a Cloud SQL senza il proxy di autenticazione Cloud SQL
Sebbene non sia così sicuro, è possibile connettersi da un cluster GKE VPC nativo a su un'istanza Cloud SQL sullo stesso VPC utilizzando un IP privato senza il proxy di autenticazione Cloud SQL.
Crea un secret con l'indirizzo IP privato della tua istanza:
kubectl create secret generic <YOUR-PRIVATE-IP-SECRET> \ --from-literal=db_host=<YOUR-PRIVATE-IP-ADDRESS>
Assicurati di aggiungere il secret al container della tua applicazione:
Infine, configura l'applicazione in modo che si connetta utilizzando l'indirizzo IP del
DB_HOST
var. amb. Dovrai utilizzare la porta corretta per PostgreSQL: 5432
File di configurazione di esempio completo:
IP privato
Risoluzione dei problemi
Serve aiuto? Per assistenza nella risoluzione dei problemi relativi al proxy, consulta Risoluzione dei problemi di connessioni del proxy di autenticazione Cloud SQL. o consulta la pagina dell'assistenza Cloud SQL.
Passaggi successivi
Scopri di più sull'IP privato.
Scopri di più sul proxy di autenticazione Cloud SQL e sull'immagine Docker proxy.
Consulta la risoluzione dei problemi di connessioni al proxy di autenticazione Cloud SQL.
Scopri di più su Google Kubernetes Engine.
Scopri le opzioni di assistenza.