Cette page contient des procédures permettant de créer ou de modifier des instances Cloud SQL afin d'autoriser les utilisateurs, les comptes de service ou les groupes configurés à utiliser l'authentification IAM pour les bases de données Cloud SQL. Pour en savoir plus sur l'intégration IAM dans Cloud SQL, consultez la page Authentification IAM.
Une nouvelle instance possède une base de données postgres
.
Avant de commencer
- Connectez-vous à votre compte Google Cloud. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits gratuits pour exécuter, tester et déployer des charges de travail.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Assurez-vous de disposer des rôles d'administrateur Cloud SQL et de lecteur de Compute sur votre compte utilisateur.
En savoir plus sur les rôles et les autorisations
Configurer de nouvelles instances pour l'authentification IAM pour les bases de données
Pour configurer une nouvelle instance Cloud SQL pour l'authentification IAM pour les bases de données, vous devez activer l'option cloudsql.iam_authentication
.
Une fois cette option activée, vous pouvez ajouter des utilisateurs IAM, des comptes de service ou des groupes à l'instance Cloud SQL.
Pour configurer une nouvelle instance Cloud SQL afin qu'elle utilise l'authentification IAM pour les bases de données, procédez comme suit :
Console
-
Dans Google Cloud Console, accédez à la page Instances Cloud SQL.
- Cliquez sur Create Instance (Créer une instance).
- Cliquez sur Choisir PostgreSQL.
- Entrez un nom pour l'ID d'instance. N'incluez pas d'informations sensibles ou personnelles dans le nom de l'instance, car les utilisateurs externes peuvent le voir. Vous n'avez pas besoin d'indiquer l'ID du projet dans le nom de l'instance. L'ID du projet est automatiquement inclus le cas échéant (par exemple, dans les fichiers journaux).
- Saisissez un mot de passe pour l'administrateur par défaut.
- Dans le menu Version de la base de données, sélectionnez une version de base de données.
- Dans la section Sélectionner la disponibilité régionale et zonale, sélectionnez la région et la zone de votre instance. Placez l'instance dans la même région que les ressources qui y accèdent. La région que vous sélectionnez ne peut plus être modifiée. En règle générale, il n'est pas nécessaire de spécifier une zone.
- Dans la section Personnaliser votre instance, cliquez sur Afficher les options de configuration, puis développez Options.
- Cliquez sur Ajouter une option.
- Dans le menu Sélectionner une option, sélectionnez l'option
cloudsql.iam_authentication
. Assurez-vous que le paramètre Activé est sélectionné comme valeur pour cette option, puis cliquez sur OK. - Configurez d'autres paramètres d'instance, si nécessaire. Pour plus d'informations sur les paramètres, consultez la section Paramètres.
- Cliquez sur Créer une instance.
gcloud
Exécutez gcloud sql instances create
avec le paramètre --database-flags
défini sur cloudsql.iam_authentication=on
.
Remplacez les éléments suivants :
- INSTANCE_NAME : le nom de la nouvelle instance
- POSTGRES_VERSION : la version de PosgreSQL (par exemple, POSTGRES_9_6, POSTGRES_10, POSTGRES_11 ou POSTGRES_12)
- NUMBER_OF_CORES : le nombre de cœurs dans la machine
- AMOUNT_OF_MEMORY : la quantité de mémoire dans la machine. Une unité de taille doit être fournie (par exemple, 3 072 Mio ou 9 Gio).
- ZONE : la zone Compute Engine préférée (telle que us-central1-a ou us-central1-b)
- PASSWORD : créez un mot de passe pour l'utilisateur racine.
gcloud sql instances create INSTANCE_NAME \ --database-version=POSTGRES_VERSION \ --cpu=NUMBER_OF_CORES \ --memory=AMOUNT_OF_MEMORY \ --zone=ZONE_NAME \ --root-password=PASSWORD \ --database-flags=cloudsql.iam_authentication=on
Terraform
Pour créer une instance avec l'authentification IAM pour les bases de données activée, utilisez une ressource Terraform.
Appliquer les modifications
Pour appliquer votre configuration Terraform dans un projet Google Cloud, suivez les procédures des sections suivantes.
Préparer Cloud Shell
- Lancez Cloud Shell.
-
Définissez le projet Google Cloud par défaut dans lequel vous souhaitez appliquer vos configurations Terraform.
Vous n'avez besoin d'exécuter cette commande qu'une seule fois par projet et vous pouvez l'exécuter dans n'importe quel répertoire.
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
Les variables d'environnement sont remplacées si vous définissez des valeurs explicites dans le fichier de configuration Terraform.
Préparer le répertoire
Chaque fichier de configuration Terraform doit avoir son propre répertoire (également appelé module racine).
-
Dans Cloud Shell, créez un répertoire et un nouveau fichier dans ce répertoire. Le nom du fichier doit comporter l'extension
.tf
, par exemplemain.tf
. Dans ce tutoriel, le fichier est appelémain.tf
.mkdir DIRECTORY && cd DIRECTORY && touch main.tf
-
Si vous suivez un tutoriel, vous pouvez copier l'exemple de code dans chaque section ou étape.
Copiez l'exemple de code dans le fichier
main.tf
que vous venez de créer.Vous pouvez également copier le code depuis GitHub. Cela est recommandé lorsque l'extrait Terraform fait partie d'une solution de bout en bout.
- Examinez et modifiez les exemples de paramètres à appliquer à votre environnement.
- Enregistrez les modifications.
-
Initialisez Terraform. Cette opération n'est à effectuer qu'une seule fois par répertoire.
terraform init
Vous pouvez également utiliser la dernière version du fournisseur Google en incluant l'option
-upgrade
:terraform init -upgrade
Appliquer les modifications
-
Examinez la configuration et vérifiez que les ressources que Terraform va créer ou mettre à jour correspondent à vos attentes :
terraform plan
Corrigez les modifications de la configuration si nécessaire.
-
Appliquez la configuration Terraform en exécutant la commande suivante et en saisissant
yes
lorsque vous y êtes invité :terraform apply
Attendez que Terraform affiche le message "Apply completed!" (Application terminée).
- Ouvrez votre projet Google Cloud pour afficher les résultats. Dans la console Google Cloud, accédez à vos ressources dans l'interface utilisateur pour vous assurer que Terraform les a créées ou mises à jour.
Supprimer les modifications
Pour supprimer vos modifications, procédez comme suit :
- Pour désactiver la protection contre la suppression, définissez l'argument
deletion_protection
surfalse
dans le fichier de configuration Terraform.deletion_protection = "false"
- Appliquez la configuration Terraform mise à jour en exécutant la commande suivante et en saisissant
yes
lorsque vous y êtes invité :terraform apply
-
Supprimez les ressources précédemment appliquées à votre configuration Terraform en exécutant la commande suivante et en saisissant
yes
à la requête :terraform destroy
REST v1
N'incluez pas d'informations sensibles ou permettant d'identifier personnellement l'utilisateur dans le nom de l'instance, car les utilisateurs externes peuvent le voir.
Vous n'avez pas besoin d'indiquer l'ID du projet dans le nom de l'instance. L'ID du projet est automatiquement inclus le cas échéant (par exemple, dans les fichiers journaux).
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
- INSTANCE_ID : ID de l'instance souhaitée
- REGION : région souhaitée, telle que us-east-1
- PROJECT_ID : ID du projet
- LOCATION_ID : ID de l'emplacement
- DATABASE_VERSION : chaîne d'énumération de la version de base de données.
Par exemple :
POSTGRES_12
- PASSWORD : mot de passe de l'utilisateur racine.
- MACHINE_TYPE : chaîne d'énumération du type (niveau) de machine, comme suit :
db-custom-[CPUS]-[MEMORY_MBS]
.
Méthode HTTP et URL :
POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/instances
Corps JSON de la requête :
{ "name": "INSTANCE_ID", "region": "REGION", "databaseVersion": "DATABASE_VERSION", "rootPassword": "PASSWORD", "settings": { "tier": "MACHINE_TYPE", "backupConfiguration": { "enabled": true }, "databaseFlags": [ { "name": "cloudsql.iam_authentication", "value": "on" } ] } }
Pour envoyer votre requête, développez l'une des options suivantes :
Vous devriez recevoir une réponse JSON de ce type :
{ "kind": "sql#operation", "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID", "status": "PENDING", "user": "user@example.com", "insertTime": "2020-01-01T19:13:21.834Z", "operationType": "CREATE", "name": "OPERATION_ID", "targetId": "INSTANCE_ID", "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID", "targetProject": "PROJECT_ID" }
REST v1beta4
N'incluez pas d'informations sensibles ou permettant d'identifier personnellement l'utilisateur dans le nom de l'instance. il est visible de l'extérieur.
Vous n'avez pas besoin d'indiquer l'ID du projet dans le nom de l'instance. L'ID du projet est automatiquement inclus le cas échéant (par exemple, dans les fichiers journaux).
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
- INSTANCE_ID : ID de l'instance souhaitée
- REGION : région souhaitée, telle que us-east-1
- PROJECT_ID : ID du projet
- LOCATION_ID : ID de l'emplacement
- DATABASE_VERSION : chaîne d'énumération de la version de base de données.
Par exemple :
POSTGRES_12
- PASSWORD : mot de passe de l'utilisateur racine.
- MACHINE_TYPE : chaîne d'énumération du type (niveau) de machine, comme suit :
db-custom-[CPUS]-[MEMORY_MBS]
.
Méthode HTTP et URL :
POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/locations/LOCATION_ID/instances
Corps JSON de la requête :
{ "name": "INSTANCE_ID", "region": "REGION", "databaseVersion": "DATABASE_VERSION", "rootPassword": "PASSWORD", "settings": { "tier": "MACHINE_TYPE", "backupConfiguration": { "enabled": true }, "databaseFlags": [ { "name": "cloudsql.iam_authentication", "value": "on" } ] } }
Pour envoyer votre requête, développez l'une des options suivantes :
Vous devriez recevoir une réponse JSON de ce type :
{ "kind": "sql#operation", "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID", "status": "PENDING", "user": "user@example.com", "insertTime": "2020-01-01T19:13:21.834Z", "operationType": "CREATE", "name": "OPERATION_ID", "targetId": "INSTANCE_ID", "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID", "targetProject": "PROJECT_ID" }
Configurer des instances existantes pour l'authentification IAM pour les bases de données
Pour configurer une instance Cloud SQL existante pour l'authentification IAM pour les bases de données, vous devez activer l'option cloudsql.iam_authentication
.
Une fois cette option activée, vous pouvez ajouter des utilisateurs IAM, des comptes de service ou des groupes à l'instance Cloud SQL.
Pour configurer une instance Cloud SQL existante pour qu'elle utilise l'authentification IAM pour les bases de données :
Console
-
Dans Google Cloud Console, accédez à la page Instances Cloud SQL.
- Pour ouvrir la page Présentation d'une instance, cliquez sur son nom.
- Cliquez sur Modifier.
- Dans la section Personnaliser votre instance, développez la section Options.
- Cliquez sur Ajouter une option.
- Dans le menu Sélectionner une option, sélectionnez l'option
cloudsql.iam_authentication
. Assurez-vous que le paramètre Activé est sélectionné comme valeur pour cette option, puis cliquez sur OK. - Configurez d'autres paramètres d'instance, si nécessaire. Pour plus d'informations sur les paramètres, consultez la section Paramètres.
- Cliquez sur Enregistrer.
gcloud
Pour en savoir plus sur l'installation et le démarrage avec la gcloud CLI, consultez la page Installer la gcloud CLI. Pour en savoir plus sur le démarrage de Cloud Shell, consultez la page Utiliser Cloud Shell.
Pour cette procédure, exécutez la commande
gcloud
sql instances patch
.
Remplacez les éléments suivants :
- INSTANCE_NAME : le nom de la nouvelle instance
gcloud sql instances patch INSTANCE_NAME \ --database-flags=cloudsql.iam_authentication=on
Cette action réinitialise tous les autres paramètres d'option de base de données existants. Pour en savoir plus sur la définition des options de base de données, consultez la page Définir une option de base de données.
REST v1
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
- PROJECT_ID : ID du projet
- LOCATION_ID : ID de l'emplacement
- INSTANCE_ID : ID de l'instance souhaitée
- REGION : région souhaitée
- DATABASE_VERSION : chaîne d'énumération de la version de base de données.
Par exemple :
POSTGRES_12
- PASSWORD : mot de passe de l'utilisateur racine.
- MACHINE_TYPE : chaîne d'énumération du type (niveau) de machine, comme suit :
db-custom-[CPUS]-[MEMORY_MBS]
.
Méthode HTTP et URL :
POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/instances
Corps JSON de la requête :
{ "name": "INSTANCE_ID", "region": "REGION", "databaseVersion": "DATABASE_VERSION", "rootPassword": "PASSWORD", "settings": { "tier": "MACHINE_TYPE", "backupConfiguration": { "enabled": true } "databaseFlags": [ { "name": "cloudsql.iam_authentication", "value": "on" } ] } }
Pour envoyer votre requête, développez l'une des options suivantes :
Vous devriez recevoir une réponse JSON de ce type :
{ "kind": "sql#operation", "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID", "status": "PENDING", "user": "user@example.com", "insertTime": "2020-01-01T19:13:21.834Z", "operationType": "CREATE", "name": "OPERATION_ID", "targetId": "INSTANCE_ID", "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID", "targetProject": "PROJECT_ID" }
REST v1beta4
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
- PROJECT_ID : ID du projet
- LOCATION_ID : ID de l'emplacement
- INSTANCE_ID : ID de l'instance souhaitée
- REGION : région souhaitée
- DATABASE_VERSION : chaîne d'énumération de la version de base de données.
Par exemple :
POSTGRES_12
- PASSWORD : mot de passe de l'utilisateur racine.
- MACHINE_TYPE : chaîne d'énumération du type (niveau) de machine, comme suit :
db-custom-[CPUS]-[MEMORY_MBS]
.
Méthode HTTP et URL :
POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/locations/LOCATION_ID/instances
Corps JSON de la requête :
{ "name": "INSTANCE_ID", "region": "REGION", "databaseVersion": "DATABASE_VERSION", "rootPassword": "PASSWORD", "settings": { "tier": "MACHINE_TYPE", "backupConfiguration": { "enabled": true } "databaseFlags": [ { "name": "cloudsql.iam_authentication", "value": "on" } ] } }
Pour envoyer votre requête, développez l'une des options suivantes :
Vous devriez recevoir une réponse JSON de ce type :
{ "kind": "sql#operation", "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID", "status": "PENDING", "user": "user@example.com", "insertTime": "2020-01-01T19:13:21.834Z", "operationType": "CREATE", "name": "OPERATION_ID", "targetId": "INSTANCE_ID", "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID", "targetProject": "PROJECT_ID" }
Étape suivante
- Apprenez-en davantage sur l'authentification IAM pour les bases de données.
- Apprenez à configurer des connexions à des instances dupliquées avec accès en lecture pour l'authentification IAM pour les bases de données.
- Apprenez à créer des utilisateurs et des comptes de service qui utilisent l'authentification IAM pour les bases de données Cloud SQL.
- Découvrez comment vous connecter à une base de données Cloud SQL avec l'authentification IAM pour les bases de données.
- Apprenez à gérer les utilisateurs et les comptes de service pour l'authentification IAM pour les bases de données.