Vom Kunden verwaltete Zertifizierungsstelle verwenden

Auf dieser Seite wird beschrieben, wie Sie die Option für die kundenverwaltete Zertifizierungsstelle (Certificate Authority, CA) als Server-CA-Modus für Ihre Cloud SQL-Instanz verwenden.

Übersicht

Bei der Option „Vom Kunden verwaltete CA“ richten Sie Ihren eigenen CA-Pool und Ihre eigene CA im Certificate Authority Service (CA Service) ein. Wenn Sie die Option für die vom Kunden verwaltete Zertifizierungsstelle auswählen, richten Sie die CA-Hierarchie ein und verwalten die Rotation von CA-Zertifikaten für Ihre Cloud SQL-Instanzen.

Bevor Sie eine Cloud SQL-Instanz für die Verwendung der Option „Vom Kunden verwaltete CA“ konfigurieren können, müssen Sie mit CA Service einen CA-Pool in derselben Region wie Ihre Instanz und mindestens eine CA in diesem Pool erstellen. Die CA kann eine Stamm-CA oder eine untergeordnete CA sein. Sie haben auch die Möglichkeit, eine untergeordnete CA in CA Service zu erstellen und sie dann mit einer externen Stamm-CA zu verketten. Wenn Sie die Instanz konfigurieren, geben Sie den CA-Pool an. Ihre Anfrage wird an ein projektspezifisches Dienstkonto delegiert, das die Berechtigung hat, den CA-Pool zu verwenden. Das Dienstkonto fordert eine CA aus dem Pool an und Cloud SQL verwendet diese CA, um das Serverzertifikat für die Instanz zu signieren.

Für den Server-CA-Modus für Ihre Instanz in Cloud SQL können Sie zwischen den folgenden drei Optionen wählen:

• interne Zertifizierungsstelle pro Instanz
• Von Google verwaltete gemeinsame Zertifizierungsstelle
• Kundenverwaltete Zertifizierungsstelle

Sie können die Option „Vom Kunden verwaltete Zertifizierungsstelle“ auswählen, wenn Sie aus Compliance-Gründen Ihre eigene Zertifizierungsstelle verwalten müssen. Weitere Informationen zur Verwendung der anderen Optionen finden Sie unter Mit SSL/TLS-Zertifikaten autorisieren.

Workflow

Wenn Sie die Option „Vom Kunden verwaltete Zertifizierungsstelle“ verwenden möchten, gehen Sie so vor:

1. Erstellen Sie ein Dienstkonto für Ihr Cloud SQL-Projekt.
2. Erstellen Sie einen CA-Pool im CA-Dienst.
3. Erstellen Sie eine CA in CA Service.
4. Konfigurieren Sie die Cloud SQL-Instanz für die Verwendung der Zertifizierungsstelle. Wenn Sie Ihre Instanz konfigurieren, delegieren Sie die Berechtigung an das Dienstkonto, das Serverzertifikat mit dem von Ihnen erstellten CA-Pool zu signieren.

Hinweis

Bevor Sie die Option „Vom Kunden verwaltete CA“ verwenden, müssen Sie die folgenden Anforderungen erfüllen.

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. Verify that you have the permissions required to complete this guide.

3. Verify that billing is enabled for your Cloud de Confiance project.

4. Enable the Certificate Authority Service API.

   Roles required to enable APIs

   To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

   Enable the API

5. Installieren Sie die gcloud CLI.

6. Konfigurieren Sie die gcloud CLI für die Verwendung Ihrer föderierten Identität.

   Weitere Informationen finden Sie unter Mit Ihrer föderierten Identität in der gcloud CLI anmelden.

7. Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen für jedes einzelne Projekt die IAM-Rolle Dienstkonto-Ersteller (roles/iam.serviceAccountCreator) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines Cloud SQL-spezifischen Dienstkontos benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle „CA Service Operation Manager“ (roles/privateca.caManager) für CA Service zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines CA-Pools und einer Zertifizierungsstelle benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Projektspezifisches Dienstkonto erstellen

Erstellen Sie in dem Projekt, in dem Sie Ihre Cloud SQL-Instanzen erstellen möchten, ein dediziertes Dienstkonto, das die Anfrage zum Erstellen und Signieren der Serverzertifikate für Ihre Cloud SQL-Instanzen verarbeitet.

gcloud beta services identity create \
  --service=sqladmin.googleapis.com \
  --project=PROJECT_ID

CA-Pool erstellen

Erstellen Sie einen CA-Pool im CA-Dienst.

Sie können einen CA-Pool im selben Projekt erstellen, in dem Sie Ihre Cloud SQL-Instanzen erstellen möchten, oder in einem anderen Projekt. Wenn Sie den CA-Pool jedoch in einem anderen Projekt erstellen, kann VPC Service Controls Sie je nach Organisationsrichtlinie möglicherweise daran hindern, Cloud SQL-Instanzen zu erstellen. Um das Problem zu beheben, müssen Sie dafür sorgen, dass das Projekt, in dem sich der CA-Pool und die CA befinden, und das Projekt, in dem sich Cloud SQL befindet, zum selben Dienstperimeter gehören. Weitere Informationen finden Sie unter Dienstperimeter und Dienstperimeter verwalten.

Folgen Sie der Anleitung unter CA-Pool erstellen, um einen CA-Pool zu erstellen. Sie können die Standardwerte für den CA-Pool mit den folgenden erforderlichen Konfigurationseinstellungen akzeptieren:

• Erstellen Sie den CA-Pool in derselben Region, in der Sie Ihre Cloud SQL-Instanz erstellen möchten. Eine Liste der von Cloud SQL unterstützten Regionen finden Sie unter Regionen.
• Konfigurationsbasierte Zertifikatsanfragen zulassen.
• DNS-Namen in alternativen Antragstellernamen (Subject Alternative Names, SANs) zulassen Wenn Sie die Identitätseinschränkungen des CA-Pools konfigurieren, legen Sie keine Einschränkungen für das Format der DNS-Namen fest, die mit dem in Konflikt stehen könnten, was Cloud SQL dem SAN hinzufügt.

Dienstkonto Zugriff auf den CA-Pool gewähren

Damit das Dienstkonto die Berechtigungen zum Anfordern und Signieren von Zertifikaten für Ihre Cloud SQL-Instanzen hat, weisen Sie dem Dienstkonto für den von Ihnen erstellten CA-Pool die folgende Rolle zu:

• roles/privateca.certificateRequester

gcloud privateca pools add-iam-policy-binding CA_POOL_ID \
  --project=PROJECT_ID \
  --location=REGION \
  --member serviceAccount:SERVICE_ACCOUNT_NAME \
  --role=roles/privateca.certificateRequester

CA im CA-Pool erstellen

Erstellen Sie mindestens eine CA im erstellten CA-Pool.

Sie können eine Stamm-CA oder eine untergeordnete CA erstellen.

Folgen Sie der Anleitung unter Stamm-Zertifizierungsstelle erstellen, um eine Stamm-Zertifizierungsstelle zu erstellen. Sie können die Standardwerte für die CA übernehmen, müssen sie aber im Status Aktiviert erstellen.

Wenn Sie eine untergeordnete CA erstellen, müssen Sie zuerst Ihre Stamm-CA erstellen und konfigurieren.

• Folgen Sie der Anleitung unter Untergeordnete CA erstellen, um eine untergeordnete CA in CA Service zu erstellen.

• Folgen Sie der Anleitung unter Untergeordnete CA aus einer externen Root-CA erstellen, um eine untergeordnete CA aus einer externen Root-CA zu erstellen.

Cloud SQL-Instanz für die Verwendung einer vom Kunden verwalteten Zertifizierungsstelle konfigurieren

Sie können eine Cloud SQL-Instanz so konfigurieren, dass beim Erstellen der Instanz die Option „Vom Kunden verwaltete CA“ verwendet wird. Sie können auch den Modus für Serverzertifizierungsstellen einer vorhandenen Instanz aktualisieren, sodass anstelle der instanzspezifischen Zertifizierungsstelle oder der Option für gemeinsam genutzte Zertifizierungsstellen eine vom Kunden verwaltete Zertifizierungsstelle verwendet wird.

Instanz erstellen

So erstellen Sie eine Cloud SQL-Instanz, die die Option für kundenverwaltete Zertifizierungsstellen verwendet:

gcloud sql instances create "INSTANCE_NAME" \
  --database-version=DATABASE_VERSION \
  --project=PROJECT_ID \
  --region=REGION \
  --server-ca-mode=CUSTOMER_MANAGED_CAS_CA \
  --server-ca-pool=projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name":"INSTANCE_ID",
  "region":"REGION",
  "databaseVersion": "DATABASE_VERSION",
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID",
         "serverCaMode": "CUSTOMER_MANAGED_CAS_CA"
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID_CSQL/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Instanz aktualisieren, um eine vom Kunden verwaltete Zertifizierungsstelle zu verwenden

Bevor Sie eine Instanz für die Verwendung einer vom Kunden verwalteten CA aktualisieren, führen Sie die folgenden Schritte aus:

• Sehen Sie sich die Liste der Cloud de Confiance by S3NS Dienste an, die keine Verbindungen zu Cloud SQL-Instanzen unterstützen, die für die Verwendung einer vom Kunden verwalteten Zertifizierungsstelle konfiguriert sind. Wenn für Ihre Bereitstellung der Dienst erforderlich ist, müssen Sie das Update möglicherweise verzögern.
• Wenn Sie den Cloud SQL Auth-Proxy oder einen der Cloud SQL Language Connectors verwenden, um eine Verbindung zur Instanz herzustellen, achten Sie darauf, dass die Mindestversionen ausgeführt werden. Wenn Sie den Cloud SQL Auth-Proxy verwenden, muss es Version 2.14.3 oder höher sein. Die erforderlichen Mindestversionen der Cloud SQL Language Connectors finden Sie unter Anforderungen an Cloud SQL Language Connectors.
• Achten Sie darauf, dass Sie bereits einen CA-Pool erstellt und dem Dienstkonto Zugriff auf den CA-Pool gewährt haben.
• Achten Sie darauf, dass sich mindestens eine Zertifizierungsstelle im Zertifizierungsstellenpool befindet.
• Damit es nach dem Update nicht zu Unterbrechungen kommt, laden Sie die Zertifikate von Ihrer vom Kunden verwalteten Zertifizierungsstelle herunter und richten Sie Ihre Datenbankclients so ein, dass sie Ihrer Zertifizierungsstelle vertrauen.

Führen Sie die folgenden Schritte aus, um eine Cloud SQL-Instanz so zu aktualisieren, dass die Option „Vom Kunden verwaltete CA“ verwendet wird.

gcloud sql instances patch INSTANCE_NAME \
--server-ca-mode=CUSTOMER_MANAGED_CAS_CA \
--server-ca-pool=projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID

PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID",
         "serverCaMode": "CUSTOMER_MANAGED_CAS_CA"
      }
   }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Instanz von kundenverwalteter Zertifizierungsstelle auf freigegebene Zertifizierungsstelle umstellen

Sie können eine Instanz, die eine vom Kunden verwaltete Zertifizierungsstelle verwendet, so aktualisieren, dass sie eine gemeinsame Zertifizierungsstelle (GOOGLE_MANAGED_CAS_CA) verwendet. Sie können jedoch keine Instanz, die für die Verwendung einer vom Kunden verwalteten Zertifizierungsstelle konfiguriert ist, so aktualisieren, dass sie die instanzspezifische Zertifizierungsstelle (GOOGLE_MANAGED_INTERNAL_CA) verwendet.

Bevor Sie eine Instanz aktualisieren, damit sie eine freigegebene CA verwendet, müssen Sie die globalen und regionalen CA-Pakete herunterladen, sie auf Ihre Datenbankclients kopieren und diesen CAs vertrauen. Wenn Sie die Zertifikate einrichten, bevor Sie die Konfiguration des Server-CA-Modus ändern, können Sie potenzielle Unterbrechungen für Ihre Datenbankclients vermeiden.

So stellen Sie den Modus für Serverzertifizierungsstellen Ihrer Instanz auf die Verwendung der freigegebenen Zertifizierungsstelle um:

gcloud sql instances patch INSTANCE_NAME \
--server-ca-mode=GOOGLE_MANAGED_CAS_CA \
--server-ca-pool=""

PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

{
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "",
         "serverCaMode": "GOOGLE_MANAGED_CAS_CA"
      }
   }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Fehlerbehebung

Nächste Schritte

• Weitere Informationen zu CA-Hierarchien in Cloud SQL
• Benutzerdefinierten DNS-Namen für Ihre Instanz einrichten