Use uma autoridade de certificação (AC) gerida pelo cliente

Esta página descreve como usar a opção de autoridade de certificação (AC) gerida pelo cliente como o modo de AC do servidor para a sua instância do Cloud SQL.

Vista geral

Com a opção de AC gerida pelo cliente, configura o seu próprio conjunto de ACs e AC no serviço de autoridade de certificação (serviço de AC). Quando seleciona a opção de AC gerida pelo cliente, configura a hierarquia da AC e gere a rotação dos certificados da AC para as suas instâncias do Cloud SQL.

Antes de poder criar uma instância do Cloud SQL com a opção de AC gerida pelo cliente, cria um conjunto de ACs na mesma região que a sua instância e, pelo menos, uma AC nesse conjunto através do serviço de AC. A AC pode ser uma AC raiz ou uma AC subordinada. Também tem a opção de criar uma AC subordinada no serviço de AC e, em seguida, encadear a AC subordinada a uma AC raiz externa. Quando cria a instância, especifica o conjunto de ACs. O seu pedido é delegado a uma conta de serviço específica do projeto, que tem autorização para usar o conjunto de ACs. A conta de serviço pede uma AC ao conjunto e o Cloud SQL usa essa AC para assinar o certificado do servidor para a instância.

Para o modo de AC do servidor da sua instância no Cloud SQL, pode escolher entre as seguintes três opções:

• AC por instância interna
• AC partilhada gerida pela Google
• AC gerida pelo cliente

Pode escolher a opção de AC gerida pelo cliente se precisar de gerir a sua própria AC por motivos de conformidade. Para mais informações sobre a utilização das outras opções, consulte o artigo Autorize com certificados SSL/TLS.

Fluxo de trabalho

Para usar a opção de AC gerida pelo cliente, o fluxo de trabalho é o seguinte:

1. Crie uma conta de serviço para o seu projeto do Cloud SQL.
2. Crie um conjunto de ACs no serviço de AC.
3. Crie uma AC no serviço de AC.
4. Crie uma instância do Cloud SQL que use a AC. Quando cria a instância, delega a autorização na conta de serviço para assinar o certificado do servidor com o conjunto de AC que criou.

Antes de começar

Antes de usar a opção de AC gerida pelo cliente, certifique-se de que cumpre os seguintes requisitos.

Funções necessárias

Para obter as autorizações de que precisa para criar uma conta de serviço específica do Cloud SQL, peça ao seu administrador para lhe conceder a função do IAM criador da conta de serviço (roles/iam.serviceAccountCreator) em cada projeto individual. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.

Para receber as autorizações de que precisa para criar um conjunto de ACs e uma AC, peça ao seu administrador para lhe conceder a função IAM de gestor de operações do serviço de AC(roles/privateca.caManager) no serviço de AC. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.

Crie uma conta de serviço específica do projeto

No projeto onde planeia criar as suas instâncias do Cloud SQL, crie uma conta de serviço dedicada que irá processar o pedido de criação e assinar os certificados do servidor para as suas instâncias do Cloud SQL.

gcloud beta services identity create \
  --service=sqladmin.googleapis.com \
  --project=PROJECT_ID

Crie um grupo de ACs

Crie um conjunto de ACs no serviço de AC.

Pode criar um conjunto de ACs no mesmo projeto onde planeia criar as suas instâncias do Cloud SQL ou pode criar o conjunto de ACs num projeto diferente. No entanto, se criar o conjunto de ACs num projeto diferente, os VPC Service Controls podem impedir a criação de instâncias do Cloud SQL, consoante a política da organização. Para corrigir o problema, certifique-se de que o projeto que aloja o conjunto de ACs e a AC, e o projeto que aloja o Cloud SQL pertencem ao mesmo perímetro de serviço. Para mais informações, consulte os artigos Perímetros de serviço e Faça a gestão dos perímetros de serviço.

Para criar um conjunto de CA, siga as instruções em Crie um conjunto de CA. Pode aceitar os valores predefinidos para o conjunto de CA com as seguintes definições de configuração obrigatórias:

• Crie o conjunto de ACs na mesma região onde planeia criar a instância do Cloud SQL. Para ver uma lista das regiões suportadas pelo Cloud SQL, consulte o artigo Regiões.
• Permitir pedidos de certificados baseados na configuração.
• Permita nomes DNS em nomes alternativos de assunto (SAN). Quando configurar as restrições de identidade do conjunto de ACs, não defina restrições no formato para os nomes de DNS que possam entrar em conflito com o que o Cloud SQL possa adicionar ao SAN.

Conceda à conta de serviço acesso ao conjunto de ACs

Para se certificar de que a conta de serviço tem as autorizações para pedir e assinar certificados para as suas instâncias do Cloud SQL, conceda a seguinte função à conta de serviço para o conjunto de ACs que criou:

• roles/privateca.certificateRequester

gcloud privateca pools add-iam-policy-binding CA_POOL_ID \
  --project=PROJECT_ID \
  --location=REGION \
  --member serviceAccount:SERVICE_ACCOUNT_NAME \
  --role=roles/privateca.certificateRequester

Crie uma CA no grupo de CAs

Crie, pelo menos, uma CA no conjunto de CAs que criou.

Pode criar uma AC raiz ou uma AC subordinada.

Para criar uma AC raiz, siga as instruções em Crie uma AC raiz. Pode aceitar os valores predefinidos para a AC, mas certifique-se de que cria a AC no estado Ativado.

Se criar uma CA subordinada, tem de criar e configurar primeiro a CA de raiz.

• Para criar uma AC subordinada no serviço de AC, siga as instruções em Crie uma AC subordinada.

• Para criar uma CA subordinada a partir de uma CA de raiz externa, siga as instruções em Crie uma CA subordinada a partir de uma CA de raiz externa.

Crie uma instância do Cloud SQL

Para criar uma instância do Cloud SQL que use a opção de AC gerida pelo cliente, faça o seguinte.

gcloud sql instances create "INSTANCE_NAME" \
  --database-version=DATABASE_VERSION \
  --project=PROJECT_ID \
  --region=REGION \
  --server-ca-mode=CUSTOMER_MANAGED_CAS_CA \
  --server-ca-pool=projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name":"INSTANCE_ID",
  "region":"REGION",
  "databaseVersion": "DATABASE_VERSION",
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID",
         "serverCaMode": "CUSTOMER_MANAGED_CAS_CA"
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID_CSQL/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Resolver problemas