Améliorer la sécurité des instances en appliquant le chiffrement SSL ou TLS

Pour identifier les instances de production AlloyDB pour PostgreSQL qui autorisent les connexions directes non chiffrées et protéger vos données en transit, vous pouvez afficher et appliquer les recommandations de l'outil de recommandation d'application du mode SSL d'AlloyDB.

L'outil de recommandation d'application du mode SSL AlloyDB analyse les métadonnées d'instance. Si une instance est une instance de production et n'applique pas les exigences de chiffrement pour les connexions directes, l'outil de recommandation vous recommande d'activer le mode SSL.

Les recommandations sont générées quotidiennement.

Avant de commencer

Afin de pouvoir afficher les recommandations et les insights, procédez comme suit :

  • Activez l'API Recommender.

  • Pour obtenir les autorisations permettant d'afficher et d'utiliser les insights et les recommandations, demandez à votre administrateur de vous accorder les rôles IAM (Identity and Access Management) requis :

    Tâches Rôles
    Afficher les recommandations Lecteur de l'outil de recommandation AlloyDB (roles/recommender.alloydbViewer)
    Appliquer les recommandations Administrateur de l'outil de recommandation AlloyDB (roles/recommender.alloydbAdmin) ou Administrateur AlloyDB (roles/alloydb.admin)

    Pour en savoir plus, consultez Accorder l'accès à d'autres utilisateurs.

Répertorier les recommandations

Vous pouvez lister les recommandations pour appliquer le mode SSL à l'aide de la console Google Cloud , de gcloud CLI ou de l'API Recommender.

Console

  1. Dans la console Google Cloud , accédez à la page Clusters.

    accéder aux clusters

    Pour en savoir plus, consultez Trouver des recommandations avec Active Assist.

  2. Dans la table de la liste Ressources, recherchez le cluster, puis cliquez sur Afficher les problèmes dans la colonne Problèmes.

    La liste des problèmes s'affiche dans le panneau Aggregated issues (Problèmes agrégés). Sélectionnez la fiche de recommandation Connexions directes non chiffrées autorisées.

gcloud CLI

Pour lister les recommandations d'application du mode SSL à l'aide de gcloud CLI, exécutez la commande gcloud recommender recommendations list comme suit :

gcloud recommender recommendations list \
--project=PROJECT_ID \
--location=LOCATION \
--recommender=google.alloydb.instance.SecurityRecommender \
--filter=recommenderSubtype=REQUIRE_SSL

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet.

  • LOCATION : région où se trouvent vos instances, par exemple us-central1.

API

Pour lister les recommandations d'application du mode SSL à l'aide de l'API Recommender, appelez la méthode recommendations.list comme suit :

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.alloydb.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=REQUIRE_SSL

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet.

  • LOCATION : région où se trouvent vos instances, par exemple us-central1.

Afficher les insights et les recommandations détaillées

Vous pouvez afficher les insights et les recommandations détaillées concernant les instances qui nécessitent l'application du mode SSL à l'aide de la console Google Cloud , de gcloud CLI ou de l'API Recommender.

Pour afficher les insights et les recommandations détaillées, procédez comme suit :

Console

Sur la page Clusters, sous la table Ressources, cliquez sur Afficher les problèmes dans la colonne Problèmes du cluster.

Le panneau Problèmes agrégés s'affiche à droite. Il contient des insights et des recommandations détaillées pour Autorise les connexions directes non chiffrées.

gcloud CLI

Exécutez la commande gcloud recommender insights list comme suit :


gcloud recommender insights list \
--project=PROJECT_ID \
--location=LOCATION \
--insight-type=google.alloydb.instance.SecurityInsight \
--filter=insightSubtype=SSL_NOT_REQUIRED

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet.

  • LOCATION : région où se trouvent vos instances, par exemple us-central1.

API

Appelez la méthode insights.list comme suit :

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.alloydb.instance.SecurityInsight/insights?filter=insightSubtype=SSL_NOT_REQUIRED

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet.

  • LOCATION : région où se trouvent vos instances, par exemple us-central1.

Appliquer la recommandation

Étudiez attentivement la recommandation et effectuez l'une des opérations suivantes :

Console

Pour mettre en œuvre la recommandation, appliquez le mode SSL/TLS sur votre instance.

gcloud CLI

Pour mettre en œuvre la recommandation, appliquez le mode SSL/TLS sur votre instance.

Étapes suivantes