Melakukan otorisasi dengan sertifikat SSL/TLS

Halaman ini menjelaskan cara menggunakan Secure Socket Layer (SSL), yang kini disebut Transport Layer Security (TLS), dari aplikasi Anda untuk mengenkripsi koneksi ke instance Cloud SQL.

Ringkasan

Cloud SQL mendukung koneksi ke instance menggunakan protokol SSL/TLS. Koneksi SSL/TLS memberikan lapisan keamanan dengan mengenkripsi data dalam pengiriman antara klien Anda dan database di instance Cloud SQL Anda. Secara opsional, koneksi SSL/TLS Anda dapat melakukan verifikasi identitas server dengan memvalidasi sertifikat server yang diinstal pada instance Cloud SQL dan verifikasi identitas klien dengan memvalidasi sertifikat klien yang diinstal pada klien.

Sertifikat Server

Saat Anda membuat instance, Cloud SQL akan otomatis membuat dan menginstal sertifikat server yang ditandatangani oleh certificate authority (CA). Anda dapat mendownload sertifikat CA ke mesin host klien dan menggunakannya untuk memverifikasi identitas Cloud SQL server dan CA. Secara opsional, Anda dapat memilih jenis CA yang digunakan Cloud SQL untuk menandatangani sertifikat server.

Sertifikat klien

Anda dapat membuat dan mendownload sertifikat klien beserta kunci ke mesin host klien untuk autentikasi bersama (verifikasi identitas server dan klien). Anda tidak dapat memilih jenis CA yang digunakan Cloud SQL untuk menandatangani sertifikat klien.

Menghubungkan menggunakan SSL/TLS

Saat terhubung ke instance Cloud SQL dari klien, Anda dapat menggunakan SSL/TLS untuk koneksi langsung serta untuk koneksi yang menggunakan Cloud SQL Auth Proxy atau Cloud SQL Language Connectors.

  • Untuk koneksi langsung, Google sangat merekomendasikan penerapan enkripsi SSL/TLS menggunakan setelan mode SSL di Cloud SQL. Secara opsional, Anda juga dapat menerapkan verifikasi sertifikat klien. Untuk mengetahui informasi selengkapnya, lihat Menerapkan enkripsi SSL/TLS.

  • Untuk koneksi yang menggunakan Cloud SQL Auth Proxy atau Cloud SQL Language Connector, koneksi akan otomatis dienkripsi dengan SSL/TLS beserta verifikasi identitas klien dan server tanpa mengharuskan Anda mendownload sertifikat CA server dan sertifikat klien.

Untuk mengetahui informasi selengkapnya tentang opsi konektivitas Cloud SQL, lihat Tentang koneksi Cloud SQL.

Untuk mengetahui informasi selengkapnya tentang konfigurasi SSL/TLS sisi klien, lihat dokumentasi untuk mesin database Anda.

Hierarki certificate authority (CA)

Bagian ini menjelaskan tiga jenis certificate authority (CA) server yang dapat Anda pilih untuk instance Cloud SQL. Anda memiliki tiga opsi:

  • CA per instance: dengan opsi ini, CA internal yang dikhususkan untuk setiap instance Cloud SQL akan menandatangani sertifikat server untuk instance tersebut. Cloud SQL membuat dan mengelola CA ini. Untuk memilih CA per instance, pilih Google managed internal certificate authority (Google Cloud konsol) atau tentukan GOOGLE_MANAGED_INTERNAL_CA untuk setelan serverCaMode (Cloud SQL Admin API) atau flag --server-ca-mode (gcloud CLI) saat Anda membuat instance. Jika Anda tidak menentukan setelan atau flag saat membuat instance, opsi ini adalah nilai default untuk instance tersebut. Anda tidak dapat mengupdate instance untuk menggunakan opsi CA per instance jika instance dikonfigurasi untuk menggunakan CA bersama atau CA yang dikelola pelanggan.

  • Shared CA: dengan opsi ini, hierarki CA yang terdiri dari root CA dan CA server subordinat digunakan. CA server bawahan di suatu region menandatangani sertifikat server dan dibagikan di seluruh instance di region tersebut. Menggunakan hierarki CA bersama akan membantu saat Anda meningkatkan jumlah instance di suatu region karena Anda tidak perlu mengelola CA unik untuk setiap instance. Dengan beralih ke CA bersama (GOOGLE_MANAGED_CAS_CA), Anda dapat menggunakan satu paket CA regional untuk semua instance di region tersebut, yang dapat menyederhanakan konfigurasi sisi klien. Cloud SQL menghosting dan mengelola CA root dan CA server subordinat di Google CloudCertificate Authority Service (CA Service). Cloud SQL juga menangani rotasi CA root dan CA server subordinat serta menyediakan link yang tersedia secara publik ke paket sertifikat CA untuk didownload. Untuk memilih CA bersama, pilih Google managed CAS certificate authority di konsol Google Cloud atau tentukan GOOGLE_MANAGED_CAS_CA untuk setelan serverCaMode (Cloud SQL Admin API) atau flag --server-ca-mode (gcloud CLI) saat Anda membuat atau mengedit instance. Anda dapat mengupdate instance yang ada untuk menggunakan hierarki CA bersama jika Anda menggunakan opsi CA per instance atau CA yang dikelola pelanggan.

  • CA yang dikelola pelanggan: dengan opsi ini, Anda membuat dan mengelola hierarki CA Anda sendiri. Pilih opsi ini jika Anda ingin mengelola CA dan sertifikat Anda sendiri. Dengan menggunakan CA yang dikelola pelanggan (CUSTOMER_MANAGED_CAS_CA), Anda dapat mengelola hierarki CA dan kebijakan rotasi Anda sendiri dengan CA Service. Konfigurasi ini memberi Anda kontrol yang lebih besar dan membantu Anda memenuhi persyaratan kepatuhan. Untuk memilih CA yang dikelola pelanggan, Anda harus membuat kumpulan CA dan CA di CA Service. Di Cloud SQL, tentukan kumpulan CA dan Customer managed CAS certificate authority (Google Cloud konsol), CUSTOMER_MANAGED_CAS_CA untuk setelan serverCaMode (Cloud SQL Admin API), atau flag --server-ca-mode (gcloud CLI) saat Anda membuat atau mengedit instance. Anda dapat mengupdate instance yang ada untuk menggunakan hierarki CA yang dikelola pelanggan jika Anda menggunakan opsi CA per instance atau CA bersama.

Setelah membuat atau mengupdate instance, Anda dapat melihat hierarki CA yang dikonfigurasi untuk instance Cloud SQL menggunakan perintah gcloud sql instances describe atau di konsol Google Cloud . Untuk mengetahui informasi selengkapnya, lihat Melihat informasi instance.

Tabel berikut membandingkan tiga opsi hierarki CA.

Fitur CA per instance CA bersama CA yang dikelola pelanggan
Struktur CA CA terpisah untuk setiap instance Root CA dan subordinate CA yang digunakan bersama di seluruh instance di region yang sama Hierarki CA yang Anda buat dan kelola
Atribut kriptografis Kunci RSA 2048-bit dengan algoritma SHA256 Elliptic Curve Digital Signature Algorithm (ECDSA) dengan kunci 384-bit dengan algoritma SHA384 Elliptic Curve Digital Signature Algorithm (ECDSA) dengan kunci 384-bit dengan algoritma SHA384
Masa berlaku CA 10 tahun 25 tahun untuk root CA dan 10 tahun untuk subordinate CA Dapat dikonfigurasi *
Masa berlaku sertifikat server 10 tahun 1 tahun 1 tahun**
Rotasi CA yang dimulai oleh pengguna? Ya Tidak. Rotasi CA dikelola oleh Cloud SQL Ya
Rotasi sertifikat server yang dimulai oleh pengguna? Ya Ya Ya
Rotasi otomatis sertifikat server? Tidak Ya Ya
Trust anchor CA untuk koneksi TLS CA unik per instance adalah trust anchor untuk instance yang sesuai. Root CA dan subordinate CA adalah trust anchor untuk semua instance di region tertentu. CA yang Anda buat dan kelola adalah trust anchor.
Verifikasi identitas server Memverifikasi CA akan memverifikasi identitas server karena setiap instance memiliki CA yang unik. Memverifikasi nama host bersama dengan memverifikasi CA diperlukan untuk verifikasi identitas server karena CA server dibagikan di seluruh instance. Meskipun CA mungkin tidak dibagikan di seluruh instance, Anda mungkin ingin memverifikasi nama host bersama dengan memverifikasi CA.
Kolom Subject Alternative Name (SAN) di sertifikat server Kolom SAN berisi nama host (nama DNS instance) hanya untuk instance yang diaktifkan dengan Private Service Connect. Nama host dapat digunakan untuk verifikasi identitas server. Jika Anda terhubung ke instance Cloud SQL menggunakan nama DNS sebagai nama host, Anda harus menyiapkan resolusi DNS. Kolom SAN berisi nama host (nama DNS instance) untuk semua jenis instance. Nama host dapat digunakan untuk verifikasi identitas server. Jika Anda terhubung ke instance Cloud SQL menggunakan nama DNS sebagai nama host, Anda harus menyiapkan resolusi DNS. Kolom SAN berisi nama host (nama DNS instance) untuk semua jenis instance. Nama host dapat digunakan untuk verifikasi identitas server.
Cloud SQL Auth Proxy dukungan versi Mendukung semua versi Cloud SQL Auth Proxy, v1 dan yang lebih baru. Memerlukan Proxy Auth Cloud SQL versi 2.13.0 atau yang lebih baru. Memerlukan Cloud SQL Auth Proxy versi 2.14.3 atau yang lebih baru.
Batasan koneksi layanan Tidak ada Tidak mendukung koneksi dari layanan Google Cloud berikut: Tidak mendukung koneksi dari layanan Google Cloud berikut:
  • Lingkungan standar App Engine
  • Lingkungan fleksibel App Engine
  • Layanan Cloud Run yang berjalan di lingkungan eksekusi generasi pertama

* Untuk opsi CA yang dikelola pelanggan, masa berlaku default sertifikat CA di CA Service adalah 10 tahun. Anda memiliki opsi untuk mengonfigurasi masa berlaku yang berbeda untuk sertifikat CA Anda. Masa berlaku yang lebih singkat untuk CA mungkin memerlukan rotasi CA yang lebih sering dan masa berlaku yang lebih singkat dari satu tahun dapat memengaruhi masa berlaku sertifikat server Anda. Untuk mengetahui informasi selengkapnya, lihat Mengelola rotasi CA.

** Untuk opsi CA yang dikelola pelanggan, masa berlaku default sertifikat server adalah satu tahun. Namun, jika Anda mengonfigurasi masa berlaku yang lebih singkat dari satu tahun untuk sertifikat CA, sertifikat server Anda akan memiliki masa berlaku yang lebih singkat. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi masa berlaku sertifikat CA setelah dibuat, lihat Setelan sertifikat CA dan Membuat root CA.

CA per instance yang dihosting oleh Cloud SQL

Hierarki CA per instance adalah konfigurasi mode CA server default saat Anda membuat instance menggunakan gcloud CLI, Cloud SQL Admin API, atau Terraform.

Cloud SQL membuat CA server baru yang ditandatangani sendiri untuk setiap instance saat Anda membuat instance. Untuk menggunakan setelan ini, konfigurasikan serverCaMode ke GOOGLE_MANAGED_INTERNAL_CA saat Anda membuat instance. Anda dapat membiarkan setelan konfigurasi serverCaMode tidak ditentukan menggunakan Cloud SQL Admin API atau gcloud CLI, atau memilih opsi Otoritas Sertifikat internal Google di konsol Google Cloud .

Anda tidak dapat memperbarui serverCaMode instance yang menggunakan CA bersama atau hierarki CA yang dikelola pelanggan untuk menggunakan hierarki CA per instance.

Diagram berikut menunjukkan hierarki CA per instance.

Diagram hierarki CA internal per instance.

CA bersama yang dihosting oleh Layanan CA

Mode CA server ini terdiri dari root CA dan CA server turunan di setiap region. CA server subordinat menerbitkan sertifikat server dan dibagikan di seluruh instance di region tersebut. Cloud SQL menangani rotasi CA server regional bersama dan menyediakan link yang tersedia secara publik untuk mendownload paket sertifikat CA.

Anda dapat mengonfigurasi instance untuk menggunakan hierarki CA server tempat CA penerbit digunakan bersama di seluruh instance di region yang sama. Untuk menggunakan setelan ini, konfigurasikan serverCaMode ke GOOGLE_MANAGED_CAS_CA saat Anda membuat atau mengedit instance. Anda juga dapat memilih Google Managed CAS Certificate Authority di konsol Google Cloud .

Diagram berikut menunjukkan hierarki CA bersama.

Diagram hierarki CA bersama

CA yang dikelola pelanggan

Mode CA server ini memungkinkan Anda menyiapkan hierarki CA Anda sendiri di CA Service.

Untuk menggunakan opsi CA yang dikelola pelanggan di Cloud SQL, buat kumpulan CA di region yang sama dengan instance Cloud SQL Anda. Kemudian, Anda membuat setidaknya satu CA. Saat Anda membuat instance Cloud SQL, tentukan ID kumpulan CA di kolom serverCaPool dan konfigurasikan kolom serverCaMode dengan nilai CUSTOMER_MANAGED_CAS_CA. CA Service menyediakan CA dari kumpulan CA dan menggunakan CA tersebut untuk menerbitkan sertifikat server untuk instance.

Saat membuat CA di CA Service, Anda dapat membuat root CA atau subordinate CA, bergantung pada kasus penggunaan Anda. Misalnya, Anda mungkin ingin membuat subordinate CA jika berencana menyiapkan hierarki root CA atau menghubungkan ke CA eksternal.

Pilih opsi CA yang dikelola pelanggan hanya jika Anda ingin mengelola CA dan sertifikat Anda sendiri. Untuk mengetahui informasi selengkapnya, lihat Menggunakan CA yang dikelola pelanggan.

Cara kerja rotasi sertifikat server

Cloud SQL menyediakan cara untuk merotasi sertifikat server Anda, sehingga sertifikat baru dapat ditukar dengan lancar sebelum sertifikat lama berakhir.

Instance yang menggunakan CA bersama atau hierarki CA yang dikelola pelanggan dapat mengaktifkan rotasi sertifikat server otomatis untuk dijalankan selama update pemeliharaan hingga 180 hari sebelum masa berlaku berakhir.

Untuk instance yang menggunakan hierarki CA per instance, CA bersama, atau CA yang dikelola pelanggan, sekitar tiga bulan sebelum masa berlaku sertifikat server untuk instance Cloud SQL berakhir, Project Owner akan menerima email dari Cloud SQL, yang menyatakan bahwa proses rotasi sertifikat untuk instance tersebut telah dimulai. Email tersebut memberikan nama instance, dan mengatakan bahwa Cloud SQL telah menambahkan sertifikat server baru ke project. Sertifikat server yang ada terus berfungsi secara normal. Akibatnya, instance memiliki dua sertifikat server selama periode ini.

Perintah rotasi sertifikat server yang akan digunakan bergantung pada apakah Anda menggunakan sertifikat server yang dikeluarkan oleh CA per instance atau sertifikat server yang dikeluarkan oleh CA bersama atau CA yang dikelola pelanggan.

Sebelum masa berlaku sertifikat server saat ini berakhir, download file server-ca.pem baru, yang berisi informasi sertifikat untuk sertifikat server saat ini dan sertifikat server yang baru. Update klien MySQL Anda untuk menggunakan file baru, dengan menyalinnya ke semua mesin host klien MySQL Anda, sehingga file yang sudah ada akan diganti.

Setelah semua klien MySQL Anda diupdate, kirim perintah rotasi (untuk CA per instance) atau perintah rotasi (untuk CA bersama atau CA yang dikelola pelanggan) ke instance Cloud SQL untuk merotasi ke sertifikat server yang baru. Setelah selesai, sertifikat server lama tidak akan lagi dikenali, dan hanya sertifikat server baru yang dapat digunakan.

Sertifikat klien tidak terpengaruh oleh rotasi sertifikat server.

Masa berlaku sertifikat SSL

Untuk instance Cloud SQL yang menggunakan CA per instance (serverCaMode ditetapkan ke GOOGLE_MANAGED_INTERNAL_CA), sertifikat SSL memiliki masa berlaku 10 tahun. Sebelum masa berlaku sertifikat ini berakhir, lakukan rotasi sertifikat CA server.

Untuk instance yang menggunakan CA bersama (serverCaMode ditetapkan ke GOOGLE_MANAGED_CAS_CA), masa berlaku sertifikat server adalah 1 tahun. Sebelum masa berlaku habis, lakukan rotasi sertifikat server atau aktifkan rotasi sertifikat server otomatis. Sertifikat root certificate authority (CA) memiliki masa berlaku 25 tahun dan sertifikat CA bersama bawahan memiliki masa berlaku 10 tahun. Cloud SQL menangani rotasinya.

Jika Anda menggunakan CA yang dikelola pelanggan (serverCaMode ditetapkan ke CUSTOMER_MANAGED_CAS_CA), Anda dapat melakukan rotasi sertifikat CA dengan merotasi CA di kumpulan CA yang Anda buat. Masa berlaku CA biasanya 10 tahun, tetapi Anda dapat mengonfigurasi masa berlaku yang lebih singkat untuk CA Anda di CA Service.

Untuk merotasi CA, gunakan proses rotasi CA di CA Service. Untuk mengetahui informasi selengkapnya, lihat Mengelola rotasi CA.

Jika klien dikonfigurasi untuk memverifikasi CA atau memverifikasi nama host di sertifikat server, koneksi klien tersebut ke instance Cloud SQL dengan sertifikat server yang sudah tidak berlaku akan gagal. Untuk mencegah gangguan pada koneksi klien, rotasi sertifikat server sebelum masa berlaku sertifikat berakhir.

Baik Anda menggunakan CA per instance, CA bersama, atau mode server CA yang dikelola pelanggan, Anda dapat mereset konfigurasi SSL instance Cloud SQL Anda kapan saja.

Batasan

Bagian ini membahas batasan konfigurasi sertifikat SSL/TLS dan Cloud SQL.

Batasan koneksi layanan

Langkah berikutnya