שיפור האבטחה של מופע באמצעות החלפה של אישורי שרת

בדף הזה מוסבר איך להציג וליישם המלצות לגבי רוטציה של אישורי שרת במכונות שהאישורים שלהן עומדים לפוג תוך 30 יום. אם אישור השרת של מכונה עומד לפוג תוך 30 יום, הלקוחות שמשתמשים באישור הזה לא יוכלו להתחבר למכונה באופן מאובטח, ויהיו חשופים לפרצות אבטחה. שירות ההמלצות הזה נקרא Rotate server certificate.

בכל יום, שירות ההמלצות הזה בודק אם יש במכונות אישורים שתוקפם עומד לפוג, ומספק תובנות והמלצות לשיפור האבטחה של המכונות. אתם יכולים לראות תובנות והמלצות מפורטות לגבי המכונות האלה באמצעות מסוף Google Cloud , ה-CLI של gcloud או Recommender API.

לפני שמתחילים

מוודאים שהפעלתם את Recommender API.

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות לצפייה בתובנות ובהמלצות ולעבודה איתן, ודאו שיש לכם את התפקידים הנדרשים בניהול זהויות והרשאות גישה (IAM).

Tasks תפקידים
לצפייה בהמלצות ‫recommender.cloudsqlViewer או cloudsql.admin.
יישום ההמלצות cloudsql.editor או cloudsql.admin.
למידע נוסף על תפקידי IAM, קראו את המאמר תפקידים בסיסיים ומוגדרים מראש ב-IAM ואת המאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

הצגת רשימת ההמלצות

כדי להציג את רשימת ההמלצות:

המסוף

כדי להציג רשימה של המלצות לגבי אבטחת מכונות, פועלים לפי השלבים הבאים:

  1. נכנסים לדף Cloud SQL Instances.

    כניסה לדף Cloud SQL Instances

  2. מעיינים בעמודה בעיות בטבלת המופעים.

אפשר גם לפעול לפי השלבים הבאים:

  1. נכנסים אל Active Assist.

    כניסה לדף Active Assist

    מידע נוסף זמין במאמר עיון בהמלצות.

  2. בכרטיס כל ההמלצות, לוחצים על אבטחה.

gcloud

מריצים את הפקודה gcloud recommender recommendations list:

gcloud recommender recommendations list \
--project=PROJECT_ID \
--location=LOCATION \
--recommender=google.cloudsql.instance.SecurityRecommender \
--filter=recommenderSubtype=ROTATE_SERVER_CERT

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

API

מפעילים את ה-method‏ recommendations.list באופן הבא:

GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.cloudsql.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=ROTATE_SERVER_CERT

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

צפייה בתובנות ובהמלצות מפורטות

כדי לראות תובנות והמלצות מפורטות:

המסוף

אחרי שמוצגת רשימת ההמלצות, לוחצים על אחת מהן. חלונית ההמלצות מופיעה, וכוללת תובנות והמלצות מפורטות.

gcloud

מריצים את הפקודה gcloud recommender insights list:


gcloud recommender insights list \
--project=PROJECT_ID \
--location=LOCATION \
--insight-type=google.cloudsql.instance.SecurityInsight \
--filter=insightSubtype=SERVER_CERT_EXPIRING

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION : אזור שבו נמצאים המכונות, למשל us-central1.

API

מפעילים את ה-method‏ insights.list באופן הבא:


GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.cloudsql.instance.SecurityInsight/insights?filter=insightSubtype=SERVER_CERT_EXPIRING

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

יישום ההמלצה

המסוף

כדי ליישם את ההמלצה, לוחצים על ניהול אישורי שרת ומחליפים את אישורי השרת במכונה. כדי לפתור את הבעיה באופן קבוע במכונות שמשתמשות ברשויות אישורים משותפות או בניהול הלקוח, צריך להפעיל את הרוטציה האוטומטית של אישורי השרת, כדי ש-Cloud SQL יבצע רוטציה אוטומטית של אישור השרת לפני שהוא יפוג.

gcloud

כדי ליישם את ההמלצה, החליפו את אישורי השרת במכונה. כדי לפתור את הבעיה באופן קבוע במכונות שמשתמשות ברשויות אישורים משותפות או בניהול הלקוח, צריך להפעיל את הרוטציה האוטומטית של אישורי השרת, כדי ש-Cloud SQL יבצע רוטציה אוטומטית של אישור השרת לפני שהוא יפוג.

API

כדי ליישם את ההמלצה, החליפו את אישורי השרת במכונה. כדי לפתור את הבעיה באופן קבוע במכונות שמשתמשות ברשויות אישורים משותפות או בניהול הלקוח, צריך להפעיל את הרוטציה האוטומטית של אישורי השרת, כדי ש-Cloud SQL יבצע רוטציה אוטומטית של אישור השרת לפני שהוא יפוג.

המאמרים הבאים