שימוש ב-Secret Manager לטיפול בסודות ב-Cloud SQL

סקירה כללית

כדי ליצור תהליך פיתוח מאובטח, חשוב לנהל נכון את המידע הרגיש. ב-Cloud SQL, מומלץ לאחסן את המידע הרגיש כסודות שאתם יוצרים ב-Secret Manager. סודות כוללים מפתחות API, סיסמאות, מידע רגיש או פרטי כניסה שאתם עשויים להשתמש בהם כדי לגשת למערכת סודית.

הכלי Secret Manager מספק נוחות ומשפר את האבטחה. אתם יכולים גם להחיל ניהול גרסאות על הסודות שלכם ולשתף אותם עם הצוות. במאמר בקרת גישה (IAM) מוסבר איך לשתף סודות עם הצוות.

בדף הזה מתוארים ארבעה תרחישים לדוגמה של שימוש ב-Secret Manager כדי לנהל סודות באמצעות Cloud SQL:

לפני שמתחילים

לפני שמתחילים להשתמש ב-Secret Manager כדי לטפל בסודות ב-Cloud SQL:

שמות משתמש וסיסמאות

שימוש ב-Secret Manager כדי לאחסן את שמות המשתמשים והסיסמאות של חשבונות המשתמשים ב-Cloud SQL כסודות, היא דרך בטוחה ואמינה לנהל את המידע הרגיש הזה.

קודם כל, צריך ליצור משתמש ב-Cloud SQL. כחלק מיצירת המשתמש, צריך לספק שם משתמש וסיסמה. מידע נוסף על יצירת משתמש ב-Cloud SQL זמין במאמר יצירה וניהול של משתמשים.

אחרי שיוצרים את המשתמש, יוצרים סוד ב-Secret Manager כדי לאחסן את שם המשתמש והסיסמה. כך אפשר לוודא שהמידע הרגיש הזה לא יאבד. למידע נוסף על יצירת סודות וגישה אליהם ב-Secret Manager, קראו את המאמר יצירת סודות וגישה אליהם.

מכונות של Cloud SQL

כשמתחברים למכונה של Cloud SQL, אפשר להשתמש ב-Secret Manager כדי לנהל סודות וליצור תהליך פיתוח מאובטח.

קודם כל, מתחברים למכונה של Cloud SQL מהמחשב המקומי. אחרי שהמכונה פועלת, משתמשים במשתני סביבה כדי להתחבר אליה. חלק מהערכים שמשויכים למשתנים רגישים יותר, כמו שם החיבור של המכונה. לכל ערך, אתם יכולים ליצור סוד ב-Secret Manager כדי לאחסן ולנהל את המידע הזה. במאמר הגדרה והפעלה של אפליקציה לדוגמה מוסבר בהרחבה איך משתמשים במשתני סביבה כדי להתחבר למכונה של Cloud SQL.

אתם יכולים לאחזר את שם החיבור למכונה שמאוחסן כסוד ישירות מ-Secret Manager. כך הצוות שלכם יכול לשתף את המידע הרגיש הזה בין כמה אפליקציות ולנהל אותו ממקום מרכזי אחד. מידע נוסף על אחזור סודות מ-Secret Manager זמין במאמר יצירת סוד באמצעות Secret Manager.

כדי להפעיל אפליקציה, נדרש המידע ששמור בסודות. המידע הזה כולל את הערכים שמשויכים למשתני הסביבה שמשמשים להתחברות לאפליקציה. האפליקציה ניגשת לסודות כשהיא מתחילה לפעול, ואז משתמשת בהם כדי להגדיר חיבור ל-Cloud SQL. אם סודות רלוונטיים כלשהם מתעדכנים ב-Secret Manager, יכול להיות שתצטרכו להפעיל מחדש את האפליקציה.

אישורי SSL ו-TLS (אבטחת שכבת התעבורה)

אם אתם מתחברים למכונה של Cloud SQL באמצעות כתובת IP ציבורית או פרטית, אתם צריכים להשתמש באישור Transport Layer Security‏ (TLS) שמאבטח את הנתונים בזמן שהם מועברים. כל אישור TLS כולל אישור של מפתח ציבורי ומפתח פרטי. מידע נוסף על הגדרת אישורי TLS זמין במאמר הגדרת אישורי SSL/TLS.

אתם יכולים לשמור את אישור ה-TLS, את האישור של המפתח הציבורי ואת המפתח הפרטי כסודות כדי לשמור על הבטיחות שלהם ולשתף אותם עם הצוות שלכם. מידע נוסף על יצירת סודות וגישה אליהם זמין במאמר יצירת סוד באמצעות Secret Manager. למידע נוסף על שיתוף סודות, ראו בקרת גישה (IAM).

תרחישים של תוכנית התאוששות מאסון (DR)

אם מכונה ראשית ב-Cloud SQL נכשלת, אתם יכולים לקדם רפליקה לקריאה בלבד למכונה הראשית. אחרי שהרפליקה לקריאה בלבד הופכת למכונה הראשית, צריך לעדכן את שם החיבור של המכונה כדי לשקף את השדרוג הזה. אם שם החיבור למכונה מאוחסן בסוד, צריך לעדכן את הסוד עם השם של המכונה הראשית החדשה. מידע נוסף זמין במאמר עריכת סוד.

אחת מהדרכים להשתמש ב-Secret Manager ליתירות כשל היא לאחסן את השם של המכונה הראשית בסוד, ואז להגדיר את המחבר של Cloud SQL כך שיתעדכן בכל פעם שהסוד מתעדכן.

אתם יכולים להשתמש בסקריפט המעטפת הבא של Bash עם Cloud SQL Auth Proxy כדי לזהות מתי הערך של שם החיבור למכונה מתעדכן, ואז להפעיל מחדש את ה-proxy עם הערך החדש:

#!/bin/bash

SECRET_ID="my-secret-id" # TODO(developer): replace this value
REFRESH_INTERVAL=5
PORT=5432                # TODO(developer): change this port as needed

# Get the latest version of the secret and start the proxy
INSTANCE=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
cloud_sql_proxy -instances="$INSTANCE"=tcp:"$PORT" &
PID=$!

# Every 5s, get the latest version of the secret. If it's changed, restart the
# proxy with the new value.
while true; do
    sleep $REFRESH_INTERVAL
    NEW=$(gcloud secrets versions access "latest" --secret="$SECRET_ID")
    if [ "$INSTANCE" != "$NEW" ]; then
        INSTANCE=$NEW
        kill $PID
        wait $PID
        cloud_sql_proxy -instances="$INSTANCE"=tcp:"$PORT" &
        PID=$!
    fi
done

למידע נוסף על יצירה וגישה לסוד שמכיל את שם החיבור למכונה של הרפליקה הראשית, ראו יצירת סוד באמצעות Secret Manager. מידע נוסף על השימוש ב-Cloud SQL Auth Proxy זמין במאמר התחברות ל-Cloud SQL באמצעות Cloud SQL Auth Proxy.

המאמרים הבאים