Utiliser une autorité de certification (CA) gérée par le client

Cette page explique comment utiliser l'option d'autorité de certification (AC) gérée par le client comme mode d'AC du serveur pour votre instance Cloud SQL.

Présentation

Avec l'option d'autorité de certification gérée par le client, vous configurez votre propre pool d'autorités de certification et votre propre autorité de certification dans Certificate Authority Service (CA Service). Lorsque vous sélectionnez l'option d'autorité de certification gérée par le client, vous configurez la hiérarchie de l'autorité de certification et gérez la rotation des certificats d'autorité de certification pour vos instances Cloud SQL.

Avant de pouvoir créer une instance Cloud SQL avec l'option d'autorité de certification gérée par le client, vous devez créer un pool d'autorités de certification dans la même région que votre instance, ainsi qu'au moins une autorité de certification dans ce pool à l'aide du service CA. L'autorité de certification peut être une autorité de certification racine ou une autorité de certification subordonnée. Vous pouvez également créer une autorité de certification subordonnée dans CA Service, puis la relier à une autorité de certification racine externe. Lorsque vous créez votre instance, vous spécifiez le pool d'autorités de certification. Votre demande est déléguée à un compte de service spécifique au projet, qui est autorisé à utiliser le pool d'autorités de certification. Le compte de service demande une CA au pool, et Cloud SQL utilise cette CA pour signer le certificat de serveur de l'instance.

Pour le mode CA du serveur de votre instance dans Cloud SQL, vous pouvez choisir parmi les trois options suivantes :

• autorité de certification interne par instance
• Autorité de certification partagée gérée par Google
• autorité de certification gérée par le client

Vous pouvez choisir l'option d'autorité de certification gérée par le client si vous devez gérer votre propre autorité de certification pour des raisons de conformité. Pour en savoir plus sur l'utilisation des autres options, consultez Autoriser l'authentification avec des certificats SSL/TLS.

Workflow

Pour utiliser l'option d'autorité de certification gérée par le client, le workflow est le suivant :

1. Créez un compte de service pour votre projet Cloud SQL.
2. Créez un pool d'autorités de certification dans CA Service.
3. Créez une autorité de certification dans CA Service.
4. Créez une instance Cloud SQL qui utilise l'autorité de certification. Lorsque vous créez votre instance, vous déléguez au compte de service l'autorisation de signer le certificat de serveur avec le pool d'autorités de certification que vous avez créé.

Avant de commencer

Avant d'utiliser l'option d'autorité de certification gérée par le client, assurez-vous de remplir les conditions suivantes.

Rôles requis

Pour obtenir les autorisations nécessaires pour créer un compte de service spécifique à Cloud SQL, demandez à votre administrateur de vous accorder le rôle IAM Créateur de compte de service (roles/iam.serviceAccountCreator) pour chaque projet. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Pour obtenir les autorisations nécessaires pour créer un pool d'autorités de certification et une autorité de certification, demandez à votre administrateur de vous accorder le rôle IAM Responsable des opérations du service d'autorité de certification(roles/privateca.caManager) sur le service d'autorité de certification. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Créer un compte de service spécifique à un projet

Dans le projet dans lequel vous prévoyez de créer vos instances Cloud SQL, créez un compte de service dédié qui gérera la demande de création et signera les certificats de serveur pour vos instances Cloud SQL.

gcloud beta services identity create \
  --service=sqladmin.googleapis.com \
  --project=PROJECT_ID

Créer un pool d'autorités de certification

Créez un pool d'autorités de certification dans CA Service.

Vous pouvez créer un pool d'autorité de certification dans le même projet que celui dans lequel vous prévoyez de créer vos instances Cloud SQL, ou vous pouvez créer le pool d'autorité de certification dans un autre projet. Toutefois, si vous créez le pool d'AC dans un autre projet, il est possible que VPC Service Controls vous empêche de créer des instances Cloud SQL en fonction de la règle de l'organisation. Pour résoudre le problème, assurez-vous que le projet qui héberge le pool d'autorité de certification et l'autorité de certification, ainsi que le projet qui héberge Cloud SQL, appartiennent au même périmètre de service. Pour en savoir plus, consultez Périmètres de service et Gérer les périmètres de service.

Pour créer un pool d'autorités de certification, suivez les instructions de la section Créer un pool d'autorités de certification. Vous pouvez accepter les valeurs par défaut pour le pool d'AC, avec les paramètres de configuration requis suivants :

• Créez le pool d'autorités de certification dans la même région que celle dans laquelle vous prévoyez de créer votre instance Cloud SQL. Pour obtenir la liste des régions compatibles avec Cloud SQL, consultez Régions.
• Autoriser les demandes de certificat basées sur la configuration.
• Autoriser les noms DNS dans les autres noms de l'objet (SAN). Lorsque vous configurez les contraintes d'identité du pool d'autorité de certification, ne définissez aucune restriction sur le format des noms DNS qui pourraient entrer en conflit avec ce que Cloud SQL pourrait ajouter au SAN.

Accorder au compte de service l'accès au pool d'autorités de certification

Pour vous assurer que le compte de service dispose des autorisations nécessaires pour demander et signer des certificats pour vos instances Cloud SQL, accordez-lui le rôle suivant pour le pool d'autorités de certification que vous avez créé :

• roles/privateca.certificateRequester

gcloud privateca pools add-iam-policy-binding CA_POOL_ID \
  --project=PROJECT_ID \
  --location=REGION \
  --member serviceAccount:SERVICE_ACCOUNT_NAME \
  --role=roles/privateca.certificateRequester

Créer une autorité de certification dans le pool d'autorités de certification

Créez au moins une autorité de certification dans le pool d'autorités de certification que vous avez créé.

Vous pouvez créer une autorité de certification racine ou subordonnée.

Pour créer une autorité de certification racine, suivez les instructions de la section Créer une autorité de certification racine. Vous pouvez accepter les valeurs par défaut pour l'autorité de certification, mais assurez-vous de la créer à l'état Activée.

Si vous créez une autorité de certification subordonnée, vous devez d'abord créer et configurer votre autorité de certification racine.

• Pour créer une autorité de certification subordonnée dans CA Service, suivez les instructions de la section Créer une autorité de certification subordonnée.

• Pour créer une autorité de certification subordonnée à partir d'une autorité de certification racine externe, suivez les instructions de la section Créer une autorité de certification subordonnée à partir d'une autorité de certification racine externe.

Créer une instance Cloud SQL

Pour créer une instance Cloud SQL qui utilise l'option d'autorité de certification gérée par le client, procédez comme suit.

gcloud sql instances create "INSTANCE_NAME" \
  --database-version=DATABASE_VERSION \
  --project=PROJECT_ID \
  --region=REGION \
  --server-ca-mode=CUSTOMER_MANAGED_CAS_CA \
  --server-ca-pool=projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name":"INSTANCE_ID",
  "region":"REGION",
  "databaseVersion": "DATABASE_VERSION",
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID",
         "serverCaMode": "CUSTOMER_MANAGED_CAS_CA"
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID_CSQL/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Résoudre les problèmes