使用客戶自行管理的憑證授權單位 (CA)

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

本頁說明如何將客戶管理的憑證授權單位 (CA) 選項用於 Cloud SQL 執行個體的伺服器 CA 模式。

總覽

使用客戶管理的 CA 選項時，您可以在 憑證授權單位服務 (CA 服務) 中設定自己的 CA 集區和 CA。選取客戶自行管理的 CA 選項後，您可以設定 CA 階層，並管理 Cloud SQL 執行個體的 CA 憑證輪替作業。

您必須先在與執行個體相同的區域中建立 CA 集區，並使用 CA 服務在該集區中建立至少一個 CA，才能使用客戶管理的 CA 選項建立 Cloud SQL 執行個體。CA 可以是根 CA或從屬 CA。您也可以在 CA 服務中建立從屬 CA，然後將從屬 CA 鏈結至外部根 CA。建立執行個體時，您必須指定 CA 集區。您的要求會委派給專屬專案服務帳戶，該帳戶具有使用 CA 資源池的權限。服務帳戶會向集區要求 CA，Cloud SQL 會使用該 CA 為執行個體簽署伺服器憑證。

如要為 Cloud SQL 中的執行個體選擇伺服器 CA 模式，您可以選擇下列三個選項：

• 每個例項的內部 CA
• Google 代管的共用 CA
• 由客戶自行管理的 CA

如果您基於法規遵循需求，需要自行管理 CA，可以選擇「客戶管理的 CA」選項。如要進一步瞭解如何使用其他選項，請參閱「使用 SSL/TLS 憑證進行授權」一節。

工作流程

如要使用客戶管理的 CA 選項，工作流程如下：

1. 為 Cloud SQL 專案建立服務帳戶。
2. 在 CA 服務中建立 CA 集區。
3. 在 CA 服務中建立 CA。
4. 建立使用 CA 的 Cloud SQL 執行個體。建立執行個體時，您會將權限委派給服務帳戶，以便使用您建立的 CA 集區簽署伺服器憑證。

事前準備

使用客戶管理的 CA 選項前，請確認您符合下列需求。

必要的角色

如要取得建立 Cloud SQL 專屬服務帳戶所需的權限，請管理員為每個個別專案授予「服務帳戶建立者」 (roles/iam.serviceAccountCreator) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

如要取得建立 CA 集區和 CA 所需的權限，請要求管理員授予您 CA 服務的「CA Service Operation Manager」(roles/privateca.caManager) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

建立專案專屬服務帳戶

在您打算建立 Cloud SQL 執行個體的專案中，建立專用服務帳戶，以便處理建立及簽署 Cloud SQL 執行個體的伺服器憑證的要求。

gcloud beta services identity create \
  --service=sqladmin.googleapis.com \
  --project=PROJECT_ID

建立憑證授權單位集區

在 CA 服務中建立 CA 集區。

您可以在要建立 Cloud SQL 執行個體的專案中建立 CA 集區，也可以在其他專案中建立 CA 集區。不過，如果您在其他專案中建立 CA 資源池，VPC Service Controls 可能會根據機構政策禁止您建立任何 Cloud SQL 執行個體。如要修正這個問題，請確認代管 CA 集區和 CA 的專案，以及代管 Cloud SQL 的專案，都屬於相同的服務範圍。詳情請參閱「服務範圍」和「管理服務範圍」。

如要建立 CA 集區，請按照「建立 CA 集區」一文中的指示操作。您可以接受 CA 集區的預設值，並使用下列必要的設定：

• 在您打算建立 Cloud SQL 執行個體的相同區域中建立 CA 集區。如需 Cloud SQL 支援的地區清單，請參閱「地區」。
• 允許以設定為基礎的憑證要求。
• 允許主體別名 (SAN) 中的 DNS 名稱。設定 CA 集區的 ID 限制時，請勿針對 DNS 名稱的格式設定任何限制，以免與 Cloud SQL 可能新增至 SAN 的內容產生衝突。

為服務帳戶提供 CA 集區存取權

為確保服務帳戶具備為 Cloud SQL 執行個體申請及簽署憑證的權限，請為您建立的 CA 集區服務帳戶授予下列角色：

• roles/privateca.certificateRequester

gcloud privateca pools add-iam-policy-binding CA_POOL_ID \
  --project=PROJECT_ID \
  --location=REGION \
  --member serviceAccount:SERVICE_ACCOUNT_NAME \
  --role=roles/privateca.certificateRequester

在 CA 集區中建立 CA

在您建立的 CA 集區中至少建立一個 CA。

您可以建立根 CA 或從屬 CA。

如要建立根 CA，請按照「建立根 CA」中的指示操作。您可以接受 CA 的預設值，但請務必在「已啟用」狀態下建立 CA。

如果您建立子 CA，則必須先建立並設定根 CA。

• 如要在 CA 服務中建立子 CA，請按照「建立子 CA」中的操作說明進行。

• 如要透過外部根 CA 建立從屬 CA，請按照透過外部根 CA 建立從屬 CA一文中的操作說明進行。

建立 Cloud SQL 執行個體

如要建立使用客戶管理 CA 選項的 Cloud SQL 執行個體，請執行下列操作。

gcloud sql instances create "INSTANCE_NAME" \
  --database-version=DATABASE_VERSION \
  --project=PROJECT_ID \
  --region=REGION \
  --server-ca-mode=CUSTOMER_MANAGED_CAS_CA \
  --server-ca-pool=projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

{
  "name":"INSTANCE_ID",
  "region":"REGION",
  "databaseVersion": "DATABASE_VERSION",
  "settings":{
     "ipConfiguration":
      {
         "serverCaPool": "projects/PROJECT_ID_CAS/locations/REGION/caPools/CA_POOL_ID",
         "serverCaMode": "CUSTOMER_MANAGED_CAS_CA"
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances",
  "status": "PENDING",
  "user": "[email protected]",
  "insertTime": "2025-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID_CSQL/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

疑難排解