O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Criar um deployment com criptografia TLS em VMs

Este documento descreve como adicionar criptografia TLS a uma implantação do Spanner Omni em máquinas virtuais (VMs). Uma implantação com recursos de segurança de rede usa o Transport Layer Security (TLS) 1.3 para criptografar e autenticar a comunicação dentro da implantação e com os clientes. O Spanner Omni oferece TLS mútuo (mTLS) para maior segurança, em que as duas partes estabelecem a autenticidade antes de trocar dados. O mTLS é opcional entre o cliente e o servidor, mas os servidores do Spanner Omni se comunicam entre si por mTLS.

A versão de visualização do Spanner Omni não oferece suporte à criptografia TLS e para de gravar dados 90 dias após você criar uma implantação. Para acesso antecipado à edição com recursos completos, entre em contato com o Google.

Antes de começar

Antes de começar, verifique se o ambiente atende aos seguintes requisitos:

Verifique se você tem acesso SSH a cada máquina na implantação. Esse acesso permite fazer o download e executar o binário do Spanner Omni.
Sua rede precisa permitir a comunicação TCP nas portas 15000 a 15025.
Cada máquina precisa ter armazenamento suficiente para hospedar os dados que a implantação processa.
Consulte a página Requisitos do sistema para garantir que sua configuração atenda aos requisitos.
Se você executar os binários na plataforma de virtualização vSphere, desative a virtualização do TSC. Para fazer isso, adicione a configuração monitor_control.virtual_rdtsc = FALSE ao arquivo de configuração .vmx da máquina virtual.

Etapa 1: criar uma implantação sem criptografia TLS

Siga as etapas em Criar uma implantação de VM do Spanner Omni sem criptografia. Verifique se a implantação de VM sem criptografia e recursos de segurança funciona corretamente. Esta página pressupõe que você criou uma implantação regional com três zonas.

Etapa 2: gerar os certificados

É necessário criar três conjuntos de certificados:

Tipo de certificado	Descrição
Certificados de API	Os certificados de API ajudam a proteger o servidor da API Spanner.
Certificados do servidor	Os certificados do servidor ajudam a proteger a comunicação entre servidores.
Certificados do cliente	Os usuários finais ou aplicativos usam certificados de cliente para estabelecer a identidade e a confiança com os servidores do Spanner Omni.

Uma autoridade certificadora (AC) emite esses certificados. O Spanner Omni oferece ferramentas para criar uma AC e todos os três tipos de certificados. Siga estas etapas em uma das suas máquinas.

É possível criar esses certificados na estação de trabalho usando a CLI do Spanner Omni e transferir os arquivos de certificado para cada servidor do Spanner Omni. Para mais informações, consulte o Guia de início rápido usando a CLI do Spanner Omni.

Para gerar certificados, siga estas etapas:

Criar uma autoridade certificadora (AC)
Gerar certificados do servidor
Gerar certificados do cliente

Criar uma autoridade certificadora (AC)

Essa autoridade é a AC raiz de todos os certificados de cliente e servidor gerados nas etapas a seguir.

spanner certificates create-ca --ca-certificate-directory=certs

O diretório certs contém o certificado de CA. Crie uma cópia desse certificado para usar como uma AC para certificados de API.

cp certs/ca.crt certs/ca-api.crt

O diretório $HOME/.spanner/private-keys contém a chave privada da AC. Faça backup e proteja esse diretório. Um usuário com acesso à chave privada pode assinar certificados arbitrários em que os clientes que confiam na AC autoassinada confiam. Embora seja possível usar a mesma AC para todos os certificados, é obrigatório que os certificados de API e de cliente usem a mesma AC. Opcionalmente, é possível criar uma AC adicional (ou usar uma AC confiável externamente) para os certificados de API. Use a AC certa nas etapas a seguir ao criar certificados. Este documento usa a mesma AC para todos os tipos de certificado.

Gerar certificados do servidor

Você gera dois tipos de certificados do servidor:

Certificado do servidor do Spanner: criptografa a comunicação entre os servidores do Spanner Omni.
Certificado de API: criptografa a comunicação de sistemas que interagem com a implantação.

Essa configuração oferece um gerenciamento mais flexível desses certificados, como uma rotação de certificados.

Criar o certificado do servidor do Spanner

Os servidores do Spanner Omni usam certificados do servidor para criptografar a comunicação entre si (comunicação entre servidores).

Crie o certificado do servidor executando o seguinte. Substitua SERVER_LIST por uma lista separada por vírgulas de nomes de servidores ou sufixos do Spanner.

SERVER_NAMES=SERVER_LIST
spanner certificates create-server --hostnames=${SERVER_NAMES} --ca-certificate-directory certs --output-directory certs

Esse comando cria dois arquivos, server.crt e server.key, no diretório certs.

Criar o certificado de API

Os certificados de API criptografam a comunicação de sistemas que interagem com a implantação. O uso de certificados separados para a API e a comunicação entre servidores permite gerenciar e alternar cada tipo de forma independente.

Crie o certificado de API executando o seguinte. Substitua LB_DNS pelo DNS do balanceador de carga.

SERVER_NAMES=LB_DNS
spanner certificates create-server --filename-prefix=api --hostnames=${SERVER_NAMES} --ca-certificate-directory certs --output-directory certs

Esse comando cria mais dois arquivos, api.crt e api.key, no diretório certs. Se necessário, é possível usar uma AC confiável externamente para os certificados de API.

Distribuir os certificados para todos os servidores

Copie o diretório certs para todos os outros servidores na implantação para iniciá-los com recursos de segurança de rede.

scp -r certs REMOTE_HOST:SPANNER_DIR/certs

Etapa 3: gerar certificados do cliente

É possível usar certificados de cliente para autenticar usuários e aplicativos no Spanner. Os certificados de cliente ativam o mTLS entre o cliente e o servidor.

Os certificados de cliente precisam ser assinados pela mesma AC que o certificado de API e precisam conter um nome de usuário para autorização. Este exemplo usa o usuário admin, que é o usuário padrão para cada banco de dados. Para mais informações sobre usuários, papéis e opções de autenticação, consulte Autenticação e autorização no Spanner Omni.

USERNAME=admin
spanner certificates create-client $USERNAME --output-directory clientcerts --ca-certificate-directory certs

Esse comando cria arquivos client.crt e client.key no diretório clientcerts. Envie esses arquivos para qualquer máquina que se conecte aos servidores da implantação.

Se você planeja usar os certificados de cliente com a biblioteca de cliente Java, gere a chave de certificado no formato PKCS#8. Use o comando a seguir:

USERNAME=admin
spanner certificates create-client $USERNAME \
    --output-directory clientcerts \
    --ca-certificate-directory certs \
    --generate-pkcs8-key

Etapa 4: reiniciar os servidores

Depois de gerar os certificados e copiá-los para todos os servidores na implantação, reinicie cada servidor.

Implantação de servidor único

Para implantações de servidor único, execute o comando a seguir para configurar o servidor com TLS:

nohup spanner start-single-server \
    --base-dir=BASE_DIR \
    --certificate-directory=${HOME}/.spanner/certs &

Em seguida, execute o comando a seguir para iniciar e configurar o servidor com os métodos de autenticação compatíveis.

spanner deployment update --secure-mode=true \
    --auth-methods=password,client-certificate --password-protocol=opaque

Para informações sobre como interagir com a implantação, consulte Etapa 7: interagir com a implantação.

Implantação de expansão

Para implantações de expansão, inicie o servidor em cada máquina. Os valores de server-address e zone precisam corresponder aos valores na configuração de implantação. A rede precisa resolver server-address. Os servidores usam server-address para comunicação interna. Execute o comando a seguir para iniciar o servidor raiz:

nohup spanner start \
    --root \
    --server-address=HOST_NAME \
    --zone=ZONE_NAME \
    --base-dir=BASE_DIR \
    --certificate-directory=${HOME}/.spanner/certs &

O comando a seguir mostra um exemplo com valores específicos:

nohup spanner start \
    --root \
    --server-address=rootserver1 \
    --zone=us-central-1a \
    --base-dir=./spanbasedir \
    --certificate-directory=${HOME}/.spanner/certs &

Com os servidores em execução em cada máquina, você está pronto para criar a implantação.

Etapa 5: criar uma implantação com criptografia TLS

Execute o comando spanner deployment create em um dos servidores raiz para criar a implantação. Para ativar a criptografia TLS, especifique o diretório base com a flag --base-dir. Use o mesmo BASE_DIR especificado ao iniciar o servidor raiz em a etapa anterior.

spanner deployment create \
    --config-file=deployment.yaml \
    --base-dir=BASE_DIR

Para especificar a senha padrão do usuário admin, defina a --admin-password-file flag como o caminho de um arquivo com permissões 600 que contenha uma senha válida. Uma senha válida precisa ter entre 8 e 32 caracteres e incluir pelo menos um de cada um dos seguintes:

Um caractere maiúsculo
Um caractere minúsculo
Um número
Um caractere especial (não um dos acima)

O arquivo deployment.yaml precisa incluir os métodos de autenticação selecionados e o protocolo de senha:

deployment_settings:
  security_settings:
    authentication_methods:
      - AUTHENTICATION_METHOD_PASSWORD
      - AUTHENTICATION_METHOD_CLIENT_CERTIFICATE
    password_authentication_protocol: PASSWORD_AUTHENTICATION_PROTOCOL_OPAQUE

É possível especificar um ou mais dos seguintes métodos de autenticação:

AUTHENTICATION_METHOD_PASSWORD: autenticação de senha
AUTHENTICATION_METHOD_CLIENT_CERTIFICATE: autenticação de certificado do cliente

É possível especificar o seguinte protocolo de senha:

PASSWORD_AUTHENTICATION_PROTOCOL_OPAQUE: protocolo OPAQUE

O console de cada máquina mostra mensagens indicando que a implantação agora inclui criptografia TLS. Todos os servidores se comunicam entre si por um canal criptografado.

Etapa 6: configurar um balanceador de carga (opcional)

Para gerenciar e distribuir o tráfego de clientes entre os servidores na implantação, configure um balanceador de carga. Verifique se a configuração do balanceador de carga para a verificação de integridade usa HTTPS em vez de HTTP. Use os seguintes detalhes de configuração:

Parâmetro	Valor
Protocolo	TCP
IP de back-end	Os endereços IP dos seus servidores.
Porta	`15000` (Essa é a porta padrão. Se você usou uma porta diferente porta na flag `--server-address`, use essa porta.)
URL da verificação de integridade	`https://IP_ADDRESS:15012/healthz`
Estratégia de balanceamento	roundrobin (distribui solicitações sequencialmente entre servidores)

Etapa 7: interagir com a implantação

É possível interagir com a implantação do Spanner Omni em qualquer VM usando a CLI do Spanner Omni.

Inclua a flag a seguir com cada comando para estabelecer uma conexão criptografada:

--ca-certificate-file=certs/ca-api.crt

Se você ativou o mTLS para clientes, inclua também a flag a seguir com cada comando:

--client-certificate-directory=clientcerts

Para fazer login e interagir com a implantação, siga estas etapas:

Criar um banco de dados

spanner --deployment-endpoint=ENDPOINT databases create mydb --ca-certificate-file=certs/ca-api.crt

Creating database...done.

Abrir o SQL Shell

spanner sql --database=mydb --ca-certificate-file=certs/ca-api.crt

Connected.
spanner>

Criar uma tabela e adicionar dados

spanner> create table names (nameId INT64 NOT NULL, name String(100)) Primary Key (nameId);
Query OK, 0 rows affected (4.62 sec)

spanner> insert names (nameId, name) values (1, "Jack");
Query OK, 1 rows affected (0.18 sec)

Verificar os dados

Liste os bancos de dados:

spanner databases list --ca-certificate-file=certs/ca-api.crt

NAME  STATE  VERSION_RETENTION_PERIOD  EARLIEST_VERSION_TIME  KMS_KEY_NAME  ENABLE_DROP_PROTECTION
mydb  READY  1h                        2025-02-07T12:25:30Z                 false

Receba os dados da tabela:

spanner sql --database=mydb --ca-certificate-file=certs/ca-api.crt

Connected.
spanner> show tables;
+----------------+
| Tables_in_mydb |
+----------------+
| names          |
+----------------+
1 rows in set (0.14 sec)

spanner> select * from names;
+--------+--------+
| nameId | name   |
+--------+--------+
| 1      | Jack   |
+--------+--------+
1 rows in set (18.69 msecs)

Etapa 8: escalonar a implantação (opcional)

É possível adicionar servidores não raiz a uma zona para escalonar a capacidade dela. Para fazer isso, gere o certificado do servidor para os servidores não raiz, conforme explicado em Etapa 2: gerar os certificados, e inicie o servidor com o comando a seguir:

spanner start \
    --server-address=NON_ROOT_MACHINE \
    --join-servers=ROOT_SERVER1,ROOT_SERVER2,ROOT_SERVER3 \
    --zone=us-central1-a \
    --base-dir=./spandir \
    --certificate-directory=${HOME}/.spanner/certs

Próximas etapas

Use bibliotecas de cliente e drivers JDBC para conectar seu aplicativo à implantação.
Gerenciar usuários e papéis.

Criar um deployment com criptografia TLS em VMs Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.