Configurar TLS no Azure Cosmos DB para PostgreSQL

Importante

O Azure Cosmos DB para PostgreSQL não tem mais suporte para novos projetos. Não use este serviço para novos projetos. Em vez disso, use um destes dois serviços:

• Use o Azure Cosmos DB para NoSQL para obter uma solução de banco de dados distribuído projetada para cenários de alta escala com um SLA (contrato de nível de serviço) de disponibilidade de 99.999%, dimensionamento automático instantâneo e failover automático em várias regiões.

• Use a funcionalidade de Clusters Elásticos do Azure para PostgreSQL para PostgreSQL fragmentado, utilizando a extensão Citus de código aberto.

O nó coordenador requer que as aplicações cliente se conectem com Segurança da Camada de Transporte (TLS). A imposição de TLS entre o servidor de banco de dados e os aplicativos cliente ajuda a manter os dados confidenciais em trânsito. As configurações de verificação adicionais descritas abaixo também protegem contra ataques "man-in-the-middle".

Impondo conexões TLS

Os aplicativos usam uma "cadeia de conexão" para identificar o banco de dados de destino e as configurações de uma conexão. Clientes diferentes requerem configurações diferentes. Para ver uma lista de cadeias de conexão usadas por clientes comuns, consulte a seção de Cadeias de Conexão do seu cluster no portal do Azure.

Os parâmetros ssl TLS e sslmode variam com base nas capacidades do conector, por exemplo ssl=true ou sslmode=requiresslmode=required.

Certifique-se de que seu aplicativo ou estrutura ofereça suporte a conexões TLS

Algumas estruturas de aplicativos não habilitam o TLS por padrão para conexões PostgreSQL. No entanto, sem uma conexão segura, uma aplicação não pode ligar-se ao nó coordenador. Consulte a documentação do seu aplicativo para saber como habilitar conexões TLS.

Aplicativos que exigem verificação de certificado para conectividade TLS

Em alguns casos, os aplicativos exigem um arquivo de certificado local gerado a partir de um arquivo de certificado (.cer) de Autoridade de Certificação (CA) confiável para se conectar com segurança. O certificado para se conectar a um Azure Cosmos DB para PostgreSQL está localizado em https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem. Transfira o ficheiro de certificado e guarde-o na sua localização preferida.

Nota

Para verificar a autenticidade do certificado, você pode verificar sua impressão digital SHA-256 usando a ferramenta de linha de comando OpenSSL:

openssl x509 -in DigiCertGlobalRootG2.crt.pem -noout -sha256 -fingerprint

# should output:
# CB:3C:CB:B7:60:31:E5:E0:13:8F:8D:D3:9A:23:F9:DE:47:FF:C3:5E:43:C1:14:4C:EA:27:D4:6A:5A:B1:CB:5F

Conecte-se usando psql

O exemplo a seguir mostra como se ligar ao nó coordenador através do utilitário de linha de comandos psql. Use a configuração da cadeia de conexão sslmode=verify-full para impor a verificação de certificado TLS. Passe o caminho do arquivo de certificado local para o sslrootcert parâmetro.

Abaixo está um exemplo da cadeia de conexão psql:

psql "sslmode=verify-full sslrootcert=DigiCertGlobalRootG2.crt.pem host=c-mydemocluster.12345678901234.postgres.cosmos.azure.com dbname=citus user=citus password=your_pass"

Gorjeta

Confirme que o valor transmitido a sslrootcert corresponde ao caminho do ficheiro para o certificado que guardou.

Nota

Para a senha, use sua senha de conexão ou token de ID do Microsoft Entra. Para obter mais informações, consulte Opções de autenticação.

Próximos passos

Aumente ainda mais a segurança com as regras de Firewall no Azure Cosmos DB para PostgreSQL.