Sécuriser vos données à l'aide d'une autorité de certification par instance

Vous pouvez chiffrer de manière sécurisée toutes les données qui transitent entre vos applications clientes et Memorystore for Redis Cluster. Il s'agit du chiffrement en transit. Grâce au chiffrement en transit, tout le trafic Redis est chiffré via le protocole TLS (Transport Layer Security). Cela garantit que toutes les données qui transitent entre vos applications et Memorystore for Redis Cluster restent confidentielles et ne sont pas altérées.

Lorsque le chiffrement en transit est activé, les clients Redis communiquent exclusivement via une connexion sécurisée. Les clients Redis qui ne sont pas configurés pour TLS sont bloqués. Si vous choisissez d'utiliser le chiffrement en transit, vous devez vous assurer que votre client Redis peut utiliser le protocole TLS.

Les clusters qui utilisent le chiffrement en transit disposent d'autorités de certification. Vous utilisez les autorités de certification pour authentifier les certificats des machines de vos clusters.

Un mode d'autorité de certification que vous pouvez utiliser est une autorité de certification par instance. Memorystore for Redis Cluster provisionne chaque cluster avec sa propre infrastructure d'autorité de certification unique. Pour accéder à un cluster de manière sécurisée, vous devez configurer votre application cliente pour qu'elle approuve cette hiérarchie d'autorités de certification. Pour ce faire, vous devez télécharger et installer des certificats d'autorité de certification sur chaque client qui accède au cluster.

Important : Les autorités de certification sont valides pendant dix ans à compter de leur date de création. Avant l'expiration de ces autorités de certification, de nouvelles autorités de certification sont disponibles pour que vous puissiez les télécharger et les installer sur vos clients qui se connectent au cluster dans Memorystore for Redis Cluster. Les autorités de certification existantes sont valides jusqu'à leur date d'expiration. Une fois les autorités de certification expirées, vous pouvez les désinstaller de vos clients.

Pour les clusters qui comportent des instances répliquées, les données répliquées sont entièrement chiffrées au niveau du réseau, conformément aux Google Cloud normes de chiffrement. De plus, Memorystore for Redis Cluster est compatible avec le protocole TLS, versions 1.2 et ultérieures.

Créer un cluster qui utilise une autorité de certification par instance

Console

Suivez les étapes décrites dans Créer des instances.

gcloud

Pour créer un cluster qui utilise une autorité de certification par instance, utilisez la gcloud redis clusters create commande.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Effectuez les remplacements suivants :

CLUSTER_ID : ID du cluster que vous créez. L'ID du cluster doit comporter entre 1 et 63 caractères, et ne contenir que des lettres minuscules, des chiffres ou des traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID : région dans laquelle vous souhaitez que le cluster soit situé.
NETWORK : réseau que vous utilisez pour créer le cluster. Il doit utiliser le format suivant : projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. L'ID de réseau que vous utilisez doit correspondre à celui utilisé par la stratégie de connexion de service. Sinon, vous ne pouvez pas créer le cluster.
REPLICA_COUNT : nombre d'instances répliquées (par segment). Les valeurs acceptées sont comprises entre 0 et 5.
NODE_TYPE : type de nœud. Les valeurs acceptées sont les suivantes :
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Attention : Nous vous recommandons d'utiliser le type de nœud redis-shared-core-nano uniquement à des fins de développement ou de test , car ce type de nœud n'est pas couvert par un contrat de niveau de service. Si vous exécutez Memorystore for Redis Cluster dans un environnement de production, nous vous recommandons d'utiliser les types de nœuds redis-standard-small, redis-highmem-medium ou redis-highmem-xlarge. Pour en savoir plus sur ces types de nœuds, consultez Choisir un type de nœud.
SHARD_COUNT : nombre de segments dans le cluster. Le nombre de segments détermine la capacité de mémoire totale pour stocker les données du cluster. Pour en savoir plus sur les spécifications du cluster, consultez Spécifications du cluster et des nœuds.

Le paramètre server-ca-mode représente le mode d'autorité de certification pour le cluster. Pour une autorité de certification par instance, google-managed-per-instance-ca est la valeur du paramètre. Si vous n'utilisez pas ce paramètre, le mode d'autorité de certification par défaut est par instance.

Exemple :

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Télécharger les autorités de certification

Si vous activez le chiffrement en transit pour un cluster, les certificats des autorités de certification s'affichent lorsque vous utilisez la commande get-cluster-certificate-authority.

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

Remplacez CLUSTER_ID par l'ID du cluster.

Le corps de la réponse inclut les certificats de toutes les autorités de certification applicables.

Installer des certificats d'autorité de certification sur le client

Vous devez installer les certificats d'autorité de certification sur le client qui se connecte au cluster. L'installation du certificat d'autorité de certification peut varier en fonction du type de client.

Pour installer un certificat d'autorité de certification sur une VM Linux Compute Engine, procédez comme suit :

Connectez-vous en SSH à un client Linux Compute Engine.
Dans le client, utilisez la commande suivante pour créer un fichier server_ca.pem :
```
sudo vim /tmp/server_ca.pem
```

Téléchargez les autorités de certification et collez-les dans le server_ca.pem fichier.

Vous devez mettre en forme correctement le texte des autorités de certification. Le fichier server_ca.pem peut se présenter comme suit :

Votre fichier, comme illustré dans l'exemple précédent, doit respecter les consignes suivantes :

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et
-----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est complètement justifié à gauche. Vérifiez qu'aucun espace n'apparaît devant une ligne des autorités de certification.
Ajoutez chaque autorité de certification sur une nouvelle ligne. Vérifiez qu'il n'y a pas de lignes vides entre les autorités de certification.

Configurer le client pour le chiffrement en transit

Le client que vous utilisez pour vous connecter au cluster doit être compatible avec le protocole TLS ou utiliser un side-car tiers pour activer TLS.

Si votre client est compatible avec TLS, configurez-le pour qu'il pointe vers l'adresse IP du cluster, le port 6379 et le fichier contenant l'autorité de certification. Vous pouvez voir un exemple de connexion à un cluster pour lequel le chiffrement en transit est activé.

Gérer la rotation des autorités de certification

Nous vous recommandons d'installer tous les certificats d'autorité de certification téléchargeables sur les clients qui accèdent au cluster.

L'installation périodique des derniers certificats d'autorité de certification vous permet de disposer des certificats nécessaires lorsque Memorystore for Redis Cluster fait tourner les autorités de certification. Lors de cette rotation, les autorités de certification existantes et les nouvelles sont actives.

Exemple de code pour se connecter à un cluster qui utilise le chiffrement en transit

Pour afficher un exemple de code sur la configuration d'une bibliothèque cliente pour se connecter à un cluster qui utilise le chiffrement en transit, consultez Exemple de code de bibliothèque cliente pour le chiffrement en transit.