‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

אבטחת הנתונים באמצעות רשות אישורים (CA) לכל מופע

אתם יכולים להצפין בצורה מאובטחת את כל הנתונים שמועברים בין אפליקציות הלקוח לבין Memorystore for Redis Cluster. זוהי הצפנה בזמן ההעברה. באמצעות הצפנה בזמן ההעברה, כל התעבורה ב-Redis מוצפנת באמצעות פרוטוקול Transport Layer Security ‏ (TLS). כך אפשר לוודא שכל הנתונים שעוברים בין האפליקציות שלכם לבין Memorystore for Redis Cluster יישארו סודיים ולא ייערכו בהם שינויים.

כשמופעלת הצפנה במעבר, לקוחות Redis מתקשרים באופן בלעדי באמצעות חיבור מאובטח. לקוחות Redis שלא מוגדרים ל-TLS נחסמים. אם בוחרים להשתמש בהצפנה במעבר, אתם אחראים לוודא שלקוח Redis יכול להשתמש בפרוטוקול TLS.

לצבירים שמשתמשים בהצפנה במעבר יש רשויות אישורים (CA). משתמשים ב-CA כדי לאמת את האישורים של המכונות באשכולות.

אחד ממצבי ה-CA שבהם אפשר להשתמש הוא CA לכל מופע. ‫Memorystore for Redis Cluster מקצה לכל אשכול תשתית CA ייחודית משלו. כדי לגשת לאשכול בצורה מאובטחת, צריך להגדיר את אפליקציית הלקוח כך שתיתן אמון בהיררכיית ה-CA הזו. התהליך כולל הורדה והתקנה של אישורי CA בכל לקוח שמקבל גישה לאשכול.

חשוב: תעודות CA תקפות למשך עשר שנים מהתאריך שבו הן נוצרות. לפני שתוקף האישורים האלה יפוג, יהיו אישורים חדשים זמינים להורדה ולהתקנה בלקוחות שמתחברים לאשכול ב-Memorystore for Redis Cluster. רשויות אישורים קיימות תקפות עד לתאריכי התפוגה שלהן. אחרי שתוקף רשויות האישורים יפוג, תוכלו להסיר אותן מהלקוחות שלכם.

במקרים של אשכולות עם רפליקות, הנתונים המשוכפלים מוצפנים באופן מלא ברמת הרשת, על סמך Google Cloud תקני הצפנה. בנוסף, ‫Memorystore for Redis Cluster תומך בפרוטוקול TLS, בגרסאות 1.2 ואילך.

יצירת אשכול שמשתמש ב-CA לכל מופע

המסוף

פועלים לפי השלבים במאמר יצירת מופעים.

gcloud

כדי ליצור אשכול שמשתמש ב-CA לכל מכונה, משתמשים בפקודה gcloud redis clusters create.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

מחליפים את הפרטים הבאים:

‫CLUSTER_ID: המזהה של האשכול שאתם יוצרים. מזהה האשכול צריך להיות באורך של 1 עד 63 תווים, ולהכיל רק אותיות קטנות, מספרים או מקפים. הוא צריך להתחיל באות קטנה ולהסתיים באות קטנה או במספר.
‫REGION_ID: האזור שבו רוצים שהאשכול יהיה ממוקם.
‫NETWORK: הרשת שבה משתמשים כדי ליצור את האשכול. הפורמט הנדרש הוא: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. מזהה הרשת שבו אתם משתמשים צריך להיות זהה למזהה הרשת שמוגדר במדיניות של חיבור השירות. אחרת, לא תוכלו ליצור את האשכול.
‫REPLICA_COUNT: מספר העותקים (לכל רסיס). הערכים הקבילים הם 0 עד 5.
‫NODE_TYPE: סוג הצומת של האשכול.

זהירות: מומלץ להשתמש בסוג הצומת redis-shared-core-nano רק למטרות פיתוח או בדיקה, כי לסוג הצומת הזה אין הסכם רמת שירות (SLA). אם אתם מפעילים את Memorystore for Redis Cluster בסביבת ייצור, מומלץ להשתמש בסוג אחר של צומת.
‫SHARD_COUNT: מספר הרסיסים באשכול. מספר הרסיסים קובע את קיבולת הזיכרון הכוללת לאחסון נתוני האשכול. מידע נוסף על מפרטים של אשכולות זמין במאמר מפרט של אשכול וצומת.

הפרמטר server-ca-mode מייצג את מצב ה-CA של האשכול. ב-CA לכל מופע, google-managed-per-instance-ca הוא הערך של הפרמטר. אם לא משתמשים בפרמטר הזה, מצב ברירת המחדל של CA הוא לכל מופע.

לדוגמה:

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

הורדת אישורי ה-CA

אם מפעילים הצפנה במעבר עבור אשכול, כשמשתמשים בפקודה get-cluster-certificate-authority, מופיעים האישורים של רשויות האישורים.

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

מחליפים את CLUSTER_ID במזהה של האשכול.

גוף התשובה כולל אישורים לכל רשויות האישורים הרלוונטיות.

התקנת אישורי CA בלקוח

צריך להתקין את אישורי ה-CA בלקוח שמתחבר לאשכול. ההתקנה של אישור CA עשויה להשתנות בהתאם לסוג הלקוח.

כדי להתקין אישור CA במכונה וירטואלית של Linux ב-Compute Engine, צריך לבצע את הפעולות הבאות:

משתמשים ב-SSH כדי להתחבר ללקוח Linux ב-Compute Engine.
בצד הלקוח, משתמשים בפקודה הבאה כדי ליצור קובץ server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

מורידים את רשויות האישורים ומדביקים אותן בקובץ server_ca.pem.

צריך לעצב את הטקסט של רשויות האישורים בצורה נכונה. קובץ server_ca.pem עשוי להופיע כך:

הקובץ שלכם, כמו בדוגמה הקודמת, צריך לעמוד בהנחיות הבאות:

מעתיקים את כל רשות האישורים, כולל השורות -----BEGIN CERTIFICATE----- ו-
-----END CERTIFICATE-----.
חשוב לוודא שהטקסט של רשויות האישורים מיושר לשמאל באופן מלא. מוודאים שלא מופיעים רווחים לפני אף שורה של רשויות האישורים.
מוסיפים כל רשות אישורים בשורה חדשה. מוודאים שאין שורות ריקות בין רשויות האישורים.

הגדרת הצפנה בזמן ההעברה בלקוח

הלקוח שבו אתם משתמשים כדי להתחבר לאשכול צריך לתמוך ב-TLS או להשתמש ב-sidecar של צד שלישי כדי להפעיל TLS.

אם הלקוח תומך ב-TLS, צריך להגדיר אותו כך שיצביע על כתובת ה-IP של האשכול, על יציאה 6379 ועל הקובץ שמכיל את רשות האישורים. אפשר לראות דוגמה לאופן ההתחברות לאשכול שבו ההצפנה במעבר מופעלת.

ניהול סבב אישורים

מומלץ להתקין את כל אישורי ה-CA שניתנים להורדה בלקוחות שיש להם גישה לאשכול.

התקנה תקופתית של אישורי ה-CA העדכניים מבטיחה שיהיו לכם את האישורים הנדרשים כש-Memorystore for Redis Cluster יבצע רוטציה של אישורי ה-CA. במהלך הרוטציה הזו, גם האישורים הקיימים וגם האישורים החדשים פעילים.

דוגמת קוד להתחברות לאשכול שמשתמש בהצפנה במעבר

כדי לראות דוגמת קוד להגדרת ספריית לקוח להתחברות לאשכול שמשתמש בהצפנה במעבר, אפשר לעיין במאמר דוגמת קוד של ספריית לקוח להצפנה במעבר.