Mengamankan data Anda dengan menggunakan Otoritas Sertifikat (CA) per instance

Anda dapat mengenkripsi semua data yang berpindah antara aplikasi klien dan Memorystore for Redis Cluster dengan aman. Ini adalah enkripsi dalam pengiriman. Dengan menggunakan enkripsi dalam transit, semua traffic Redis dienkripsi melalui protokol Transport Layer Security (TLS). Hal ini memastikan bahwa semua data yang berpindah antara aplikasi Anda dan Memorystore for Redis Cluster tetap rahasia dan tidak dimodifikasi.

Jika enkripsi dalam transit diaktifkan, klien Redis hanya berkomunikasi melalui koneksi aman. Klien Redis yang tidak dikonfigurasi untuk TLS akan diblokir. Jika memilih untuk menggunakan enkripsi saat transit, Anda bertanggung jawab untuk memastikan bahwa klien Redis Anda dapat menggunakan protokol TLS.

Cluster yang menggunakan enkripsi dalam pengiriman memiliki Certificate Authority (CA). Anda menggunakan CA untuk mengautentikasi sertifikat mesin di cluster Anda.

Salah satu mode CA yang dapat Anda gunakan adalah CA per instance. Memorystore for Redis Cluster menyediakan setiap cluster dengan infrastruktur CA yang unik dan terpisah. Untuk mengakses cluster dengan aman, Anda harus mengonfigurasi aplikasi klien agar memercayai hierarki CA ini. Hal ini melibatkan pendownloadan dan penginstalan sertifikat CA di setiap klien yang mengakses cluster.

Membuat cluster yang menggunakan CA per instance

Konsol

Ikuti langkah-langkah di Membuat instance.

gcloud

Untuk membuat cluster yang menggunakan CA per instance, gunakan perintah gcloud redis clusters create.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Lakukan penggantian berikut:

CLUSTER_ID: ID cluster yang Anda buat. ID cluster harus terdiri dari 1 hingga 63 karakter, dan hanya menggunakan huruf kecil, angka, atau tanda hubung. ID harus diawali dengan huruf kecil, dan diakhiri dengan huruf kecil atau angka.
REGION_ID: region tempat Anda ingin menempatkan cluster.
NETWORK: jaringan yang Anda gunakan untuk membuat cluster. Harus menggunakan format ini: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. ID jaringan yang Anda gunakan harus cocok dengan ID jaringan yang digunakan oleh kebijakan koneksi layanan. Jika tidak, Anda tidak dapat membuat cluster.
REPLICA_COUNT: jumlah replika (per shard). Nilai yang diterima adalah 0-5.
NODE_TYPE: jenis node. Nilai yang diterima adalah:
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Perhatian: Sebaiknya gunakan jenis node redis-shared-core-nano hanya untuk tujuan pengembangan atau pengujian karena jenis node ini tidak memiliki SLA. Jika Anda menjalankan Memorystore for Redis Cluster di lingkungan produksi, sebaiknya gunakan jenis node redis-standard-small, redis-highmem-medium, atau redis-highmem-xlarge. Untuk mengetahui informasi selengkapnya tentang jenis node ini, lihat Memilih jenis node.
SHARD_COUNT: jumlah shard dalam cluster. Jumlah partisi menentukan total kapasitas memori untuk menyimpan data cluster. Untuk mengetahui informasi selengkapnya tentang spesifikasi cluster, lihat Spesifikasi cluster dan node.

Parameter server-ca-mode menunjukkan mode CA untuk cluster. Untuk CA per instance, google-managed-per-instance-ca adalah nilai untuk parameter. Jika Anda tidak menggunakan parameter ini, mode CA default adalah per-instance.

Contoh:

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Mendownload CA

Jika Anda mengaktifkan enkripsi saat transit untuk cluster, saat Anda menggunakan perintah get-cluster-certificate-authority, sertifikat CA akan muncul.

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

Ganti CLUSTER_ID dengan ID cluster.

Isi respons mencakup sertifikat untuk semua CA yang berlaku.

Menginstal sertifikat CA di klien

Anda harus menginstal sertifikat CA di klien yang terhubung ke cluster. Bergantung pada jenis klien, penginstalan sertifikat CA mungkin berbeda.

Untuk menginstal sertifikat CA di VM Linux Compute Engine, lakukan hal berikut:

Gunakan SSH untuk terhubung ke klien Linux Compute Engine.
Di klien, gunakan perintah berikut untuk membuat file server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Download CA dan tempelkan ke dalam file server_ca.pem.

Anda harus memformat teks CA dengan benar. File server_ca.pem mungkin muncul seperti berikut:

File Anda, seperti yang terlihat pada contoh sebelumnya, harus menggunakan pedoman berikut:

Salin seluruh CA, termasuk baris -----BEGIN CERTIFICATE----- dan
-----END CERTIFICATE-----.
Pastikan teks CA sepenuhnya rata kiri. Pastikan tidak ada spasi di depan setiap baris CA.
Tambahkan setiap CA di baris baru. Pastikan tidak ada baris kosong di antara CA.

Mengonfigurasi klien untuk enkripsi saat transit

Klien yang Anda gunakan untuk terhubung ke cluster harus mendukung TLS atau menggunakan sidecar pihak ketiga untuk mengaktifkan TLS.

Jika klien Anda mendukung TLS, konfigurasikan klien agar mengarah ke alamat IP cluster, port 6379, dan file yang berisi CA. Anda dapat melihat contoh cara terhubung ke cluster yang mengaktifkan enkripsi dalam transit.

Mengelola rotasi CA

Sebaiknya instal semua sertifikat CA yang dapat didownload di klien yang mengakses cluster.

Menginstal sertifikat CA terbaru secara berkala memastikan Anda memiliki sertifikat yang diperlukan saat Cluster Memorystore untuk Redis merotasi CA. Selama rotasi ini, CA yang ada dan CA baru akan aktif.

Contoh kode untuk terhubung ke cluster yang menggunakan enkripsi saat transit

Untuk melihat contoh kode tentang cara menyiapkan library klien untuk terhubung ke cluster yang menggunakan enkripsi saat transit, lihat Contoh kode library klien enkripsi saat transit.