インスタンスごとの認証局（CA）を使用してデータを保護する

クライアントアプリケーションと Memorystore for Redis Cluster 間で移動するすべてのデータを安全に暗号化できます。これは転送中の暗号化です。転送中の暗号化を使用すると、すべての Redis トラフィックが Transport Layer Security（TLS）プロトコルで暗号化されます。これにより、アプリケーションと Memorystore for Redis Cluster 間で移動するすべてのデータが機密性を維持し、改ざんされないようになります。

転送中の暗号化が有効になっている場合、Redis クライアントは安全な接続を介してのみ通信を行います。TLS 用に構成されていない Redis クライアントはブロックされます。転送中の暗号化を使用する場合は、Redis クライアントが TLS プロトコルを使用できることを確認する必要があります。

転送中の暗号化を使用するクラスタには、認証局（CA）があります。CA を使用して、クラスタ内のマシンの証明書を認証します。

使用できる CA モードの 1 つに、インスタンス単位の CA があります。Memorystore for Redis Cluster は、各クラスタに独自の固有の CA インフラストラクチャをプロビジョニングします。クラスタに安全にアクセスするには、この CA 階層を信頼するようにクライアントアプリケーションを構成する必要があります。これには、クラスタにアクセスする各クライアントに CA 証明書をダウンロードしてインストールする必要があります。

インスタンスごとの CA を使用するクラスタを作成する

コンソール

インスタンスを作成するの手順に沿って操作します。

gcloud

インスタンスごとの CA を使用するクラスタを作成するには、gcloud redis clusters create コマンドを使用します。

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

次のように置き換えます。

CLUSTER_ID: 作成するクラスタの ID。クラスタ ID は 1 ～ 63 文字にする必要があり、小文字、数字、ハイフンのみ使用できます。先頭は英小文字に、末尾は英小文字または数字にする必要があります。
REGION_ID: クラスタを配置するリージョン。
NETWORK: クラスタの作成に使用するネットワーク。形式は projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID にする必要があります。使用するネットワーク ID は、サービス接続ポリシーで使用されるネットワーク ID と一致する必要があります。そうしないと、クラスタを作成できません。
REPLICA_COUNT: レプリカの数（シャードあたり）。指定できる値は 0～5 です。
NODE_TYPE: ノードタイプ。次の値が利用できます。
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
注意: このノードタイプには SLA がないため、開発またはテスト目的でのみ redis-shared-core-nano ノードタイプを使用することをおすすめします。本番環境で Memorystore for Redis Cluster を実行する場合は、redis-standard-small、redis-highmem-medium、または redis-highmem-xlarge のノードタイプを使用することをおすすめします。これらのノードタイプの詳細については、ノードタイプを選択するをご覧ください。
SHARD_COUNT: クラスタ内のシャードの数。シャード数は、クラスタデータを保存するための合計メモリ容量を決定します。クラスタ仕様の詳細については、クラスタとノードの仕様をご覧ください。

server-ca-mode パラメータは、クラスタの CA モードを表します。インスタンスごとの CA の場合、google-managed-per-instance-ca はパラメータの値です。このパラメータを使用しない場合、デフォルトの CA モードはインスタンス単位です。

次に例を示します。

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

CA をダウンロードする

クラスタで転送中の暗号化を有効にすると、get-cluster-certificate-authority コマンドを使用するときに CA の証明書が表示されます。

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

CLUSTER_ID は、クラスタの ID に置き換えます。

レスポンスの本文には、該当するすべての CA の証明書が含まれます。

クライアントに CA 証明書をインストールする

クラスタに接続するクライアントに CA 証明書をインストールする必要があります。クライアントの種類によっては、CA 証明書のインストール方法が異なる場合があります。

Compute Engine Linux VM に CA 証明書をインストールする手順は次のとおりです。

SSH を使用して Compute Engine の Linux クライアントに接続します。
クライアントで、次のコマンドを使用して server_ca.pem ファイルを作成します。
```
sudo vim /tmp/server_ca.pem
```

CA をダウンロードして、server_ca.pem ファイルに貼り付けます。

CA のテキストは、正しい形式になっている必要があります。server_ca.pem ファイルは次のように表示されます。

上の例で説明したように、ファイルでは次のガイドラインを使用する必要があります。

-----BEGIN CERTIFICATE----- 行と
行を含む CA 全体をコピーします。-----END CERTIFICATE-----
CA のテキストが、完全に左揃えになっていることを確認します。CA のいずれの行の先頭にもスペースが含まれていないことを確認します。
各 CA を新しい行に追加します。CA の間に空白行がないことを確認します。

転送中の暗号化用のクライアントを構成する

クラスタへの接続に使用するクライアントは、TLS をサポートするか、サードパーティのサイドカーを使用して TLS を有効にする必要があります。

クライアントが TLS をサポートしている場合は、クラスタの IP アドレス、ポート 6379、CA を含むファイルを指すように TLS を構成します。転送中の暗号化が有効になっているクラスタに接続する方法の例を確認できます。

CA ローテーションを管理する

クラスタにアクセスするクライアントには、ダウンロード可能なすべての CA 証明書をインストールすることをおすすめします。

最新の CA 証明書を定期的にインストールすると、Memorystore for Redis Cluster が CA をローテーションするときに必要な証明書を確実に取得できます。このローテーション中は、既存の CA と新しい CA の両方がアクティブになります。

転送中の暗号化を使用するクラスタに接続するコードサンプル

転送中の暗号化を使用するクラスタに接続するようにクライアントライブラリを設定する方法を示すコードサンプルについては、転送中の暗号化クライアントライブラリのコードサンプルをご覧ください。