Esta página foi traduzida pela API Cloud Translation.

Faça a gestão da encriptação em trânsito

Esta página explica como gerir a encriptação em trânsito para o seu cluster.

Para uma vista geral da encriptação em trânsito para o Memorystore for Redis Cluster, consulte o artigo Acerca da encriptação em trânsito.

Só pode ativar as encriptações em trânsito quando cria inicialmente o cluster do Memorystore. Não é possível desativar a encriptação em trânsito para clusters criados desta forma.

Crie uma instância com encriptação em trânsito

Consola

Siga os passos em Crie uma instância do Memorystore for Redis Cluster.

gcloud

Para criar um cluster do Redis com encriptação em trânsito, execute o comando create

gcloud redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Substitua o seguinte:

INSTANCE_ID é o ID da instância do Memorystore for Redis Cluster que está a criar. O ID da instância tem de ter entre 1 e 63 carateres e usar apenas letras minúsculas, números ou hífenes. Tem de começar com uma letra minúscula e terminar com uma letra minúscula ou um número.
REGION_ID é a região onde quer colocar a instância.

NETWORK é a rede usada para criar a sua instância. Tem de usar o formato: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. O ID da rede usado aqui tem de corresponder ao ID da rede usado pela política de ligação de serviços. Caso contrário, a operação create falha.
REPLICA_COUNT é o número de réplicas (por fragmento). Os valores aceites são 0-5.
NODE_TYPE é o tipo de nó escolhido. Os valores aceites são:
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Aviso: recomendamos que use o tipo de nó redis-shared-core-nano apenas para fins de desenvolvimento ou teste, uma vez que este tipo de nó não tem SLA. Se executar o Memorystore for Redis Cluster num ambiente de produção, recomendamos que use os tipos de nós redis-standard-small, redis-highmem-medium ou redis-highmem-xlarge. Para mais informações sobre estes tipos de nós, consulte Escolha um tipo de nó.
SHARD_COUNT determina o número de fragmentos na sua instância. A contagem de fragmentos determina a capacidade total de memória para armazenar dados do cluster. Para ver mais detalhes sobre a especificação de clusters, consulte o artigo Especificação de clusters e nós.

Por exemplo:

gcloud redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Transfira as autoridades de certificação

Se a encriptação em trânsito estiver ativada no seu cluster, vê os certificados das autoridades de certificação quando executa o comando get-cluster-certificate-authority:

gcloud redis clusters get-cluster-certificate-authority INSTANCE_ID

Substitua o seguinte:

INSTANCE_ID é o ID da sua instância do Memorystore for Redis Cluster.

O corpo da resposta inclui certificados para todas as autoridades de certificação aplicáveis.

Instale autoridades de certificação no seu cliente

Tem de instalar as autoridades de certificação do cluster no cliente de ligação. A instalação da AC pode variar consoante o tipo de cliente. Os passos abaixo explicam como instalar uma AC numa VM Linux do Compute Engine.

Estabeleça ligação com SSH ao seu cliente Linux do Compute Engine.
Crie um ficheiro denominado server_ca.pem no seu cliente:
```
sudo vim /tmp/server_ca.pem
```

Transfira as autoridades de certificação e cole-as no ficheiro server_ca.pem criado anteriormente.

O texto dos CAs tem de estar formatado corretamente. O ficheiro server_ca.pem deve ter um aspeto semelhante a este:

O ficheiro, conforme visto no exemplo anterior, deve usar as seguintes diretrizes:

Copie toda a autoridade de certificação, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Certifique-se de que o texto dos anúncios de custo zero está totalmente alinhado à esquerda. Não deve haver espaços antes de qualquer linha das ACs.
Cada autoridade de certificação deve ser adicionada numa nova linha. Não devem existir linhas em branco entre as ACs.

Configure o cliente para a encriptação em trânsito

O cliente que usa para se ligar ao cluster tem de suportar o TLS ou usar um sidecar de terceiros para ativar o TLS.

Se o seu cliente suportar TLS, configure-o para apontar para o IP da instância do Redis, a porta 6379 e o ficheiro que contém a autoridade de certificação. Se optar por usar um sidecar, recomendamos que use o Stunnel.

Estabeleça ligação segura a um cluster do Memorystore através do Stunnel e do telnet

Para obter instruções sobre como usar o Stunnel para ativar a encriptação em trânsito num cliente do Compute Engine, consulte o artigo Ligue-se em segurança a uma instância do Memorystore através do Stunnel e do telnet.

Faça a gestão da rotação da autoridade de certificação

Deve instalar todas as autoridades de certificação transferíveis nos clientes que acedem ao seu cluster.

A instalação das novas ACs, além das ACs anteriores, assim que ficarem disponíveis, é a forma mais simples de garantir que tem as ACs necessárias quando ocorrer o evento de rotação da autoridade de certificação.

Para se certificar de que tem a CA necessária, basta verificar se as CAs guardadas no ficheiro do cliente correspondem às apresentadas quando transfere as autoridades de certificação. As ACs novas e antigas estão ativas durante a rotação para garantir um tempo de inatividade mínimo.

Exemplo de código para estabelecer ligação a uma instância que usa encriptação em trânsito

Para ver um exemplo de código sobre como configurar uma biblioteca cliente para estabelecer ligação a uma instância que usa encriptação em trânsito, consulte o exemplo de código da biblioteca cliente de encriptação em trânsito.