Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

使用每个实例的证书授权机构 (CA) 保护数据

您可以安全地加密客户端应用与 Memorystore for Redis Cluster 之间传输的所有数据。这是传输加密。通过使用传输加密，所有 Redis 流量都将通过传输层安全 (TLS) 协议进行加密。这可确保在应用与 Memorystore for Redis Cluster 之间传输的所有数据保持机密且未被篡改。

启用传输加密后，Redis 客户端仅通过安全连接进行通信。未配置 TLS 的 Redis 客户端会被屏蔽。如果您选择使用传输加密，则要负责确保您的 Redis 客户端能够使用 TLS 协议。

使用传输加密的集群具有证书授权机构 (CA)。您可以使用 CA 对集群中机器的证书进行身份验证。

您可以使用的 CA 模式之一是用于每个实例的 CA。Memorystore for Redis Cluster 会为每个集群预配自己的唯一 CA 基础设施。如需安全地访问集群，您必须将客户端应用配置为信任此 CA 层次结构。这包括在访问集群的每个客户端上下载并安装 CA 证书。

创建使用每个实例 CA 的集群

控制台

按照创建实例中的步骤操作。

gcloud

如需创建使用每个实例 CA 的集群，请使用 gcloud redis clusters create 命令。

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

进行以下替换：

CLUSTER_ID：您要创建的集群的 ID。集群 ID 必须包含 1 到 63 个字符，并且只能使用小写字母、数字或连字符。必须以小写字母开头，并以小写字母或数字结尾。
REGION_ID：您希望集群所在的区域。
NETWORK：用于创建集群的网络。必须采用以下格式：projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID。您使用的网络 ID 必须与服务连接政策使用的网络 ID 相符。否则，您将无法创建集群。
REPLICA_COUNT：副本数（每个分片）。可接受的值为 0-5。
NODE_TYPE：集群的节点类型。

注意：我们建议您仅将 redis-shared-core-nano 节点类型用于开发或测试目的，因为此节点类型没有 SLA。如果您在生产环境中运行 Memorystore for Redis Cluster，建议使用其他节点类型。
SHARD_COUNT：集群中的分片数。分片数决定了用于存储集群数据的总内存容量。如需详细了解集群规范，请参阅集群和节点规范。

server-ca-mode 参数表示集群的 CA 模式。对于每个实例的 CA，google-managed-per-instance-ca 是相应参数的值。如果您不使用此参数，则默认 CA 模式为单实例。

例如：

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

下载 CA

如果您为集群启用传输加密，则在使用 get-cluster-certificate-authority 命令时，系统会显示 CA 的证书。

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

将 CLUSTER_ID 替换为集群的 ID。

响应正文中包含所有适用 CA 的证书。

在客户端上安装 CA 证书

您必须在连接到集群的客户端上安装 CA 证书。CA 证书安装可能因客户端类型而异。

如需在 Compute Engine Linux 虚拟机上安装 CA 证书，请执行以下操作：

使用 SSH 连接到 Compute Engine Linux 客户端。
在客户端中，使用以下命令创建 server_ca.pem 文件：
```
sudo vim /tmp/server_ca.pem
```

下载 CA 并将其粘贴到 server_ca.pem 文件中。

您必须正确设置 CA 文字的格式。server_ca.pem 文件可能如下所示：

如上例所示，您的文件应遵循以下准则：

复制整个 CA，包括 -----BEGIN CERTIFICATE----- 和
-----END CERTIFICATE----- 行。
请确保 CA 的文字完全靠左对齐。验证 CA 的任何行前面是否都没有空格。
另起一行添加每个 CA。验证 CA 之间没有空行。

为传输加密配置客户端

您用于连接到集群的客户端必须支持 TLS 或使用第三方辅助信息文件来启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向集群的 IP 地址、端口 6379 和包含 CA 的文件。您可以查看如何连接到启用了传输加密的集群的示例。

管理 CA 轮替

我们建议您在访问集群的客户端上安装所有可下载的 CA 证书。

定期安装最新的 CA 证书可确保在 Memorystore for Redis Cluster 轮替 CA 时，您拥有必要的证书。在此轮换期间，现有 CA 和新 CA 均处于有效状态。

用于连接到使用传输加密的集群的代码示例

如需查看有关如何设置客户端库以连接到使用传输中加密的集群的代码示例，请参阅传输中加密客户端库代码示例。