Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

使用每個執行個體的憑證授權單位 (CA) 保護資料

您可以安全地加密用戶端應用程式與 Memorystore for Redis Cluster 之間的所有資料。這就是傳輸加密。使用傳輸中加密功能後，所有 Redis 流量都會透過傳輸層安全標準 (TLS) 通訊協定加密。這可確保應用程式與 Memorystore for Redis Cluster 之間的所有資料傳輸作業，都維持機密且未遭竄改。

啟用傳輸中資料加密功能後，Redis 用戶端僅會透過安全連線進行通訊。系統會封鎖未設定 TLS 的 Redis 用戶端。如果您選擇使用傳輸中加密，則必須確保 Redis 用戶端可以使用 TLS 通訊協定。

使用傳輸中加密的叢集有憑證授權單位 (CA)。您可以使用 CA 驗證叢集中機器的憑證。

您可以使用的 CA 模式之一是每個執行個體一個 CA。Memorystore for Redis Cluster 會為每個叢集提供專屬的叢集根憑證授權單位基礎架構。如要安全地存取叢集，您必須設定用戶端應用程式，信任這個 CA 層級。這包括在會存取叢集的各個用戶端下載並安裝 CA 憑證。

建立使用每個執行個體 CA 的叢集

控制台

請按照「建立執行個體」中的步驟操作。

gcloud

如要建立使用每個執行個體 CA 的叢集，請使用 gcloud redis clusters create 指令。

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

請替換下列項目：

CLUSTER_ID：您要建立的叢集 ID。叢集 ID 的長度須介於 1 至 63 個字元之間，而且只能使用小寫英文字母、數字或連字號。開頭必須是小寫英文字母，結尾則須為小寫英文字母或數字。
REGION_ID：叢集所在的區域。
NETWORK：用於建立叢集的網路。格式必須為 projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID。您使用的網路 ID 必須與服務連線政策使用的網路 ID 相符。否則無法建立叢集。
REPLICA_COUNT：副本數量 (每個分片)。可接受的值為 0 到 5。
NODE_TYPE：叢集的節點類型。

注意：建議您僅將 redis-shared-core-nano 節點類型用於開發或測試，因為這個節點類型沒有服務水準協議。如果您在正式環境中執行 Memorystore for Redis Cluster，建議使用其他節點類型。
SHARD_COUNT：叢集中的分片數量。資料分割數量決定了儲存叢集資料的記憶體總容量。如要進一步瞭解叢集規格，請參閱「叢集和節點規格」。

server-ca-mode 參數代表叢集的 CA 模式。如果是每個執行個體專屬的 CA，google-managed-per-instance-ca 是參數的值。如未使用這個參數，預設的 CA 模式為每個執行個體。

例如：

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

下載 CA

如果為叢集啟用傳輸中加密功能，使用 get-cluster-certificate-authority 指令時，系統會顯示 CA 的憑證。

gcloud redis clusters get-cluster-certificate-authority CLUSTER_ID

將 CLUSTER_ID 替換為叢集 ID。

回應主體會包含所有適用 CA 的憑證。

在用戶端安裝 CA 憑證

您必須在連線至叢集的用戶端上安裝 CA 憑證。視用戶端類型而定，安裝 CA 憑證的方式可能有所不同。

如要在 Compute Engine Linux VM 上安裝 CA 憑證，請執行下列操作：

使用 SSH 連線至 Compute Engine Linux 用戶端。
在用戶端中，使用下列指令建立 server_ca.pem 檔案：
```
sudo vim /tmp/server_ca.pem
```

下載 CA，然後貼到 server_ca.pem 檔案中。

您必須正確設定 CA 文字的格式。系統可能會顯示 server_ca.pem 檔案，如下所示：

如上一個範例所示，檔案應遵循下列規範：

複製整個 CA，包括 -----BEGIN CERTIFICATE----- 和
-----END CERTIFICATE----- 行。
請確認 CA 的文字完全靠左對齊。確認 CA 的任何一行前面都沒有空格。
逐行新增每個 CA。確認 CA 之間沒有空白行。

設定用戶端，啟用傳輸中資料加密功能

用來連線至叢集的用戶端必須支援 TLS，或使用第三方 Sidecar 啟用 TLS。

如果用戶端支援 TLS，請將其設定為指向叢集的 IP 位址、通訊埠 6379，以及包含 CA 的檔案。您可以查看如何連線至啟用傳輸中加密的叢集範例。

管理 CA 輪替

建議您在存取叢集的用戶端上，安裝所有可下載的 CA 憑證。

定期安裝最新的 CA 憑證，可確保在 Memorystore for Redis Cluster 輪替 CA 時，您擁有必要的憑證。輪替期間，現有和新的 CA 都會處於啟用狀態。

連線至使用傳輸中資料加密的叢集時，可參考的程式碼範例

如要查看如何設定用戶端程式庫以連線至使用傳輸中加密的叢集，請參閱「傳輸中加密用戶端程式庫程式碼範例」。