Protege tus datos con una autoridad certificadora (CA) compartida

Puedes encriptar de forma segura todos los datos que se mueven entre tus aplicaciones cliente y Memorystore for Redis Cluster. Esto se conoce como encriptación en tránsito. Cuando se usa la encriptación en tránsito, todo el tráfico de Redis se encripta a través del protocolo de seguridad de la capa de transporte (TLS). Esto garantiza que todos los datos que se mueven entre tus aplicaciones y Memorystore for Redis Cluster permanezcan confidenciales y sin alteraciones.

Cuando se habilita la encriptación en tránsito, los clientes de Redis se comunican exclusivamente a través de una conexión segura. Los clientes de Redis que no están configurados para TLS se bloquean. Si eliges usar la encriptación en tránsito, eres responsable de garantizar que tu cliente de Redis pueda usar el protocolo TLS.

Los clústeres que usan la encriptación en tránsito tienen autoridades certificadoras (CA). Usas las CA para autenticar los certificados de las máquinas en tus clústeres.

Un modo de CA que puedes usar es una CA compartida. Una CA compartida es una infraestructura de CA administrada y regionalizada. Para cada región, puedes descargar un solo paquete de certificados de CA. Este paquete es válido para todos los clústeres ubicados en una región que configures para usar la CA compartida. El uso de una CA compartida reduce la cantidad de certificados que tus clientes deben administrar.

Crea un clúster que use una CA compartida

Console

Sigue los pasos en Crea instancias.

gcloud

Para crear un clúster que use una CA compartida, usa el gcloud redis clusters create comando.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Realiza los siguientes reemplazos:

CLUSTER_ID: Es el ID del clúster que estás creando. El ID del clúster debe tener entre 1 y 63 caracteres, y usar solo letras minúsculas, números o guiones. Debe comenzar con una letra minúscula y terminar con una letra minúscula o un número.
REGION_ID: Es la región en la que deseas que se ubique el clúster.
NETWORK: Es la red que usas para crear el clúster. Debe usar este formato: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. El ID de red que usas debe coincidir con el ID de red que usa la política de conexión de servicio. De lo contrario, no podrás crear el clúster.
REPLICA_COUNT: Es la cantidad de réplicas (por fragmento). Los valores aceptados son 0-5.
NODE_TYPE: Es el tipo de nodo. Los valores aceptados son los siguientes:
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Precaución: Te recomendamos que uses el tipo de nodo redis-shared-core-nano solo para fines de desarrollo o prueba , ya que este tipo de nodo no tiene ANS. Si ejecutas Memorystore for Redis Cluster en un entorno de producción, te recomendamos que uses los tipos de nodo redis-standard-small, redis-highmem-medium o redis-highmem-xlarge. Para obtener más información sobre estos tipos de nodos, consulta Elige un tipo de nodo.
SHARD_COUNT: Es la cantidad de fragmentos en el clúster. La cantidad de fragmentos determina la capacidad total de memoria para almacenar datos del clúster. Para obtener más información sobre las especificaciones del clúster, consulta Especificaciones del clúster y del nodo.

El parámetro server-ca-mode representa el modo de CA para el clúster. Para una CA compartida, google-managed-shared-ca es el valor del parámetro. Si no usas este parámetro, el modo de CA predeterminado es por instancia.

Por ejemplo:

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Descarga el paquete de certificados de CA

Para ver el paquete de certificados de CA y, luego, instalar los certificados de CA en tu aplicación cliente, usa el comando get-shared-regional-certificate-authority.

gcloud redis clusters get-shared-regional-certificate-authority
--region=REGION_ID

Reemplaza REGION_ID por la región en la que se encuentra el clúster.

Descarga paquetes de certificados de CA regionales para una CA compartida

Puedes usar la siguiente tabla para descargar los paquetes de certificados de CA regionales.

Nombre de la región	Ubicación	Paquete de certificados
Global	Todas las ubicaciones	global.pem
`africa-south1`	Johannesburgo	africa-south1.pem
`asia-east1`	Taiwán	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tokio	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seúl	asia-northeast3.pem
`asia-south1`	Bombay	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapur	asia-southeast1.pem
`asia-southeast2`	Yakarta	asia-southeast2.pem
`australia-southeast1`	Sídney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsovia	europe-central2.pem
`europe-north1`	Finlandia	europe-north1.pem
`europe-north2`	Estocolmo	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Bélgica	europe-west1.pem
`europe-west2`	Londres	europe-west2.pem
`europe-west3`	Fráncfort	europe-west3.pem
`europe-west4`	Países Bajos	europe-west4.pem
`europe-west6`	Zúrich	europe-west6.pem
`europe-west8`	Milán	europe-west8.pem
`europe-west9`	París	europe-west9.pem
`europe-west10`	Berlín	europe-west10.pem
`europe-west12`	Turín	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montreal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	México	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina del Sur	us-east1.pem
`us-east4`	Virginia del Norte	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregón	us-west1.pem
`us-west2`	Los Ángeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Instala el paquete de certificados de CA en el cliente

Debes instalar el paquete de certificados de CA en el cliente que se conecta al clúster. Según el tipo de cliente, la instalación del certificado de CA puede variar.

Para instalar un paquete en una VM de Linux de Compute Engine, haz lo siguiente:

Usa SSH para conectarte a un cliente de Linux de Compute Engine.
En el cliente, usa el siguiente comando para crear un archivo server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Descarga el paquete de certificados de CA y pega los certificados en el archivo server_ca.pem.

Debes dar formato al texto de las CA de forma correcta. El archivo server_ca.pem puede aparecer de la siguiente manera:

Para dar formato al texto del archivo de forma correcta, usa los siguientes lineamientos:

Copia todo el paquete de certificados de CA, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
Asegúrate de que se haya justificado a la izquierda todo el texto de los certificados. Verifica que no aparezcan espacios delante de ninguna línea de los certificados.
Agrega cada certificado de CA en una línea nueva. Verifica que no haya líneas en blanco entre los certificados.

Configura el cliente para la encriptación en tránsito

El cliente que usas para conectarte al clúster debe admitir TLS o usar un archivo adicional de terceros para habilitar TLS.

Si tu cliente admite TLS, configúralo para que apunte a la dirección IP del clúster, el puerto 6379 y el archivo que contiene el paquete de certificados de CA. Puedes ver un ejemplo de cómo conectarte a un clúster que tiene habilitada la encriptación en tránsito.

Administra la rotación de CA

Te recomendamos que instales todos los paquetes de certificados de CA descargables en los clientes que acceden al clúster.

Instalar los paquetes de certificados de CA más recientes de forma periódica garantiza que tengas los certificados de CA necesarios cuando Memorystore for Redis Cluster rote las CA. Durante esta rotación, las CA existentes y las nuevas están activas.

Ejemplo de código para conectarse a un clúster que usa la encriptación en tránsito

Para ver un muestra de código sobre cómo configurar una biblioteca cliente para conectarse a un clúster que usa la encriptación en tránsito, consulta Ejemplo de código de la biblioteca cliente de encriptación en tránsito.