공유 인증 기관 (CA)을 사용하여 데이터 보호

클라이언트 애플리케이션과 Memorystore for Redis 클러스터 간에 이동하는 모든 데이터를 안전하게 암호화할 수 있습니다. 이를 전송 중인 데이터 암호화라고 합니다. 전송 중인 데이터 암호화를 사용하면 전송 계층 보안 (TLS) 프로토콜을 통해 모든 Redis 트래픽이 암호화됩니다. 이렇게 하면 애플리케이션과 Memorystore for Redis 클러스터 간에 이동하는 모든 데이터가 기밀로 유지되고 조작되지 않습니다.

전송 중인 데이터 암호화가 사용 설정되면 Redis 클라이언트는 보안 연결을 통해 독점적으로 통신합니다. TLS에 구성되지 않은 Redis 클라이언트는 차단됩니다. 전송 중인 데이터 암호화를 사용하기로 선택한 경우 Redis 클라이언트에서 TLS 프로토콜을 사용할 수 있는지 확인해야 합니다.

전송 중인 데이터 암호화를 사용하는 클러스터에는 인증 기관 (CA)이 있습니다. CA를 사용하여 클러스터의 머신 인증서를 인증합니다.

사용할 수 있는 CA 모드 중 하나는 공유 CA입니다. 공유 CA는 관리되는 지역화된 CA 인프라입니다. 각 리전에서 단일 CA 인증서 번들을 다운로드할 수 있습니다. 이 번들은 공유 CA를 사용하도록 구성한 리전에 있는 모든 클러스터에 유효합니다. 공유 CA를 사용하면 클라이언트가 관리해야 하는 인증서 수가 줄어듭니다.

공유 CA를 사용하는 클러스터 만들기

콘솔

인스턴스 만들기의 단계를 따릅니다.

gcloud

공유 CA를 사용하는 클러스터를 만들려면 gcloud redis clusters create 명령어를 사용합니다.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

다음을 바꿉니다.

CLUSTER_ID: 만들려는 클러스터의 ID입니다. 클러스터 ID는 1~63자(영문 기준)여야 하며 소문자, 숫자 또는 하이픈만 사용해야 합니다. 소문자로 시작하고 소문자나 숫자로 끝나야 합니다.
REGION_ID: 클러스터가 위치할 리전입니다.
NETWORK: 클러스터를 만드는 데 사용하는 네트워크입니다. projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID 형식을 사용해야 합니다. 사용하는 네트워크 ID는 서비스 연결 정책에서 사용하는 네트워크 ID와 일치해야 합니다. 그렇지 않으면 클러스터를 만들 수 없습니다.
REPLICA_COUNT: 복제본 수 (샤드당)입니다. 허용되는 값은 0~5입니다.
NODE_TYPE: 노드 유형입니다. 허용되는 값은 다음과 같습니다.
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
주의: 이 노드 유형에는 SLA가 없으므로 개발 또는 테스트 목적으로만 redis-shared-core-nano 노드 유형을 사용하는 것이 좋습니다. 프로덕션 환경에서 Memorystore for Redis Cluster를 실행하는 경우 redis-standard-small, redis-highmem-medium 또는 redis-highmem-xlarge 노드 유형을 사용하는 것이 좋습니다. 이러한 노드 유형에 대한 자세한 내용은 노드 유형 선택을 참고하세요.
SHARD_COUNT: 클러스터의 샤드 수입니다. 샤드 개수는 클러스터 데이터를 저장하기 위한 총 메모리 용량을 결정합니다. 클러스터 사양에 대한 자세한 내용은 클러스터 및 노드 사양을 참고하세요.

server-ca-mode 매개변수는 클러스터의 CA 모드를 나타냅니다. 공유 CA의 경우 google-managed-shared-ca이 매개변수 값입니다. 이 파라미터를 사용하지 않으면 기본 CA 모드는 인스턴스별입니다.

예를 들면 다음과 같습니다.

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

CA 인증서 번들 다운로드

CA 인증서 번들을 보고 클라이언트 애플리케이션에 CA 인증서를 설치하려면 get-shared-regional-certificate-authority 명령어를 사용하세요.

gcloud redis clusters get-shared-regional-certificate-authority
--region=REGION_ID

REGION_ID을 클러스터가 있는 리전으로 바꿉니다.

공유 CA의 리전 CA 인증서 번들 다운로드

다음 표를 사용하여 리전 CA 인증서 번들을 다운로드할 수 있습니다.

리전 이름	위치	인증서 번들
전역	모든 위치	global.pem
`africa-south1`	요하네스버그	africa-south1.pem
`asia-east1`	타이완	asia-east1.pem
`asia-east2`	홍콩	asia-east2.pem
`asia-northeast1`	도쿄	asia-northeast1.pem
`asia-northeast2`	오사카	asia-northeast2.pem
`asia-northeast3`	서울	asia-northeast3.pem
`asia-south1`	뭄바이	asia-south1.pem
`asia-south2`	델리	asia-south2.pem
`asia-southeast1`	싱가포르	asia-southeast1.pem
`asia-southeast2`	자카르타	asia-southeast2.pem
`australia-southeast1`	시드니	australia-southeast1.pem
`australia-southeast2`	멜버른	australia-southeast2.pem
`europe-central2`	바르샤바	europe-central2.pem
`europe-north1`	핀란드	europe-north1.pem
`europe-north2`	스톡홀름	europe-north2.pem
`europe-southwest1`	마드리드	europe-southwest1.pem
`europe-west1`	벨기에	europe-west1.pem
`europe-west2`	런던	europe-west2.pem
`europe-west3`	프랑크푸르트	europe-west3.pem
`europe-west4`	네덜란드	europe-west4.pem
`europe-west6`	취리히	europe-west6.pem
`europe-west8`	밀라노	europe-west8.pem
`europe-west9`	파리	europe-west9.pem
`europe-west10`	베를린	europe-west10.pem
`europe-west12`	토리노	europe-west12.pem
`me-central1`	도하	me-central1.pem
`me-central2`	담맘	me-central2.pem
`me-west1`	텔아비브	me-west1.pem
`northamerica-northeast1`	몬트리올	northamerica-northeast1.pem
`northamerica-northeast2`	토론토	northamerica-northeast2.pem
`northamerica-south1`	멕시코	northamerica-south1.pem
`southamerica-east1`	상파울루	southamerica-east1.pem
`southamerica-west1`	산티아고	southamerica-west1.pem
`us-central1`	아이오와	us-central1.pem
`us-east1`	사우스캐롤라이나	us-east1.pem
`us-east4`	북버지니아	us-east4.pem
`us-east5`	콜럼버스	us-east5.pem
`us-south1`	댈러스	us-south1.pem
`us-west1`	오리건	us-west1.pem
`us-west2`	로스앤젤레스	us-west2.pem
`us-west3`	솔트레이크시티	us-west3.pem
`us-west4`	라스베이거스	us-west4.pem

클라이언트에 CA 인증서 번들 설치

클러스터에 연결하는 클라이언트에 CA 인증서 번들을 설치해야 합니다. 클라이언트 유형에 따라 CA 인증서 설치가 다를 수 있습니다.

Compute Engine Linux VM에 번들을 설치하려면 다음을 실행하세요.

SSH를 사용하여 Compute Engine Linux 클라이언트에 연결합니다.
클라이언트에서 다음 명령어를 사용하여 server_ca.pem 파일을 만듭니다.
```
sudo vim /tmp/server_ca.pem
```

CA 인증서 번들을 다운로드하고 인증서를 server_ca.pem 파일에 붙여넣습니다.

CA 텍스트의 형식을 올바르게 지정해야 합니다. server_ca.pem 파일은 다음과 같이 표시될 수 있습니다.

파일의 텍스트 서식을 올바르게 지정하려면 다음 가이드라인을 따르세요.

-----BEGIN CERTIFICATE----- 줄 및 -----END CERTIFICATE----- 줄을 포함한 전체 CA 인증서 번들을 복사합니다.
인증서의 텍스트가 왼쪽 맞춤인지 확인합니다. 인증서 줄 앞에 공백이 표시되지 않는지 확인합니다.
각 CA 인증서를 새 줄에 추가합니다. 인증서 사이에 빈 줄이 없는지 확인합니다.

전송 중인 데이터 암호화에 필요한 클라이언트 구성

클러스터에 연결하는 데 사용하는 클라이언트는 TLS를 지원하거나 서드 파티 사이드카를 사용하여 TLS를 사용 설정해야 합니다.

클라이언트가 TLS를 지원하는 경우 클러스터의 IP 주소, 포트 6379, CA 인증서 번들이 포함된 파일을 가리키도록 구성합니다. 전송 중인 데이터 암호화가 사용 설정된 클러스터에 연결하는 방법의 예를 확인할 수 있습니다.

CA 순환 관리

클러스터에 액세스하는 클라이언트에 다운로드 가능한 모든 CA 인증서 번들을 설치하는 것이 좋습니다.

최신 CA 인증서 번들을 주기적으로 설치하면 Memorystore for Redis Cluster에서 CA를 순환할 때 필요한 CA 인증서가 있는지 확인할 수 있습니다. 이 순환 중에 기존 CA와 새 CA가 모두 활성 상태입니다.

전송 중인 데이터 암호화를 사용하는 클러스터에 연결하는 코드 샘플

전송 중인 데이터 암호화를 사용하는 클러스터에 연결하도록 클라이언트 라이브러리를 설정하는 방법에 관한 코드 샘플을 보려면 전송 중인 데이터 암호화 클라이언트 라이브러리 코드 샘플을 참고하세요.