Proteja seus dados usando uma autoridade certificadora (CA) compartilhada

É possível criptografar todos os dados que se movem entre os aplicativos cliente e o Memorystore para Redis Cluster com segurança. Essa é a criptografia em trânsito. Ao usar a criptografia em trânsito, todo o tráfego do Redis é criptografado pelo protocolo Transport Layer Security (TLS). Isso garante que todos os dados que se movem entre seus aplicativos e o Memorystore para Redis Cluster permaneçam confidenciais e sem adulteração.

Quando a criptografia em trânsito é ativada, os clientes do Redis se comunicam exclusivamente por uma conexão segura. Os clientes do Redis que não estiverem configurados para TLS serão bloqueados. Se você optar por usar a criptografia em trânsito, será responsável por garantir que o cliente do Redis possa usar o protocolo TLS.

Os clusters que usam criptografia em trânsito têm autoridades de certificação (CAs). Você usa as CAs para autenticar os certificados das máquinas nos clusters.

Um modo de AC que você pode usar é uma AC compartilhada. Uma AC compartilhada é uma infraestrutura de AC gerenciada e regionalizada. Para cada região, é possível baixar um único pacote de certificados de AC. Esse pacote é válido para todos os clusters localizados em uma região que você configura para usar a CA compartilhada. O uso de uma AC compartilhada reduz o número de certificados que seus clientes precisam gerenciar.

Criar um cluster que use uma CA compartilhada

Console

Siga as etapas em Criar instâncias.

gcloud

Para criar um cluster que usa uma CA compartilhada, use o comando gcloud redis clusters create.

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Faça as seguintes substituições:

CLUSTER_ID: o ID do cluster que você está criando. O ID do cluster precisa ter de 1 a 63 caracteres e usar apenas letras minúsculas, números ou hifens. Ele precisa começar com uma letra minúscula e terminar com uma letra minúscula ou um número.
REGION_ID: a região em que você quer que o cluster esteja localizado.
NETWORK: a rede que você usa para criar o cluster. Ele precisa usar este formato: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. O ID da rede que você usa precisa corresponder ao ID usado pela política de conexão de serviço. Caso contrário, não será possível criar o cluster.
REPLICA_COUNT: o número de réplicas (por fragmento). Os valores aceitos são 0-5.
NODE_TYPE: o tipo de nó. Os valores aceitos são:
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Atenção: recomendamos usar o tipo de nó redis-shared-core-nano apenas para fins de desenvolvimento ou teste, já que ele não tem um SLA. Se você executar o Memorystore for Redis Cluster em um ambiente de produção, recomendamos usar os tipos de nós redis-standard-small, redis-highmem-medium ou redis-highmem-xlarge. Para mais informações sobre esses tipos de nó, consulte Escolher um tipo de nó.
SHARD_COUNT: o número de fragmentos no cluster. A contagem de fragmentos determina a capacidade total de memória para armazenar dados do cluster. Para mais informações sobre as especificações do cluster, consulte Especificação de cluster e nó.

O parâmetro server-ca-mode representa o modo de CA do cluster. Para uma CA compartilhada, google-managed-shared-ca é o valor do parâmetro. Se você não usar esse parâmetro, o modo de AC padrão será por instância.

Exemplo:

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Baixar o pacote de certificados de CA

Para conferir o pacote de certificados de CA e instalar os certificados de CA no aplicativo cliente, use o comando get-shared-regional-certificate-authority.

gcloud redis clusters get-shared-regional-certificate-authority
--region=REGION_ID

Substitua REGION_ID pela região em que o cluster está localizado.

Fazer o download de pacotes de certificados de CA regionais para uma CA compartilhada

Use a tabela a seguir para fazer o download dos pacotes de certificados de CA regionais.

Nome da região	Local	Pacote de certificados
Global	Todos os locais	global.pem
`africa-south1`	Johannesburgo	africa-south1.pem
`asia-east1`	Taiwan	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tóquio	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Délhi	asia-south2.pem
`asia-southeast1`	Singapura	asia-southeast1.pem
`asia-southeast2`	Jacarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsóvia	europe-central2.pem
`europe-north1`	Finlândia	europe-north1.pem
`europe-north2`	Estocolmo	europe-north2.pem
`europe-southwest1`	Madri	europe-southwest1.pem
`europe-west1`	Bélgica	europe-west1.pem
`europe-west2`	Londres	europe-west2.pem
`europe-west3`	Frankfurt	europe-west3.pem
`europe-west4`	Países Baixos	europe-west4.pem
`europe-west6`	Zurique	europe-west6.pem
`europe-west8`	Milão	europe-west8.pem
`europe-west9`	Paris	europe-west9.pem
`europe-west10`	Berlim	europe-west10.pem
`europe-west12`	Turim	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Damã	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montreal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	México	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina do Sul	us-east1.pem
`us-east4`	Norte da Virgínia	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Instale o pacote de certificados de CA no cliente.

É necessário instalar o pacote de certificados de CA no cliente que se conecta ao cluster. Dependendo do tipo de cliente, a instalação do certificado de CA pode variar.

Para instalar um pacote em uma VM Linux do Compute Engine, faça o seguinte:

Use SSH para se conectar a um cliente Linux do Compute Engine.
No cliente, use o comando a seguir para criar um arquivo server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Faça o download do pacote de certificados de CA e cole os certificados no arquivo server_ca.pem.

É necessário formatar o texto das CAs corretamente. O arquivo server_ca.pem pode aparecer da seguinte forma:

Para formatar o texto no arquivo corretamente, use as seguintes diretrizes:

Copie todo o pacote de certificados de CA, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Verifique se o texto dos certificados está totalmente justificado à esquerda. Verifique se não há espaços na frente de nenhuma linha dos certificados.
Adicione cada certificado de CA em uma nova linha. Verifique se não há linhas em branco entre os certificados.

Configurar o cliente para criptografia em trânsito

O cliente usado para se conectar ao cluster precisa ser compatível com TLS ou usar um arquivo secundário de terceiros para ativar o TLS.

Se o cliente for compatível com TLS, configure-o para apontar para o endereço IP do cluster, a porta 6379 e o arquivo que contém o pacote de certificados de CA. Confira um exemplo de como se conectar a um cluster com a criptografia em trânsito ativada.

Gerenciar a rotação de CA

Recomendamos que você instale todos os pacotes de certificados de CA para download nos clientes que acessam o cluster.

A instalação periódica dos pacotes de certificados de CA mais recentes garante que você tenha os certificados de CA necessários quando o Memorystore for Redis Cluster rotacionar as CAs. Durante essa rotação, as CAs atuais e as novas ficam ativas.

Exemplo de código para se conectar a um cluster que usa criptografia em trânsito

Para ver um exemplo de código sobre como configurar uma biblioteca de cliente para se conectar a um cluster que usa criptografia em trânsito, consulte Exemplo de código da biblioteca de cliente de criptografia em trânsito.