使用共享证书授权机构 (CA) 保护数据

您可以安全地加密客户端应用与 Memorystore for Redis Cluster 之间传输的所有数据。这是传输加密。通过使用传输中加密，所有 Redis 数据流量都将通过传输层安全协议 (TLS) 协议进行加密。这可确保在应用与 Memorystore for Redis Cluster 之间传输的所有数据保持机密且未被篡改。

启用传输加密后，Redis 客户端仅通过安全连接进行通信。未配置 TLS 的 Redis 客户端会被屏蔽。如果您选择使用传输加密，则要负责确保您的 Redis 客户端能够使用 TLS 协议。

使用传输加密的集群具有证书授权机构 (CA)。您可以使用 CA 对集群中机器的证书进行身份验证。

您可以使用的 CA 模式之一是共享 CA。共享 CA 是一种受管理的区域化 CA 基础设施。对于每个区域，您都可以下载一个 CA 证书包。此软件包适用于您配置为使用共享 CA 的区域中的所有集群。采用共享 CA 可减少客户端需要管理的证书数量。

创建使用共享 CA 的集群

控制台

按照创建实例中的步骤操作。

gcloud

如需创建使用共享 CA 的集群，请使用 gcloud redis clusters create 命令。

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

进行以下替换：

CLUSTER_ID：您要创建的集群的 ID。集群 ID 必须包含 1 到 63 个字符，并且只能使用小写字母、数字或连字符。必须以小写字母开头，并以小写字母或数字结尾。
REGION_ID：您希望集群所在的区域。
NETWORK：用于创建集群的网络。必须采用以下格式：projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID。您使用的网络 ID 必须与服务连接政策使用的网络 ID 相符。否则，您将无法创建集群。
REPLICA_COUNT：副本数（每个分片）。可接受的值为 0-5。
NODE_TYPE：节点类型。接受的值包括：
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
注意：我们建议您仅将 redis-shared-core-nano 节点类型用于开发或测试目的，因为此节点类型没有 SLA。如果您在生产环境中运行 Memorystore for Redis Cluster，建议使用 redis-standard-small、redis-highmem-medium 或 redis-highmem-xlarge 节点类型。如需详细了解这些节点类型，请参阅选择节点类型。
SHARD_COUNT：集群中的分片数。分片数决定了用于存储集群数据的总内存容量。如需详细了解集群规范，请参阅集群和节点规范。

server-ca-mode 参数表示集群的 CA 模式。对于共享 CA，此形参的值为 google-managed-shared-ca。如果您不使用此参数，则默认 CA 模式为按实例。

例如：

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

下载 CA 证书包

如需查看 CA 证书软件包并将 CA 证书安装到客户端应用中，请使用 get-shared-regional-certificate-authority 命令。

gcloud redis clusters get-shared-regional-certificate-authority
--region=REGION_ID

将 REGION_ID 替换为集群所在的区域。

下载共享 CA 的区域 CA 证书集合

您可以使用下表下载区域 CA 证书集合。

区域名称	位置	证书集合
全球	所有位置	global.pem
`africa-south1`	约翰内斯堡	africa-south1.pem
`asia-east1`	台湾	asia-east1.pem
`asia-east2`	香港	asia-east2.pem
`asia-northeast1`	东京	asia-northeast1.pem
`asia-northeast2`	大阪	asia-northeast2.pem
`asia-northeast3`	首尔	asia-northeast3.pem
`asia-south1`	孟买	asia-south1.pem
`asia-south2`	德里	asia-south2.pem
`asia-southeast1`	新加坡	asia-southeast1.pem
`asia-southeast2`	雅加达	asia-southeast2.pem
`australia-southeast1`	悉尼	australia-southeast1.pem
`australia-southeast2`	墨尔本	australia-southeast2.pem
`europe-central2`	华沙	europe-central2.pem
`europe-north1`	芬兰	europe-north1.pem
`europe-north2`	斯德哥尔摩	europe-north2.pem
`europe-southwest1`	马德里	europe-southwest1.pem
`europe-west1`	比利时	europe-west1.pem
`europe-west2`	伦敦	europe-west2.pem
`europe-west3`	法兰克福	europe-west3.pem
`europe-west4`	荷兰	europe-west4.pem
`europe-west6`	苏黎世	europe-west6.pem
`europe-west8`	米兰	europe-west8.pem
`europe-west9`	巴黎	europe-west9.pem
`europe-west10`	柏林	europe-west10.pem
`europe-west12`	都灵	europe-west12.pem
`me-central1`	多哈	me-central1.pem
`me-central2`	达曼	me-central2.pem
`me-west1`	特拉维夫	me-west1.pem
`northamerica-northeast1`	蒙特利尔	northamerica-northeast1.pem
`northamerica-northeast2`	多伦多	northamerica-northeast2.pem
`northamerica-south1`	墨西哥	northamerica-south1.pem
`southamerica-east1`	圣保罗	southamerica-east1.pem
`southamerica-west1`	圣地亚哥	southamerica-west1.pem
`us-central1`	爱荷华	us-central1.pem
`us-east1`	南卡罗来纳	us-east1.pem
`us-east4`	北弗吉尼亚	us-east4.pem
`us-east5`	哥伦布	us-east5.pem
`us-south1`	达拉斯	us-south1.pem
`us-west1`	俄勒冈	us-west1.pem
`us-west2`	洛杉矶	us-west2.pem
`us-west3`	盐湖城	us-west3.pem
`us-west4`	拉斯维加斯	us-west4.pem

在客户端上安装 CA 证书软件包

您必须在连接到集群的客户端上安装 CA 证书包。CA 证书安装可能因客户端类型而异。

如需在 Compute Engine Linux 虚拟机上安装软件包，请执行以下操作：

使用 SSH 连接到 Compute Engine Linux 客户端。
在客户端中，使用以下命令创建 server_ca.pem 文件：
```
sudo vim /tmp/server_ca.pem
```

下载 CA 证书软件包，并将证书粘贴到 server_ca.pem 文件中。

您必须正确设置 CA 文字的格式。server_ca.pem 文件可能如下所示：

如需正确设置文件中的文字格式，请遵循以下准则：

复制整个 CA 证书软件包，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 在内。
请确保证书的文字完全靠左对齐。验证证书的任何行前面是否都没有空格。
另起一行添加每个 CA 证书。验证证书之间不存在任何空白行。

为传输加密配置客户端

您用于连接到集群的客户端必须支持 TLS 或使用第三方辅助信息文件来启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向集群的 IP 地址、端口 6379 和包含 CA 证书软件包的文件。您可以查看如何连接到启用了传输加密的集群的示例。

管理 CA 轮替

我们建议您在访问集群的客户端上安装所有可下载的 CA 证书软件包。

定期安装最新的 CA 证书软件包可确保在 Memorystore for Redis Cluster 轮替 CA 时，您拥有必要的 CA 证书。在此轮换期间，现有 CA 和新 CA 均处于有效状态。

用于连接到使用传输加密的集群的代码示例

如需查看有关如何设置客户端库以连接到使用传输中加密的集群的代码示例，请参阅传输中加密客户端库代码示例。