使用共用憑證授權單位 (CA) 保護資料

您可以安全地加密用戶端應用程式與 Memorystore for Redis Cluster 之間的所有資料。這就是傳輸加密。使用傳輸中加密功能後，所有 Redis 流量都會透過傳輸層安全標準 (TLS) 通訊協定加密。這可確保應用程式與 Memorystore for Redis Cluster 之間的所有資料傳輸作業，都維持機密且未遭竄改。

啟用傳輸中資料加密功能後，Redis 用戶端僅會透過安全連線進行通訊。系統會封鎖未設定 TLS 的 Redis 用戶端。如果您選擇使用傳輸中加密，則必須確保 Redis 用戶端可以使用 TLS 通訊協定。

使用傳輸中加密的叢集會具備憑證授權單位 (CA)。您可以使用 CA 驗證叢集中機器的憑證。

您可以使用的 CA 模式之一是共用 CA。共用 CA 是代管的區域化 CA 基礎架構。您可以為每個區域下載單一 CA 憑證套件。如果您設定叢集使用共用 CA，這個套件就適用於您設定使用共用 CA 的區域中的所有叢集。使用共用 CA 可以減少用戶端需要管理的憑證數量。

建立使用共用 CA 的叢集

控制台

請按照「建立執行個體」中的步驟操作。

gcloud

如要建立使用共用 CA 的叢集，請使用 gcloud redis clusters create 指令。

gcloud redis clusters create CLUSTER_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

請將下列項目改為對應的值：

CLUSTER_ID：您要建立的叢集 ID。叢集 ID 的長度須介於 1 至 63 個字元之間，而且只能使用小寫英文字母、數字或連字號。開頭須為小寫英文字母，結尾須為小寫英文字母或數字。
REGION_ID：叢集所在的區域。
NETWORK：用於建立叢集的網路。格式必須為 projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID。您使用的網路 ID 必須與服務連線政策使用的網路 ID 相符。否則無法建立叢集。
REPLICA_COUNT：副本數量 (每個分片)。可接受的值為 0 到 5。
NODE_TYPE：節點類型。可接受的值如下：
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
注意：我們建議您僅將 redis-shared-core-nano 節點類型用於開發或測試，因為這個節點類型沒有服務水準協議。如果您在正式環境中執行 Memorystore for Redis Cluster，建議使用 redis-standard-small、redis-highmem-medium 或 redis-highmem-xlarge 節點類型。如要進一步瞭解這些節點類型，請參閱「選擇節點類型」一文。
SHARD_COUNT：叢集中的分片數量。資料分割數量決定了儲存叢集資料的記憶體總容量。如要進一步瞭解叢集規格，請參閱「叢集和節點規格」。

server-ca-mode 參數代表叢集的 CA 模式。如果是共用 CA，google-managed-shared-ca 是參數的值。如未使用這個參數，預設的 CA 模式為每個執行個體。

例如：

gcloud redis clusters create my-cluster \
--region=us-central1 \
--network=projects/my-network-project/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

下載 CA 憑證套件

如要查看 CA 憑證組合，並將 CA 憑證安裝到用戶端應用程式，請使用 get-shared-regional-certificate-authority 指令。

gcloud redis clusters get-shared-regional-certificate-authority
--region=REGION_ID

將 REGION_ID 替換為叢集所在的區域。

下載共用 CA 的區域性 CA 憑證套件

您可以透過下表下載區域 CA 憑證套件。

區域名稱	位置	憑證套件
全球	所有位置	global.pem
`africa-south1`	約翰尼斯堡	africa-south1.pem
`asia-east1`	台灣	asia-east1.pem
`asia-east2`	香港	asia-east2.pem
`asia-northeast1`	東京	asia-northeast1.pem
`asia-northeast2`	大阪	asia-northeast2.pem
`asia-northeast3`	首爾	asia-northeast3.pem
`asia-south1`	孟買	asia-south1.pem
`asia-south2`	德里	asia-south2.pem
`asia-southeast1`	新加坡	asia-southeast1.pem
`asia-southeast2`	雅加達	asia-southeast2.pem
`australia-southeast1`	雪梨	australia-southeast1.pem
`australia-southeast2`	墨爾本	australia-southeast2.pem
`europe-central2`	華沙	europe-central2.pem
`europe-north1`	芬蘭	europe-north1.pem
`europe-north2`	斯德哥爾摩	europe-north2.pem
`europe-southwest1`	馬德里	europe-southwest1.pem
`europe-west1`	比利時	europe-west1.pem
`europe-west2`	倫敦	europe-west2.pem
`europe-west3`	法蘭克福	europe-west3.pem
`europe-west4`	荷蘭	europe-west4.pem
`europe-west6`	蘇黎世	europe-west6.pem
`europe-west8`	米蘭	europe-west8.pem
`europe-west9`	巴黎	europe-west9.pem
`europe-west10`	柏林	europe-west10.pem
`europe-west12`	杜林	europe-west12.pem
`me-central1`	杜哈	me-central1.pem
`me-central2`	達曼	me-central2.pem
`me-west1`	特拉維夫市	me-west1.pem
`northamerica-northeast1`	蒙特婁	northamerica-northeast1.pem
`northamerica-northeast2`	多倫多	northamerica-northeast2.pem
`northamerica-south1`	墨西哥	northamerica-south1.pem
`southamerica-east1`	聖保羅	southamerica-east1.pem
`southamerica-west1`	聖地亞哥	southamerica-west1.pem
`us-central1`	愛荷華州	us-central1.pem
`us-east1`	南卡羅來納州	us-east1.pem
`us-east4`	北維吉尼亞州	us-east4.pem
`us-east5`	哥倫布	us-east5.pem
`us-south1`	達拉斯	us-south1.pem
`us-west1`	奧勒岡州	us-west1.pem
`us-west2`	洛杉磯	us-west2.pem
`us-west3`	鹽湖城	us-west3.pem
`us-west4`	拉斯維加斯	us-west4.pem

在用戶端上安裝 CA 憑證套件

您必須在連線至叢集的用戶端上安裝 CA 憑證組合。視用戶端類型而定，CA 憑證的安裝方式可能有所不同。

如要在 Compute Engine Linux VM 上安裝套件組合，請執行下列操作：

使用 SSH 連線至 Compute Engine Linux 用戶端。
在用戶端中，使用下列指令建立 server_ca.pem 檔案：
```
sudo vim /tmp/server_ca.pem
```

下載 CA 憑證套件，然後將憑證貼到 server_ca.pem 檔案中。

您必須正確設定 CA 文字的格式。系統可能會顯示 server_ca.pem 檔案，如下所示：

如要正確設定檔案中的文字格式，請遵循下列規範：

複製整個 CA 憑證組合，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 行。
確認認證文字完全靠左對齊。確認憑證的任何一行前面都沒有空格。
逐行新增各個 CA 憑證。確認憑證之間沒有空白行。

設定用戶端，啟用傳輸中資料加密功能

用來連線至叢集的用戶端必須支援 TLS，或使用第三方 Sidecar 啟用 TLS。

如果用戶端支援 TLS，請設定用戶端，指向叢集的 IP 位址、6379 通訊埠，以及包含 CA 憑證套件的檔案。您可以查看如何連線至已啟用傳輸中加密的叢集範例。

管理 CA 輪替

建議您在存取叢集的用戶端上，安裝所有可下載的 CA 憑證套件。

定期安裝最新的 CA 憑證組合，可確保在 Memorystore for Redis Cluster 輪替 CA 時，您擁有必要的 CA 憑證。輪替期間，現有和新的 CA 都會處於啟用狀態。

連線至使用傳輸中資料加密的叢集時，可參考的程式碼範例

如要查看如何設定用戶端程式庫以連線至使用傳輸中加密的叢集，請參閱「傳輸中加密用戶端程式庫程式碼範例」。