Daten mit einer instanzspezifischen Zertifizierungsstelle schützen

Sie können alle Daten, die zwischen Ihren Clientanwendungen und Memorystore for Valkey übertragen werden, sicher verschlüsseln. Dies wird als Verschlüsselung während der Übertragung bezeichnet. Bei der Verschlüsselung während der Übertragung wird der gesamte Valkey-Traffic über das TLS-Protokoll (Transport Layer Security) verschlüsselt. So bleiben alle Daten, die zwischen Ihren Anwendungen und Memorystore for Valkey übertragen werden, vertraulich und unverändert.

Wenn die Verschlüsselung während der Übertragung aktiviert ist, kommunizieren Valkey-Clients ausschließlich über eine sichere Verbindung. Valkey-Clients, die nicht für TLS konfiguriert sind, werden blockiert. Wenn Sie die Verschlüsselung während der Übertragung verwenden möchten, müssen Sie dafür sorgen, dass Ihr Valkey-Client das TLS-Protokoll verwenden kann.

Instanzen, die die Verschlüsselung während der Übertragung verwenden, haben Zertifizierungsstellen. Mit den Zertifizierungsstellen authentifizieren Sie die Zertifikate der Maschinen in Ihren Instanzen.

Ein Zertifizierungsstellenmodus, den Sie verwenden können, ist eine Zertifizierungsstelle pro Instanz. Memorystore for Valkey stellt für jede Instanz eine eigene, eindeutige Zertifizierungsstelleninfrastruktur bereit. Um sicher auf eine Instanz zuzugreifen, müssen Sie Ihre Clientanwendung so konfigurieren, dass sie dieser Zertifizierungsstellenhierarchie vertraut. Dazu müssen Sie Zertifizierungsstellenzertifikate auf jedem Client herunterladen und installieren, der auf die Instanz zugreift.

Instanz mit einer Zertifizierungsstelle pro Instanz erstellen

Console

Folgen Sie der Anleitung unter Instanzen erstellen.

gcloud

Verwenden Sie den gcloud memorystore instances create-Befehl, um eine Instanz mit einer Zertifizierungsstelle pro Instanz zu erstellen.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Ersetzen Sie die folgenden Werte:

INSTANCE_ID: die ID der Instanz, die Sie erstellen. Die Instanz-ID muss zwischen 1 und 63 Zeichen lang sein und darf nur Kleinbuchstaben, Ziffern oder Bindestriche enthalten. Sie muss mit einem Kleinbuchstaben beginnen und mit einem Kleinbuchstaben oder einer Ziffer enden.
REGION_ID: die Region, in der sich die Instanz befinden soll.
PROJECT_ID: die ID des Projekts, in dem Sie die Instanz erstellen möchten.
NETWORK_ID: die ID des Netzwerks, das Sie zum Erstellen der Instanz verwenden möchten.
REPLICA_COUNT: die Anzahl der Replikate (pro Shard). Zulässige Werte sind 0–5.
NODE_TYPE: der Knotentyp. Zulässige Werte:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Achtung: Wir empfehlen, den Knotentyp shared-core-nano nur für Entwicklungs- oder Testzwecke zu verwenden, da für diesen Knotentyp keine SLA gilt. Wenn Sie Memorystore for Valkey in einer Produktionsumgebung ausführen, empfehlen wir die Knotentypen standard-small, highmem-medium oder highmem-xlarge. Weitere Informationen zu diesen Knotentypen finden Sie unter Knotentyp auswählen.
SHARD_COUNT: die Anzahl der Shards in der Instanz. Die Anzahl der Shards bestimmt die Gesamtarbeitsspeicherkapazität zum Speichern von Instanzdaten. Weitere Informationen zu den Instanzspezifikationen finden Sie unter Instanz- und Knotenspezifikation.
ENGINE_VERSION: die Version der Instanz. Zulässige Werte für diesen Parameter sind VALKEY_7_2, VALKEY_8_0 und VALKEY_9_0. Wenn Sie keinen Wert angeben, wird standardmäßig VALKEY_9_0 verwendet.

**Wichtig**: Wenn Sie VALKEY_9_0 als Version der Instanz angeben, können Sie die Instanz nicht auf eine frühere Version downgraden.
MODE: bestimmt, ob der Clustermodus aktiviert oder deaktiviert ist. Wenn dieses Feld nicht angegeben ist, wird standardmäßig der Clustermodus aktiviert. Weitere Informationen finden Sie unter Clustermodus aktivieren und deaktivieren.

Der Parameter server-ca-mode stellt den Zertifizierungsstellenmodus für die Instanz dar. Bei einer Zertifizierungsstelle pro Instanz ist google-managed-per-instance-ca der Wert für den Parameter. Wenn Sie diesen Parameter nicht verwenden, ist der Standardmodus für die Zertifizierungsstelle „pro Instanz“.

Beispiel:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Zertifizierungsstellen herunterladen

Wenn Sie die Verschlüsselung während der Übertragung für eine Instanz aktivieren, werden bei Verwendung des get-certificate-authority Befehls die Zertifikate der Zertifizierungsstellen angezeigt.

gcloud memorystore instances get-certificate-authority INSTANCE_ID

Ersetzen Sie INSTANCE_ID durch die ID der Instanz.

Der Antworttext enthält Zertifikate für alle anwendbaren Zertifizierungsstellen.

Zertifizierungsstellenzertifikate auf dem Client installieren

Sie müssen die Zertifizierungsstellenzertifikate auf dem Client installieren, der eine Verbindung zur Instanz herstellt. Je nach Clienttyp kann die Installation des Zertifizierungsstellenzertifikats variieren.

So installieren Sie ein Zertifizierungsstellenzertifikat auf einer Compute Engine-Linux-VM:

Stellen Sie eine SSH-Verbindung zu einem Compute Engine-Linux-Client her.
Erstellen Sie im Client mit dem folgenden Befehl eine Datei server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Laden Sie die Zertifizierungsstellen herunter und fügen Sie sie in die server_ca.pem Datei ein.

Sie müssen den Text der Zertifizierungsstellen korrekt formatieren. Die Datei server_ca.pem kann so aussehen:

Folgen Sie diesen Richtlinien, um den Text in der Datei korrekt zu formatieren:

Kopieren Sie die gesamte Zertifizierungsstelle, einschließlich der Zeilen -----BEGIN CERTIFICATE----- und
-----END CERTIFICATE-----.
Der Text der Zertifizierungsstellen muss vollständig linksbündig sein. Vor keiner Zeile der Zertifizierungsstellen dürfen Leerzeichen stehen.
Fügen Sie jede Zertifizierungsstelle in einer neuen Zeile hinzu. Zwischen den Zertifizierungsstellen dürfen keine Leerzeilen sein.

Client für die Verschlüsselung während der Übertragung konfigurieren

Der Client, mit dem Sie eine Verbindung zur Instanz herstellen, muss entweder TLS unterstützen oder eine Sidecar-Datei von einem Drittanbieter verwenden, um TLS zu aktivieren.

Wenn Ihr Client TLS unterstützt, konfigurieren Sie ihn so, dass er auf die IP-Adresse der Instanz, Port 6379 und die Datei mit der Zertifizierungsstelle verweist. Beispiele für das Herstellen einer Verbindung zu einer Instanz mit aktiviertem oder deaktiviertem Clustermodus in Memorystore for Valkey, für die die Verschlüsselung während der Übertragung aktiviert ist, finden Sie unter Verbindung zu einer Instanz mit aktiviertem Clustermodus herstellen und Verbindung zu einer Instanz mit deaktiviertem Clustermodus herstellen.

Zertifizierungsstellenrotation verwalten

Wir empfehlen, alle herunterladbaren Zertifizierungsstellenzertifikate auf den Clients zu installieren, die auf die Instanz zugreifen.

Wenn Sie die neuesten Zertifizierungsstellenzertifikate regelmäßig installieren, haben Sie die erforderlichen Zertifikate, wenn Memorystore for Valkey die Zertifizierungsstellen rotiert. Während dieser Rotation sind sowohl die vorhandenen als auch die neuen Zertifizierungsstellen aktiv.

Codebeispiel für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet

Ein Codebeispiel zum Einrichten einer Clientbibliothek für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet, finden Sie unter Codebeispiel für die IAM-Authentifizierung und die Verschlüsselung während der Übertragung.