Sécuriser vos données à l'aide d'une autorité de certification par instance

Vous pouvez chiffrer de manière sécurisée toutes les données qui transitent entre vos applications clientes et Memorystore pour Valkey. Il s'agit du chiffrement en transit. En utilisant le chiffrement en transit, tout le trafic Valkey est chiffré à l'aide du protocole TLS (Transport Layer Security). Cela garantit que toutes les données qui transitent entre vos applications et Memorystore pour Valkey restent confidentielles et intactes.

Lorsque le chiffrement en transit est activé, les clients Valkey communiquent exclusivement via une connexion sécurisée. Les clients Valkey qui ne sont pas configurés pour TLS sont bloqués. Si vous choisissez d'utiliser le chiffrement en transit, il vous incombe de vous assurer que votre client Valkey peut utiliser le protocole TLS.

Les instances qui utilisent le chiffrement en transit disposent d'autorités de certification (CA). Vous utilisez les CA pour authentifier les certificats des machines de vos instances.

Vous pouvez utiliser un mode CA par instance. Memorystore pour Valkey provisionne chaque instance avec sa propre infrastructure d'autorité de certification unique. Pour accéder à une instance de manière sécurisée, vous devez configurer votre application cliente pour qu'elle approuve cette hiérarchie d'AC. Cela implique de télécharger et d'installer des certificats CA sur chaque client qui accède à l'instance.

Créer une instance qui utilise une autorité de certification par instance

Console

Suivez la procédure Créer des instances.

gcloud

Pour créer une instance qui utilise une autorité de certification par instance, exécutez la commande gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Effectuez les remplacements suivants :

INSTANCE_ID : ID de l'instance que vous créez. L'ID d'instance doit comporter entre 1 et 63 caractères, et ne contenir que des lettres minuscules, des chiffres ou des traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID : région dans laquelle vous souhaitez placer l'instance.
PROJECT_ID : ID du projet dans lequel vous souhaitez créer l'instance.
NETWORK_ID : ID du réseau que vous souhaitez utiliser pour créer l'instance.
REPLICA_COUNT : nombre de réplicas (par segment). Les valeurs acceptées sont 0-5.
NODE_TYPE : type de nœud. Les valeurs acceptées sont les suivantes :
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Attention : Nous vous recommandons d'utiliser le type de nœud shared-core-nano uniquement à des fins de développement ou de test, car ce type de nœud n'est pas soumis à un SLA. Si vous exécutez Memorystore pour Valkey dans un environnement de production, nous vous recommandons d'utiliser les types de nœuds standard-small, highmem-medium ou highmem-xlarge. Pour en savoir plus sur ces types de nœuds, consultez Choisir un type de nœud.
SHARD_COUNT : nombre de partitions dans l'instance. Le nombre de shards détermine la capacité de mémoire totale pour stocker les données d'instance. Pour en savoir plus sur les spécifications des instances, consultez Spécifications des instances et des nœuds.
ENGINE_VERSION : version de l'instance. Les valeurs acceptées pour ce paramètre sont VALKEY_7_2, VALKEY_8_0 et VALKEY_9_0. Si vous ne spécifiez pas de valeur, la valeur par défaut est VALKEY_9_0.

Important : Si vous spécifiez VALKEY_9_0 comme version de l'instance, vous ne pourrez pas revenir à une version antérieure.
MODE : détermine si le mode cluster est activé ou désactivé pour l'instance. Si ce champ est omis, l'instance est définie par défaut sur "Mode cluster activé". Pour en savoir plus, consultez Activer et désactiver le mode cluster.

Le paramètre server-ca-mode représente le mode CA pour l'instance. Pour une CA par instance, google-managed-per-instance-ca correspond à la valeur du paramètre. Si vous n'utilisez pas ce paramètre, le mode CA par défaut est "par instance".

Exemple :

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Télécharger les autorités de certification

Si vous activez le chiffrement en transit pour une instance, les certificats des autorités de certification s'affichent lorsque vous utilisez la commande get-certificate-authority.

gcloud memorystore instances get-certificate-authority INSTANCE_ID

Remplacez INSTANCE_ID par l'ID de l'instance.

Le corps de la réponse inclut les certificats de toutes les autorités de certification applicables.

Installer des certificats CA sur le client

Vous devez installer les certificats CA sur le client qui se connecte à l'instance. L'installation du certificat de l'autorité de certification peut varier en fonction du type de client.

Pour installer un certificat d'autorité de certification sur une VM Linux Compute Engine, procédez comme suit :

Connectez-vous en SSH à un client Linux Compute Engine.
Dans le client, utilisez la commande suivante pour créer un fichier server_ca.pem :
```
sudo vim /tmp/server_ca.pem
```

Téléchargez les autorités de certification et collez-les dans le fichier server_ca.pem.

Vous devez mettre en forme correctement le texte des autorités de certification. Le fichier server_ca.pem peut se présenter comme suit :

Pour mettre en forme correctement le texte du fichier, suivez les consignes suivantes :

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et
-----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est complètement justifié à gauche. Vérifiez qu'aucun espace n'apparaît devant une ligne des autorités de certification.
Ajoutez chaque autorité de certification sur une nouvelle ligne. Vérifiez qu'il n'y a pas de lignes vides entre les CA.

Configurer le client pour le chiffrement en transit

Le client avec lequel vous vous connectez à l'instance doit être compatible avec le protocole TLS ou utiliser un side-car tiers pour activer la compatibilité TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6379 et le fichier contenant l'autorité de certification de l'instance. Vous trouverez des exemples de connexion à une instance Memorystore pour Valkey en mode cluster activé ou en mode cluster désactivé pour laquelle le chiffrement en transit est activé.

Gérer la rotation des autorités de certification

Nous vous recommandons d'installer tous les certificats CA téléchargeables sur les clients qui accèdent à l'instance.

L'installation périodique des derniers certificats CA vous permet de disposer des certificats nécessaires lorsque Memorystore for Valkey fait tourner les CA. Pendant cette rotation, les autorités de certification existantes et les nouvelles sont actives.

Exemple de code pour se connecter à une instance qui utilise le chiffrement en transit

Pour afficher un exemple de code expliquant comment configurer une bibliothèque cliente pour se connecter à une instance qui utilise le chiffrement en transit, consultez Exemple de code pour l'authentification IAM et le chiffrement en transit.