‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

אבטחת הנתונים באמצעות רשות אישורים (CA) לכל מופע

אתם יכולים להצפין בצורה מאובטחת את כל הנתונים שמועברים בין אפליקציות הלקוח שלכם לבין Memorystore for Valkey. זוהי הצפנה בזמן ההעברה. באמצעות הצפנה בזמן ההעברה, כל התעבורה ב-Valkey מוצפנת באמצעות פרוטוקול Transport Layer Security ‏ (TLS). כך מובטח שכל הנתונים שעוברים בין האפליקציות שלכם לבין Memorystore for Valkey יישארו סודיים ולא ישונו.

כשההצפנה במעבר מופעלת, לקוחות Valkey מתקשרים באופן בלעדי באמצעות חיבור מאובטח. לקוחות Valkey שלא הוגדרו ל-TLS נחסמים. אם בוחרים להשתמש בהצפנה במעבר, האחריות לוודא שלקוח Valkey יכול להשתמש בפרוטוקול TLS מוטלת עליכם.

למקרים שבהם נעשה שימוש בהצפנה במעבר יש רשויות אישורים (CA). אתם משתמשים ב-CA כדי לאמת את האישורים של המכונות במופעים שלכם.

אחד ממצבי ה-CA שבהם אפשר להשתמש הוא CA לכל מופע. ‫Memorystore for Valkey מקצה לכל מופע תשתית CA ייחודית משלו. כדי לגשת למופע בצורה מאובטחת, צריך להגדיר את אפליקציית הלקוח כך שתיתן אמון בהיררכיית ה-CA הזו. התהליך כולל הורדה והתקנה של אישורי CA בכל לקוח שניגש למופע.

יצירת מכונה שמשתמשת ב-CA לכל מכונה

המסוף

פועלים לפי השלבים במאמר יצירת מופעים.

gcloud

כדי ליצור מכונה שמשתמשת ב-CA לכל מכונה, משתמשים בפקודה gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

מחליפים את הפרטים הבאים:

‫INSTANCE_ID: המזהה של המכונה שיוצרים. מזהה המופע צריך להיות באורך של 1 עד 63 תווים, ולהכיל רק אותיות קטנות, מספרים או מקפים. הוא צריך להתחיל באות קטנה ולהסתיים באות קטנה או במספר.
‫REGION_ID: האזור שבו רוצים שהמכונה תמוקם.
‫PROJECT_ID: המזהה של הפרויקט שבו רוצים ליצור את המופע.
‫NETWORK_ID: המזהה של הרשת שרוצים להשתמש בה כדי ליצור את המכונה.
‫REPLICA_COUNT: מספר העותקים (לכל רסיס). הערכים הקבילים הם 0 עד 5.
‫NODE_TYPE: סוג הצומת של המכונה.

שימו לב: מומלץ להשתמש בסוג הצומת shared-core-nano רק למטרות פיתוח או בדיקה, כי לסוג הצומת הזה אין הסכם רמת שירות (SLA). אם אתם מפעילים את Memorystore for Valkey בסביבת ייצור, מומלץ להשתמש בסוג צומת אחר.
‫SHARD_COUNT: מספר הרסיסים במופע. מספר הרסיסים קובע את קיבולת הזיכרון הכוללת לאחסון נתוני המופע. מידע נוסף על מפרטים של מופעים זמין במאמר מפרט של מופע וצומת.
‫ENGINE_VERSION: הגרסה של המכונה. הערכים הקבילים לפרמטר הזה הם VALKEY_7_2,‏ VALKEY_8_0,‏ VALKEY_9_0 ו-VALKEY_9_1 (גרסת Preview). אם לא מציינים ערך, ערך ברירת המחדל הוא VALKEY_9_0.

חשוב: אחרי שמציינים גרסה למופע, אי אפשר להחזיר את המופע לגרסה קודמת.
‫MODE: קובעת אם המופע הוא Cluster Mode Enabled או Cluster Mode Disabled. אם לא מציינים את השדה הזה, ברירת המחדל של המופע היא Cluster Mode Enabled. מידע נוסף מופיע במאמר בנושא הפעלה והשבתה של מצב אשכול.

הפרמטר server-ca-mode מייצג את מצב ה-CA של המופע. ב-CA לכל מופע, google-managed-per-instance-ca הוא הערך של הפרמטר. אם לא משתמשים בפרמטר הזה, מצב ברירת המחדל של CA הוא לכל מופע.

לדוגמה:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_1 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

הורדת רשויות האישורים

אם מפעילים הצפנה במעבר למופע, כשמשתמשים בפקודה get-certificate-authority, מופיעים האישורים של רשויות האישורים.

gcloud memorystore instances get-certificate-authority INSTANCE_ID

מחליפים את INSTANCE_ID במזהה המכונה.

גוף התגובה כולל אישורים לכל רשויות האישורים הרלוונטיות.

התקנת אישורי CA בלקוח

צריך להתקין את אישורי ה-CA בלקוח שמתחבר למופע. ההתקנה של אישור CA עשויה להשתנות בהתאם לסוג הלקוח.

כדי להתקין אישור CA במכונה וירטואלית של Linux ב-Compute Engine, צריך לבצע את הפעולות הבאות:

משתמשים ב-SSH כדי להתחבר ללקוח Linux ב-Compute Engine.
בצד הלקוח, משתמשים בפקודה הבאה כדי ליצור קובץ server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

מורידים את רשויות האישורים ומדביקים אותן בקובץ server_ca.pem.

צריך לעצב את הטקסט של רשויות האישורים בצורה נכונה. קובץ server_ca.pem עשוי להופיע כך:

כדי לעצב את הטקסט בקובץ בצורה נכונה, צריך לפעול לפי ההנחיות הבאות:

מעתיקים את כל רשות האישורים, כולל השורות -----BEGIN CERTIFICATE----- ו-
-----END CERTIFICATE-----.
חשוב לוודא שהטקסט של רשויות האישורים מיושר לשמאל באופן מלא. מוודאים שלא מופיעים רווחים לפני אף שורה של רשויות האישורים.
מוסיפים כל רשות אישורים בשורה חדשה. מוודאים שאין שורות ריקות בין רשויות האישורים.

הגדרת הצפנה בזמן ההעברה בלקוח

הלקוח שבו אתם משתמשים כדי להתחבר למופע צריך לתמוך ב-TLS או להשתמש ב-sidecar של צד שלישי כדי להפעיל TLS.

אם הלקוח תומך ב-TLS, צריך להגדיר אותו כך שיצביע על כתובת ה-IP של המופע, על יציאה 6379 ועל הקובץ שמכיל את רשות האישורים. במאמר הזה יש דוגמאות לאופן ההתחברות למופע של Memorystore for Valkey עם הצפנה במעבר שהופעלה, במצב Cluster Mode Enabled או במצב Cluster Mode Disabled.

ניהול סבב אישורים

מומלץ להתקין את כל אישורי ה-CA שניתן להוריד בלקוחות שיש להם גישה למופע.

התקנה תקופתית של אישורי ה-CA העדכניים מבטיחה שיהיו לכם האישורים הנדרשים כש-Memorystore for Valkey יבצע רוטציה של רשויות האישורים. במהלך הרוטציה הזו, גם האישורים הקיימים וגם האישורים החדשים פעילים.

דוגמת קוד להתחברות למופע שמשתמש בהצפנה במעבר

כדי לראות דוגמת קוד להגדרת ספריית לקוח להתחברות למופע שמשתמש בהצפנה במעבר, אפשר לעיין בדוגמת קוד לאימות IAM ולהצפנה במעבר.