Mengamankan data Anda dengan menggunakan Otoritas Sertifikat (CA) per instance

Anda dapat mengenkripsi semua data yang berpindah antara aplikasi klien dan Memorystore for Valkey dengan aman. Ini adalah enkripsi dalam pengiriman. Dengan menggunakan enkripsi dalam transit, semua traffic Valkey dienkripsi melalui protokol Transport Layer Security (TLS). Tindakan ini memastikan bahwa semua data yang berpindah antara aplikasi Anda dan Memorystore untuk Valkey tetap bersifat rahasia dan tidak dimodifikasi.

Jika enkripsi dalam transit diaktifkan, klien Valkey akan berkomunikasi secara eksklusif melalui koneksi yang aman. Klien Valkey yang tidak dikonfigurasi untuk TLS akan diblokir. Jika memilih untuk menggunakan enkripsi dalam transit, Anda bertanggung jawab untuk memastikan bahwa klien Valkey Anda dapat menggunakan protokol TLS.

Instance yang menggunakan enkripsi dalam transit memiliki Certificate Authority (CA). Anda menggunakan CA untuk mengautentikasi sertifikat komputer di instance Anda.

Salah satu mode CA yang dapat Anda gunakan adalah CA per instance. Memorystore for Valkey menyediakan setiap instance dengan infrastruktur CA uniknya sendiri. Untuk mengakses instance secara aman, Anda harus mengonfigurasi aplikasi klien agar memercayai hierarki CA ini. Hal ini melibatkan pendownloadan dan penginstalan sertifikat CA di setiap klien yang mengakses instance.

Membuat instance yang menggunakan CA per instance

Konsol

Ikuti langkah-langkah di Membuat instance.

gcloud

Untuk membuat instance yang menggunakan CA per instance, gunakan perintah gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Lakukan penggantian berikut:

INSTANCE_ID: ID instance yang Anda buat. ID instance harus terdiri dari 1 hingga 63 karakter, dan hanya menggunakan huruf kecil, angka, atau tanda hubung. ID harus diawali dengan huruf kecil, dan diakhiri dengan huruf kecil atau angka.
REGION_ID: region tempat Anda ingin menempatkan instance.
PROJECT_ID: ID project tempat Anda ingin membuat instance.
NETWORK_ID: ID jaringan yang ingin Anda gunakan untuk membuat instance.
REPLICA_COUNT: jumlah replika (per shard). Nilai yang diterima adalah 0-5.
NODE_TYPE: jenis node. Nilai yang diterima adalah:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Perhatian: Sebaiknya gunakan jenis node shared-core-nano hanya untuk tujuan pengembangan atau pengujian karena jenis node ini tidak memiliki SLA. Jika Anda menjalankan Memorystore for Valkey di lingkungan produksi, sebaiknya gunakan jenis node standard-small, highmem-medium, atau highmem-xlarge. Untuk mengetahui informasi selengkapnya tentang jenis node ini, lihat Memilih jenis node.
SHARD_COUNT: jumlah shard dalam instance. Jumlah shard menentukan total kapasitas memori untuk menyimpan data instance. Untuk mengetahui informasi selengkapnya tentang spesifikasi instance, lihat Spesifikasi instance dan node.
ENGINE_VERSION: versi instance. Nilai yang diterima untuk parameter ini adalah VALKEY_7_2, VALKEY_8_0, dan VALKEY_9_0. Jika Anda tidak menentukan nilai, VALKEY_9_0 adalah nilai defaultnya.

Penting: Jika Anda menentukan VALKEY_9_0 sebagai versi instance, Anda tidak dapat mendowngrade instance ke versi sebelumnya.
MODE: menentukan apakah instance diaktifkan untuk Mode Cluster atau Mode Cluster dinonaktifkan. Jika kolom ini tidak disertakan, instance akan ditetapkan secara default ke Cluster Mode Enabled. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan dan menonaktifkan mode cluster.

Parameter server-ca-mode menunjukkan mode CA untuk instance. Untuk CA per instance, google-managed-per-instance-ca adalah nilai untuk parameter. Jika Anda tidak menggunakan parameter ini, mode CA default adalah per-instance.

Contoh:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

Mendownload CA

Jika Anda mengaktifkan enkripsi saat transit untuk instance, saat Anda menggunakan perintah get-certificate-authority, sertifikat CA akan muncul.

gcloud memorystore instances get-certificate-authority INSTANCE_ID

Ganti INSTANCE_ID dengan ID instance.

Isi respons mencakup sertifikat untuk semua CA yang berlaku.

Menginstal sertifikat CA di klien

Anda harus menginstal sertifikat CA di klien yang terhubung ke instance. Bergantung pada jenis klien, penginstalan sertifikat CA mungkin berbeda.

Untuk menginstal sertifikat CA di VM Linux Compute Engine, lakukan hal berikut:

Gunakan SSH untuk terhubung ke klien Linux Compute Engine.
Di klien, gunakan perintah berikut untuk membuat file server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Download CA dan tempelkan ke dalam file server_ca.pem.

Anda harus memformat teks CA dengan benar. File server_ca.pem mungkin muncul seperti berikut:

Untuk memformat teks dalam file dengan benar, gunakan panduan berikut:

Salin seluruh CA, termasuk baris -----BEGIN CERTIFICATE----- dan
-----END CERTIFICATE-----.
Pastikan teks CA sepenuhnya rata kiri. Pastikan tidak ada spasi di depan setiap baris CA.
Tambahkan setiap CA di baris baru. Pastikan tidak ada baris kosong di antara CA.

Mengonfigurasi klien untuk enkripsi saat transit

Klien yang Anda gunakan untuk terhubung ke instance harus mendukung TLS atau menggunakan sidecar pihak ketiga untuk mengaktifkan TLS.

Jika klien Anda mendukung TLS, konfigurasikan klien agar mengarah ke alamat IP instance, port 6379, dan file yang berisi CA. Anda dapat melihat contoh cara terhubung ke instance Cluster Mode Enabled atau Cluster Mode Disabled di Memorystore for Valkey yang mengaktifkan enkripsi saat transit.

Mengelola rotasi CA

Sebaiknya instal semua sertifikat CA yang dapat didownload di klien yang mengakses instance.

Menginstal sertifikat CA terbaru secara berkala memastikan Anda memiliki sertifikat yang diperlukan saat Memorystore untuk Valkey mengganti CA. Selama rotasi ini, CA yang ada dan CA baru akan aktif.

Contoh kode untuk terhubung ke instance yang menggunakan enkripsi saat transit

Untuk melihat contoh kode tentang cara menyiapkan library klien untuk terhubung ke instance yang menggunakan enkripsi saat transit, lihat Contoh kode untuk autentikasi IAM dan enkripsi saat transit.