インスタンスごとの認証局（CA）を使用してデータを保護する

クライアントアプリケーションと Memorystore for Valkey の間で移動するすべてのデータを安全に暗号化できます。これは転送中の暗号化です。転送中の暗号化を使用すると、すべての Valkey トラフィックが Transport Layer Security（TLS）プロトコルで暗号化されます。これにより、アプリケーションと Memorystore for Valkey 間で移動するすべてのデータが機密性を保ち、改ざんされないようになります。

転送中の暗号化が有効になっている場合、Valkey クライアントは安全な接続を介してのみ通信を行います。TLS 用に構成されていない Valkey クライアントはブロックされます。転送中の暗号化を使用する場合は、Valkey クライアントが TLS プロトコルを使用できることを確認する必要があります。

転送中の暗号化を使用するインスタンスには、認証局（CA）があります。CA を使用して、インスタンス内のマシンの証明書を認証します。

使用できる CA モードの 1 つに、インスタンス単位の CA があります。Memorystore for Valkey は、各インスタンスに独自の固有の CA インフラストラクチャをプロビジョニングします。インスタンスに安全にアクセスするには、この CA 階層を信頼するようにクライアントアプリケーションを構成する必要があります。これには、インスタンスにアクセスする各クライアントに CA 証明書をダウンロードしてインストールする必要があります。

インスタンスごとの CA を使用するインスタンスを作成する

コンソール

インスタンスを作成するの手順に沿って操作します。

gcloud

インスタンスごとの CA を使用するインスタンスを作成するには、gcloud memorystore instances create コマンドを使用します。

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

次のように置き換えます。

INSTANCE_ID: 作成するインスタンスの ID。インスタンス ID は 1 ～ 63 文字にする必要があり、小文字、数字、ハイフンのみ使用できます。先頭は英小文字に、末尾は英小文字または数字にする必要があります。
REGION_ID: インスタンスを配置するリージョン。
PROJECT_ID: インスタンスを作成するプロジェクトの ID。
NETWORK_ID: インスタンスの作成に使用するネットワークの ID。
REPLICA_COUNT: レプリカの数（シャードあたり）。指定できる値は 0～5 です。
NODE_TYPE: ノードタイプ。次の値が利用できます。
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
注意: このノードタイプには SLA がないため、開発またはテスト目的でのみ shared-core-nano ノードタイプを使用することをおすすめします。本番環境で Memorystore for Valkey を実行する場合は、standard-small、highmem-medium、または highmem-xlarge ノードタイプを使用することをおすすめします。これらのノードタイプの詳細については、ノードタイプを選択するをご覧ください。
SHARD_COUNT: インスタンス内のシャード数。シャード数によって、インスタンスデータを保存するための合計メモリ容量が決定されます。インスタンス仕様の詳細については、インスタンスとノードの仕様をご覧ください。
ENGINE_VERSION: インスタンスのバージョン。このパラメータに指定できる値は VALKEY_7_2、VALKEY_8_0、VALKEY_9_0 です。値を指定しない場合、デフォルト値は VALKEY_9_0 です。

重要: インスタンスのバージョンとして VALKEY_9_0 を指定した場合、インスタンスを以前のバージョンにダウングレードすることはできません。
MODE: インスタンスがクラスタモード有効かクラスタモード無効かを判断します。このフィールドを省略すると、インスタンスはデフォルトでクラスタモードが有効になります。詳細については、クラスタモードを有効または無効にするをご覧ください。

server-ca-mode パラメータは、インスタンスの CA モードを表します。インスタンスごとの CA の場合、google-managed-per-instance-ca はパラメータの値です。このパラメータを使用しない場合、デフォルトの CA モードはインスタンス単位です。

次に例を示します。

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

CA をダウンロードする

インスタンスで転送中の暗号化を有効にすると、get-certificate-authority コマンドを使用するときに CA の証明書が表示されます。

gcloud memorystore instances get-certificate-authority INSTANCE_ID

INSTANCE_ID は、インスタンスの ID に置き換えます。

レスポンスの本文には、該当するすべての CA の証明書が含まれます。

クライアントに CA 証明書をインストールする

インスタンスに接続するクライアントに CA 証明書をインストールする必要があります。クライアントの種類によっては、CA 証明書のインストール方法が異なる場合があります。

Compute Engine Linux VM に CA 証明書をインストールする手順は次のとおりです。

SSH を使用して Compute Engine の Linux クライアントに接続します。
クライアントで、次のコマンドを使用して server_ca.pem ファイルを作成します。
```
sudo vim /tmp/server_ca.pem
```

CA をダウンロードして、server_ca.pem ファイルに貼り付けます。

CA のテキストは、正しい形式になっている必要があります。server_ca.pem ファイルは次のように表示されます。

ファイル内のテキストを正しくフォーマットするには、次のガイドラインを使用します。

-----BEGIN CERTIFICATE----- 行と
行を含む CA 全体をコピーします。-----END CERTIFICATE-----
CA のテキストが、完全に左揃えになっていることを確認します。CA のいずれの行の先頭にもスペースが含まれていないことを確認します。
各 CA を新しい行に追加します。CA の間に空白行がないことを確認します。

転送中の暗号化用のクライアントを構成する

インスタンスへの接続に使用するクライアントは、TLS をサポートするか、サードパーティのサイドカーを使用して TLS を有効にする必要があります。

クライアントが TLS をサポートしている場合は、インスタンスの IP アドレス、ポート 6379、CA を含むファイルを指すように TLS を構成します。転送中の暗号化が有効になっている Memorystore for Valkey のクラスタモードが有効なインスタンスまたはクラスタモードが無効なインスタンスに接続する方法の例をご覧ください。

CA ローテーションを管理する

インスタンスにアクセスするクライアントには、ダウンロード可能なすべての CA 証明書をインストールすることをおすすめします。

最新の CA 証明書を定期的にインストールすると、Memorystore for Valkey が CA をローテーションするときに必要な証明書を確実に取得できます。このローテーション中は、既存の CA と新しい CA の両方がアクティブになります。

転送中の暗号化を使用するインスタンスに接続するコードサンプル

転送中の暗号化を使用するインスタンスに接続するようにクライアントライブラリを設定する方法を示すコードサンプルについては、IAM 認証と転送中の暗号化の両方のコードサンプルをご覧ください。