Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

使用每個執行個體的憑證授權單位 (CA) 保護資料

您可以安全地加密用戶端應用程式與 Memorystore for Valkey 之間的所有資料。這就是傳輸加密。使用傳輸中加密功能後，所有 Valkey 流量都會透過傳輸層安全標準 (TLS) 通訊協定加密。這可確保應用程式與 Memorystore for Valkey 之間的所有資料傳輸都經過加密，不會外洩或遭到竄改。

啟用傳輸中資料加密機制後，Valkey 用戶端只會透過安全連線進行通訊。系統會封鎖未設定 TLS 的 Valkey 用戶端。如果您選擇使用傳輸中資料加密，則必須確保 Valkey 用戶端可以使用 TLS 通訊協定。

使用傳輸中加密的執行個體具有憑證授權單位 (CA)。您可以使用 CA 驗證執行個體中機器的憑證。

您可以使用的 CA 模式之一是每個執行個體一個 CA。Memorystore for Valkey 會為每個執行個體提供專屬的叢集根憑證授權單位基礎架構。如要安全地存取執行個體，您必須將用戶端應用程式設定為信任這個 CA 層級。這包括在會存取執行個體的各個用戶端下載並安裝 CA 憑證。

建立使用每個執行個體 CA 的執行個體

控制台

請按照「建立執行個體」中的步驟操作。

gcloud

如要建立使用每個執行個體專屬 CA 的執行個體，請使用 gcloud memorystore instances create 指令。

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

請替換下列項目：

INSTANCE_ID：您要建立的執行個體 ID。執行個體 ID 長度須介於 1 至 63 個字元之間，且只能使用小寫字母、數字或連字號。開頭必須是小寫英文字母，結尾則須為小寫英文字母或數字。
REGION_ID：您希望執行個體所在的區域。
PROJECT_ID：您要在其中建立執行個體的專案 ID。
NETWORK_ID：要用於建立執行個體的網路 ID。
REPLICA_COUNT：副本數量 (每個分片)。可接受的值為 0 到 5。
NODE_TYPE：執行個體的節點類型。

注意：我們建議僅將 shared-core-nano 節點類型用於開發或測試，因為這個節點類型沒有服務水準協議。如果您在正式環境中執行 Memorystore for Valkey，建議使用其他節點類型。
SHARD_COUNT：執行個體中的分片數量。Shard 數量決定了儲存執行個體資料的總記憶體容量。如要進一步瞭解執行個體規格，請參閱「執行個體和節點規格」。
ENGINE_VERSION：執行個體的版本。這個參數可接受的值為 VALKEY_7_2、VALKEY_8_0 和 VALKEY_9_0。如未指定值，預設值為 VALKEY_9_0。

重要事項： 如果將執行個體版本指定為 VALKEY_9_0，就無法將執行個體降級為舊版。
MODE：判斷執行個體是否已啟用或停用叢集模式。如果省略這個欄位，執行個體預設會啟用叢集模式。詳情請參閱「啟用及停用叢集模式」。

server-ca-mode 參數代表執行個體的 CA 模式。如果是每個執行個體專屬的 CA，google-managed-per-instance-ca 是參數的值。如未使用這個參數，預設的 CA 模式為每個執行個體。

例如：

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-per-instance-ca

下載 CA

如果您為執行個體啟用傳輸中資料加密，使用 get-certificate-authority 指令時，系統會顯示 CA 的憑證。

gcloud memorystore instances get-certificate-authority INSTANCE_ID

將 INSTANCE_ID 替換為執行個體 ID。

回應主體會包含所有適用 CA 的憑證。

在用戶端安裝 CA 憑證

您必須在連線至執行個體的用戶端上安裝 CA 憑證。視用戶端類型而定，CA 憑證的安裝方式可能有所不同。

如要在 Compute Engine Linux VM 上安裝 CA 憑證，請執行下列操作：

使用 SSH 連線至 Compute Engine Linux 用戶端。
在用戶端中，使用下列指令建立 server_ca.pem 檔案：
```
sudo vim /tmp/server_ca.pem
```

下載 CA，然後貼到 server_ca.pem 檔案中。

您必須正確設定 CA 文字的格式。系統可能會顯示 server_ca.pem 檔案，如下所示：

如要正確設定檔案中的文字格式，請遵循下列規範：

複製整個 CA，包括 -----BEGIN CERTIFICATE----- 和
-----END CERTIFICATE----- 行。
請確認 CA 的文字完全靠左對齊。確認 CA 的任何一行前面都沒有空格。
逐行新增每個 CA。確認 CA 之間沒有空白行。

設定用戶端，啟用傳輸中資料加密功能

用來連線至執行個體的用戶端必須支援 TLS，或使用第三方 Sidecar 啟用 TLS。

如果用戶端支援 TLS，請將其設定為指向執行個體的 IP 位址、通訊埠 6379，以及包含 CA 的檔案。您可以查看範例，瞭解如何連線至已啟用傳輸中加密的 Memorystore for Valkey 叢集模式或停用叢集模式執行個體。

管理 CA 輪替

建議您在存取執行個體的用戶端上，安裝所有可下載的 CA 憑證。

定期安裝最新的 CA 憑證，可確保在 Memorystore for Valkey 輪替 CA 時，您擁有必要的憑證。輪替期間，現有和新的 CA 都會處於啟用狀態。

連線至使用傳輸中資料加密的執行個體時，可參考的程式碼範例

如要查看程式碼範例，瞭解如何設定用戶端程式庫來連線至使用傳輸中加密的執行個體，請參閱「同時使用 IAM 驗證和傳輸中加密的程式碼範例」。