Sécuriser vos données à l'aide d'une autorité de certification (AC) partagée

Vous pouvez chiffrer de manière sécurisée toutes les données qui transitent entre vos applications clientes et Memorystore pour Valkey. Il s'agit du chiffrement en transit. Grâce au chiffrement en transit, tout le trafic Valkey est chiffré à l'aide du protocole TLS (Transport Layer Security). Cela garantit que toutes les données qui transitent entre vos applications et Memorystore pour Valkey restent confidentielles et ne sont pas altérées.

Lorsque le chiffrement en transit est activé, les clients Valkey communiquent exclusivement via une connexion sécurisée. Les clients Valkey qui ne sont pas configurés pour TLS sont bloqués. Si vous choisissez d'utiliser le chiffrement en transit, vous devez vous assurer que votre client Valkey peut utiliser le protocole TLS.

Les instances qui utilisent le chiffrement en transit disposent d'autorités de certification. Vous utilisez les autorités de certification pour authentifier les certificats des machines de vos instances.

Un mode d'autorité de certification que vous pouvez utiliser est une autorité de certification partagée. Une autorité de certification partagée est une infrastructure d'autorité de certification gérée et régionalisée. Pour chaque région, vous pouvez télécharger un seul groupe de certificats d'autorité de certification. Ce groupe est valide pour toutes les instances situées dans une région que vous configurez pour utiliser l'autorité de certification partagée. L'utilisation d'une autorité de certification partagée réduit le nombre de certificats que vos clients doivent gérer.

Créer une instance qui utilise une autorité de certification partagée

Console

Suivez la procédure décrite dans Créer des instances.

gcloud

Pour créer une instance qui utilise une autorité de certification partagée, utilisez la gcloud memorystore instances create commande.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Effectuez les remplacements suivants :

INSTANCE_ID : ID de l'instance que vous créez. L'ID de l'instance doit comporter entre 1 et 63 caractères, et ne contenir que des lettres minuscules, des chiffres ou des traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID : région dans laquelle vous souhaitez que l'instance soit située.
PROJECT_ID : ID du projet dans lequel vous souhaitez créer l' instance.
NETWORK_ID : ID du réseau que vous souhaitez utiliser pour créer l'instance.
REPLICA_COUNT : nombre d'instances répliquées (par segment). Les valeurs acceptées sont comprises entre 0 et 5.
NODE_TYPE : type de nœud. Les valeurs acceptées sont les suivantes :
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Attention : Nous vous recommandons d'utiliser le type de nœud shared-core-nano uniquement à des fins de développement ou de test, car ce type de nœud n'est pas couvert par un contrat de niveau de service. Si vous exécutez Memorystore pour Valkey dans un environnement de production, nous vous recommandons d'utiliser les types de nœuds standard-small, highmem-medium ou highmem-xlarge. Pour en savoir plus sur ces types de nœuds, consultez Choisir un type de nœud.
SHARD_COUNT : nombre de segments dans l'instance. Le nombre de segments détermine la capacité mémoire totale pour le stockage des données d'instance. Pour en savoir plus sur les spécifications des instances, consultez Spécifications des instances et des nœuds.
ENGINE_VERSION : version de l'instance. Les valeurs acceptées pour ce paramètre sont VALKEY_7_2, VALKEY_8_0 et VALKEY_9_0. Si vous ne spécifiez pas de valeur, VALKEY_9_0 est la valeur par défaut.

Important: Si vous spécifiez VALKEY_9_0 comme version de l' instance, vous ne pouvez pas rétrograder l'instance vers une version antérieure.
MODE : détermine si le mode cluster est activé ou désactivé. Si ce champ est omis, le mode cluster est activé par défaut pour l'instance. Pour en savoir plus, consultez Activer et désactiver le mode cluster.

Le paramètre server-ca-mode représente le mode d'autorité de certification pour l'instance. Pour une autorité de certification partagée, google-managed-shared-ca est la valeur du paramètre. Si vous n'utilisez pas ce paramètre, le mode d'autorité de certification par défaut est par instance.

Exemple :

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Télécharger le groupe de certificats d'autorité de certification

Pour afficher le groupe de certificats d'autorité de certification et installer les certificats d'autorité de certification sur votre application cliente, utilisez la commande get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Remplacez REGION_ID par la région dans laquelle se trouve l'instance.

Télécharger les groupes de certificats d'autorité de certification régionaux pour une autorité de certification partagée

Vous pouvez utiliser le tableau suivant pour télécharger les groupes de certificats d'autorité de certification régionaux.

Nom de la région	Emplacement	Groupe de certificats
Monde	Tous les emplacements	global.pem
`africa-south1`	Johannesburg	africa-south1.pem
`asia-east1`	Taïwan	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tokyo	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Séoul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapour	asia-southeast1.pem
`asia-southeast2`	Jakarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsovie	europe-central2.pem
`europe-north1`	Finlande	europe-north1.pem
`europe-north2`	Stockholm	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Belgique	europe-west1.pem
`europe-west2`	Londres	europe-west2.pem
`europe-west3`	Francfort	europe-west3.pem
`europe-west4`	Pays-Bas	europe-west4.pem
`europe-west6`	Zurich	europe-west6.pem
`europe-west8`	Milan	europe-west8.pem
`europe-west9`	Paris	europe-west9.pem
`europe-west10`	Berlin	europe-west10.pem
`europe-west12`	Turin	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montréal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	Mexique	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Caroline du Sud	us-east1.pem
`us-east4`	Virginie du Nord	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Installer le groupe de certificats d'autorité de certification sur le client

Vous devez installer le groupe de certificats d'autorité de certification sur le client qui se connecte à l'instance. L'installation du certificat d'autorité de certification peut varier en fonction du type de client.

Pour installer un groupe sur une VM Linux Compute Engine, procédez comme suit :

Connectez-vous en SSH à un client Linux Compute Engine.
Dans le client, utilisez la commande suivante pour créer un fichier server_ca.pem :
```
sudo vim /tmp/server_ca.pem
```

Téléchargez le groupe de certificats d'autorité de certification et collez les certificats dans le fichier server_ca.pem.

Vous devez mettre en forme correctement le texte des autorités de certification. Le fichier server_ca.pem peut se présenter comme suit :

Pour mettre en forme correctement le texte du fichier, suivez les consignes ci-dessous :

Copiez l'intégralité du groupe de certificats d'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
Assurez-vous que le texte des certificats est complètement justifié à gauche. Vérifiez qu'aucun espace n'apparaît devant une ligne des certificats.
Ajoutez chaque certificat d'autorité de certification sur une nouvelle ligne. Vérifiez qu'il n'y a pas de ligne vide entre les certificats.

Configurer le client pour le chiffrement en transit

Le client que vous utilisez pour vous connecter à l'instance doit être compatible avec TLS ou utiliser un side-car tiers pour activer TLS.

Si votre client est compatible avec TLS, configurez-le pour qu'il pointe vers l'adresse IP de l'instance, le port 6379 et le fichier contenant le groupe de certificats d'autorité de certification. Vous pouvez consulter des exemples de connexion à une instance Memorystore pour Valkey en mode cluster activé ou cluster désactivé pour laquelle le chiffrement en transit est activé.

Gérer la rotation des autorités de certification

Nous vous recommandons d'installer tous les groupes de certificats d'autorité de certification téléchargeables sur les clients qui accèdent à l'instance.

L'installation périodique des derniers groupes de certificats d'autorité de certification vous permet de disposer des certificats d'autorité de certification nécessaires lorsque Memorystore pour Valkey effectue la rotation des autorités de certification. Pendant cette rotation, les autorités de certification existantes et les nouvelles autorités de certification sont actives.

Exemple de code pour se connecter à une instance qui utilise le chiffrement en transit

Pour afficher un exemple de code sur la configuration d'une bibliothèque cliente pour se connecter à une instance qui utilise le chiffrement en transit, consultez Exemple de code pour l'authentification IAM et le chiffrement en transit.