Daten mit einer gemeinsamen Zertifizierungsstelle schützen

Sie können alle Daten, die zwischen Ihren Clientanwendungen und Memorystore for Valkey übertragen werden, sicher verschlüsseln. Dies wird als Verschlüsselung während der Übertragung bezeichnet. Bei der Verschlüsselung während der Übertragung wird der gesamte Valkey-Traffic über das TLS-Protokoll (Transport Layer Security) verschlüsselt. So bleiben alle Daten, die zwischen Ihren Anwendungen und Memorystore for Valkey übertragen werden, vertraulich und unverändert.

Wenn die Verschlüsselung während der Übertragung aktiviert ist, kommunizieren Valkey-Clients ausschließlich über eine sichere Verbindung. Valkey-Clients, die nicht für TLS konfiguriert sind, werden blockiert. Wenn Sie die Verschlüsselung während der Übertragung verwenden möchten, müssen Sie dafür sorgen, dass Ihr Valkey-Client das TLS-Protokoll verwenden kann.

Instanzen, die die Verschlüsselung während der Übertragung verwenden, haben Zertifizierungsstellen (Certificate Authorities, CAs). Mit den CAs authentifizieren Sie die Zertifikate der Maschinen in Ihren Instanzen.

Ein CA-Modus, den Sie verwenden können, ist eine freigegebene CA. Eine freigegebene CA ist eine verwaltete, regionalisierte CA-Infrastruktur. Für jede Region können Sie ein einzelnes CA-Zertifikatspaket herunterladen. Dieses Paket ist für alle Instanzen in einer Region gültig, die Sie für die Verwendung der freigegebenen CA konfigurieren. Durch die Verwendung einer freigegebenen CA wird die Anzahl der Zertifikate reduziert, die Ihre Clients verwalten müssen.

Instanz mit einer freigegebenen CA erstellen

Console

Folgen Sie der Anleitung unter Instanzen erstellen.

gcloud

Verwenden Sie den gcloud memorystore instances create-Befehl, um eine Instanz mit einer freigegebenen CA zu erstellen.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Ersetzen Sie die folgenden Werte:

INSTANCE_ID: die ID der Instanz, die Sie erstellen. Die Instanz-ID muss zwischen 1 und 63 Zeichen lang sein und darf nur Kleinbuchstaben, Zahlen oder Bindestriche enthalten. Sie muss mit einem Kleinbuchstaben beginnen und mit einem Kleinbuchstaben oder einer Zahl enden.
REGION_ID: die Region, in der sich die Instanz befinden soll.
PROJECT_ID: die ID des Projekts, in dem Sie die Instanz erstellen möchten.
NETWORK_ID: die ID des Netzwerks, das Sie zum Erstellen der Instanz verwenden möchten.
REPLICA_COUNT: die Anzahl der Replikate (pro Shard). Zulässige Werte sind 0–5.
NODE_TYPE: der Knotentyp. Zulässige Werte:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Achtung: Wir empfehlen, den Knotentyp shared-core-nano nur für Entwicklungs- oder Testzwecke zu verwenden, da für diesen Knotentyp keine SLA gilt. Wenn Sie Memorystore for Valkey in einer Produktionsumgebung ausführen, empfehlen wir die Knotentypen standard-small, highmem-medium oder highmem-xlarge. Weitere Informationen zu diesen Knotentypen finden Sie unter Knotentyp auswählen.
SHARD_COUNT: die Anzahl der Shards in der Instanz. Die Anzahl der Shards bestimmt die Gesamtspeicherkapazität zum Speichern von Instanzdaten. Weitere Informationen zu Instanzspezifikationen finden Sie unter Instanz- und Knotenspezifikationen.
ENGINE_VERSION: die Version der Instanz. Zulässige Werte für diesen Parameter sind VALKEY_7_2, VALKEY_8_0 und VALKEY_9_0. Wenn Sie keinen Wert angeben, ist VALKEY_9_0 der Standardwert.

Wichtig: Wenn Sie VALKEY_9_0 als Version der Instanz angeben, können Sie die Instanz nicht auf eine frühere Version herabstufen.
MODE: bestimmt, ob der Clustermodus aktiviert oder deaktiviert ist. Wenn dieses Feld nicht angegeben wird, ist der Clustermodus standardmäßig aktiviert. Weitere Informationen finden Sie unter Clustermodus aktivieren und deaktivieren.

Der Parameter server-ca-mode stellt den CA-Modus für die Instanz dar. Bei einer freigegebenen CA ist google-managed-shared-ca der Wert für den Parameter. Wenn Sie diesen Parameter nicht verwenden, ist der Standard-CA-Modus „pro Instanz“.

Beispiel:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

CA-Zertifikatspaket herunterladen

Verwenden Sie den Befehl get-shared-regional-certificate-authority, um das CA-Zertifikatspaket aufzurufen und die CA-Zertifikate in Ihrer Clientanwendung zu installieren.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Ersetzen Sie REGION_ID durch die Region, in der sich die Instanz befindet.

Regionale CA-Zertifikatspakete für eine freigegebene CA herunterladen

In der folgenden Tabelle können Sie die regionalen CA-Zertifikatspakete herunterladen.

Name der Region	Standort	Zertifikatspaket
Global	Alle Standorte	global.pem
`africa-south1`	Johannesburg	africa-south1.pem
`asia-east1`	Taiwan	asia-east1.pem
`asia-east2`	Hongkong	asia-east2.pem
`asia-northeast1`	Tokio	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seoul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapur	asia-southeast1.pem
`asia-southeast2`	Jakarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Warschau	europe-central2.pem
`europe-north1`	Finnland	europe-north1.pem
`europe-north2`	Stockholm	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Belgien	europe-west1.pem
`europe-west2`	London	europe-west2.pem
`europe-west3`	Frankfurt	europe-west3.pem
`europe-west4`	Niederlande	europe-west4.pem
`europe-west6`	Zürich	europe-west6.pem
`europe-west8`	Mailand	europe-west8.pem
`europe-west9`	Paris	europe-west9.pem
`europe-west10`	Berlin	europe-west10.pem
`europe-west12`	Turin	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montreal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	Mexiko	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	South Carolina	us-east1.pem
`us-east4`	Northern Virginia	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

CA-Zertifikatspaket auf dem Client installieren

Sie müssen das CA-Zertifikatspaket auf dem Client installieren, der eine Verbindung zur Instanz herstellt. Je nach Clienttyp kann sich die Installation des CA-Zertifikats unterscheiden.

So installieren Sie ein Paket auf einer Compute Engine-Linux-VM:

Stellen Sie eine SSH-Verbindung zu einem Compute Engine-Linux-Client her.
Verwenden Sie auf dem Client den folgenden Befehl, um eine server_ca.pem-Datei zu erstellen:
```
sudo vim /tmp/server_ca.pem
```

Laden Sie das CA-Zertifikatspaket herunter und fügen Sie die Zertifikate in die Datei server_ca.pem ein.

Sie müssen den Text der CAs richtig formatieren. Die Datei server_ca.pem kann so aussehen:

Folgen Sie dieser Anleitung, um den Text in der Datei richtig zu formatieren:

Kopieren Sie das gesamte CA-Zertifikatspaket, einschließlich der Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.
Der Text der Zertifikate muss vollständig linksbündig sein. Achten Sie darauf, dass vor keiner Zeile der Zertifikate Leerzeichen stehen.
Fügen Sie jedes CA-Zertifikat in eine neue Zeile ein. Achten Sie darauf, dass zwischen den Zertifikaten keine Leerzeilen vorhanden sind.

Client für die Verschlüsselung während der Übertragung konfigurieren

Der Client, mit dem Sie eine Verbindung zur Instanz herstellen, muss entweder TLS unterstützen oder eine Sidecar-Datei von einem Drittanbieter verwenden, um TLS zu aktivieren.

Wenn Ihr Client TLS unterstützt, konfigurieren Sie ihn so, dass er auf die IP-Adresse der Instanz, Port 6379 und die Datei mit dem CA-Zertifikatspaket verweist. Beispiele für das Herstellen einer Verbindung zu einer Instanz mit aktiviertem oder deaktiviertem Clustermodus in Memorystore for Valkey, für die die Verschlüsselung während der Übertragung aktiviert ist, finden Sie hier.

CA-Rotation verwalten

Wir empfehlen, alle herunterladbaren CA-Zertifikatspakete auf den Clients zu installieren, die auf die Instanz zugreifen.

Durch die regelmäßige Installation der neuesten CA-Zertifikatspakete stellen Sie sicher, dass Sie die erforderlichen CA-Zertifikate haben, wenn Memorystore for Valkey die CAs rotiert. Während dieser Rotation sind sowohl die vorhandenen als auch die neuen CAs aktiv.

Codebeispiel für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet

Ein Codebeispiel zum Einrichten einer Clientbibliothek für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet, finden Sie unter Codebeispiel für die IAM-Authentifizierung und die Verschlüsselung während der Übertragung.