Protege tus datos con una autoridad certificadora (CA) compartida

Puedes encriptar de forma segura todos los datos que se transfieren entre tus aplicaciones cliente y Memorystore for Valkey. Esto se conoce como encriptación en tránsito. Con la encriptación en tránsito, todo el tráfico de Valkey se encripta a través del protocolo de seguridad de la capa de transporte (TLS). Esto garantiza que todos los datos que se transfieren entre tus aplicaciones y Memorystore para Valkey sigan siendo confidenciales y no se alteren.

Cuando se habilita la encriptación en tránsito, los clientes de Valkey se comunican exclusivamente a través de una conexión segura. Se bloquearán los clientes de Valkey que no estén configurados para TLS. Si eliges usar la encriptación en tránsito, serás responsable de garantizar que tu cliente de Valkey pueda usar el protocolo TLS.

Las instancias que usan encriptado en tránsito tienen autoridades certificadoras (CA). Usas las CA para autenticar los certificados de las máquinas en tus instancias.

Un modo de CA que puedes usar es una CA compartida. Una AC compartida es una infraestructura de AC administrada y regionalizada. Para cada región, puedes descargar un solo paquete de certificados de CA. Este paquete es válido para todas las instancias ubicadas en una región que configures para usar la AC compartida. El uso de una AC compartida reduce la cantidad de certificados que tus clientes deben administrar.

Crea una instancia que use una CA compartida

Console

Sigue los pasos que se indican en Crea instancias.

gcloud

Para crear una instancia que use una CA compartida, usa el comando gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Realiza los siguientes reemplazos:

INSTANCE_ID: Es el ID de la instancia que crearás. El ID de instancia debe tener entre 1 y 63 caracteres, y solo debe usar letras en minúscula, números o guiones. Debe comenzar con una letra minúscula y terminar con una letra minúscula o un número.
REGION_ID: Es la región en la que deseas que se ubique la instancia.
PROJECT_ID: Es el ID del proyecto en el que deseas crear la instancia.
NETWORK_ID: Es el ID de la red que deseas usar para crear la instancia.
REPLICA_COUNT: Es la cantidad de réplicas (por fragmento). Los valores aceptados son de 0 a 5.
NODE_TYPE: Es el tipo de nodo. Los valores aceptados son los siguientes:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Precaución: Te recomendamos que uses el tipo de nodo shared-core-nano solo para fines de desarrollo o prueba, ya que este tipo de nodo no tiene ANS. Si ejecutas Memorystore para Valkey en un entorno de producción, te recomendamos que uses los tipos de nodos standard-small, highmem-medium o highmem-xlarge. Para obtener más información sobre estos tipos de nodos, consulta Elige un tipo de nodo.
SHARD_COUNT: Es la cantidad de fragmentos en la instancia. La cantidad de fragmentos determina la capacidad total de memoria para almacenar datos de instancias. Para obtener más información sobre las especificaciones de instancias, consulta Especificaciones de instancias y nodos.
ENGINE_VERSION: Es la versión de la instancia. Los valores aceptados para este parámetro son VALKEY_7_2, VALKEY_8_0 y VALKEY_9_0. Si no especificas un valor, el valor predeterminado es VALKEY_9_0.

Importante: Si especificas VALKEY_9_0 como la versión de la instancia, no podrás cambiarla a una versión anterior.
MODE: Determina si la instancia tiene habilitado o inhabilitado el modo de clúster. Si se omite este campo, la instancia se establece de forma predeterminada en el modo de clúster habilitado. Para obtener más información, consulta Cómo habilitar y inhabilitar el modo de clúster.

El parámetro server-ca-mode representa el modo de la CA para la instancia. Para una CA compartida, google-managed-shared-ca es el valor del parámetro. Si no usas este parámetro, el modo de CA predeterminado es por instancia.

Por ejemplo:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Descarga el paquete de certificados de la CA

Para ver el paquete de certificados de la CA y, luego, instalar los certificados de la CA en tu aplicación cliente, usa el comando get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Reemplaza REGION_ID por la región en la que se encuentra la instancia.

Descarga paquetes de certificados de CA regionales para una CA compartida

Puedes usar la siguiente tabla para descargar los paquetes de certificados de CA regionales.

Nombre de la región	Ubicación	Paquete de certificados
Global	Todas las ubicaciones	global.pem
`africa-south1`	Johannesburgo	africa-south1.pem
`asia-east1`	Taiwán	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tokio	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seúl	asia-northeast3.pem
`asia-south1`	Bombay	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapur	asia-southeast1.pem
`asia-southeast2`	Yakarta	asia-southeast2.pem
`australia-southeast1`	Sídney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsovia	europe-central2.pem
`europe-north1`	Finlandia	europe-north1.pem
`europe-north2`	Estocolmo	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Bélgica	europe-west1.pem
`europe-west2`	Londres	europe-west2.pem
`europe-west3`	Fráncfort	europe-west3.pem
`europe-west4`	Países Bajos	europe-west4.pem
`europe-west6`	Zúrich	europe-west6.pem
`europe-west8`	Milán	europe-west8.pem
`europe-west9`	París	europe-west9.pem
`europe-west10`	Berlín	europe-west10.pem
`europe-west12`	Turín	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montreal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	México	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina del Sur	us-east1.pem
`us-east4`	Virginia del Norte	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregón	us-west1.pem
`us-west2`	Los Ángeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Instala el paquete de certificados de CA en el cliente

Debes instalar el paquete de certificados de la CA en el cliente que se conecta a la instancia. La instalación del certificado de CA puede variar según el tipo de cliente.

Para instalar un paquete en una VM de Linux de Compute Engine, haz lo siguiente:

Usa SSH para conectarte a un cliente de Linux de Compute Engine.
En el cliente, usa el siguiente comando para crear un archivo server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Descarga el paquete de certificados de la CA y pega los certificados en el archivo server_ca.pem.

Debes dar el formato correcto al texto de las CA. El archivo server_ca.pem podría aparecer de la siguiente manera:

Para darle el formato correcto al texto del archivo, sigue estos lineamientos:

Copia todo el paquete de certificados de la CA, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
Asegúrate de que el texto de los certificados esté completamente justificado a la izquierda. Verifica que no aparezcan espacios delante de ninguna línea de los certificados.
Agrega cada certificado de CA en una línea nueva. Verifica que no haya líneas en blanco entre los certificados.

Configura el cliente para la encriptación en tránsito

El cliente que uses para conectarte a la instancia debe admitir TLS o usar un archivo adicional de terceros para habilitar TLS.

Si tu cliente admite TLS, configúralo para que apunte a la dirección IP de la instancia, el puerto 6379 y el archivo que contiene el paquete de certificados de la CA. Puedes ver ejemplos de cómo conectarte a una instancia de Memorystore para Valkey con modo de clúster habilitado o modo de clúster inhabilitado que tiene habilitada la encriptación en tránsito.

Administra la rotación de la CA

Te recomendamos que instales todos los paquetes de certificados de CA descargables en los clientes que acceden a la instancia.

Instalar periódicamente los paquetes de certificados de CA más recientes garantiza que tengas los certificados de CA necesarios cuando Memorystore para Valkey rote las CA. Durante esta rotación, tanto las CA existentes como las nuevas están activas.

Muestra de código para conectarse a una instancia que usa encriptación en tránsito

Para ver una muestra de código sobre cómo configurar una biblioteca cliente para conectarse a una instancia que usa la encriptación en tránsito, consulta Muestra de código para la autenticación de IAM y la encriptación en tránsito.