Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

אבטחת הנתונים באמצעות רשות אישורים (CA) משותפת

אתם יכולים להצפין בצורה מאובטחת את כל הנתונים שמועברים בין אפליקציות הלקוח לבין Memorystore for Valkey. זוהי הצפנה בזמן ההעברה. באמצעות הצפנה בזמן ההעברה, כל התעבורה ב-Valkey מוצפנת באמצעות פרוטוקול Transport Layer Security ‏ (TLS). כך מובטח שכל הנתונים שעוברים בין האפליקציות שלכם לבין Memorystore for Valkey יישארו סודיים ולא ישונו.

כשמופעלת הצפנה במעבר, לקוחות Valkey מתקשרים רק באמצעות חיבור מאובטח. לקוחות Valkey שלא מוגדרים ל-TLS נחסמים. אם בוחרים להשתמש בהצפנה במעבר, אתם אחראים לוודא שלקוח Valkey יכול להשתמש בפרוטוקול TLS.

למקרים שבהם נעשה שימוש בהצפנה במעבר יש רשויות אישורים (CA). אתם משתמשים ב-CA כדי לאמת את האישורים של המכונות במופעים שלכם.

אחד ממצבי רשות האישורים שבהם אפשר להשתמש הוא רשות אישורים משותפת. רשות אישורים משותפת היא תשתית מנוהלת של רשות אישורים אזורית. לכל אזור אפשר להוריד חבילת אישורים אחת של רשות אישורים. החבילה הזו תקפה לכל המופעים שנמצאים באזור שהגדרתם לשימוש ברשות האישורים המשותפת. שימוש ברשות אישורים משותפת מצמצם את מספר האישורים שהלקוחות צריכים לנהל.

יצירת מופע שמשתמש ב-CA משותף

המסוף

פועלים לפי השלבים במאמר יצירת מופעים.

gcloud

כדי ליצור מכונה שמשתמשת ב-CA משותף, משתמשים בפקודה gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

מחליפים את הפרטים הבאים:

‫INSTANCE_ID: המזהה של המכונה שיוצרים. מזהה המופע צריך להיות באורך של 1 עד 63 תווים, ולהכיל רק אותיות קטנות, מספרים או מקפים. הוא צריך להתחיל באות קטנה ולהסתיים באות קטנה או במספר.
‫REGION_ID: האזור שבו רוצים שהמכונה תמוקם.
‫PROJECT_ID: המזהה של הפרויקט שבו רוצים ליצור את המופע.
‫NETWORK_ID: המזהה של הרשת שרוצים להשתמש בה כדי ליצור את המכונה.
‫REPLICA_COUNT: מספר העותקים (לכל רסיס). הערכים הקבילים הם 0 עד 5.
‫NODE_TYPE: סוג הצומת. הערכים הקבילים הם:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
זהירות: מומלץ להשתמש בסוג הצומת shared-core-nano רק למטרות פיתוח או בדיקה, כי לסוג הצומת הזה אין הסכם רמת שירות (SLA). אם אתם מפעילים את Memorystore for Valkey בסביבת ייצור, מומלץ להשתמש בסוג צומת אחר. מידע נוסף על סוגי הצמתים האלה זמין במאמר בחירת סוג הצומת.
‫SHARD_COUNT: מספר הרסיסים במופע. מספר הרסיסים קובע את קיבולת הזיכרון הכוללת לאחסון נתוני המופע. מידע נוסף על מפרטים של מופעים זמין במאמר מפרט של מופע וצומת.
‫ENGINE_VERSION: הגרסה של המכונה. הערכים הקבילים לפרמטר הזה הם VALKEY_7_2, VALKEY_8_0 ו-VALKEY_9_0. אם לא מציינים ערך, ערך ברירת המחדל הוא VALKEY_9_0.

חשוב: אם מציינים את VALKEY_9_0 כגרסה של המופע, אי אפשר לשנמך את המופע לגרסה קודמת.
‫MODE: קובעת אם המופע הוא Cluster Mode Enabled או Cluster Mode Disabled. אם לא מציינים את השדה הזה, ברירת המחדל של המופע היא Cluster Mode Enabled. מידע נוסף מופיע במאמר בנושא הפעלה והשבתה של מצב אשכול.

הפרמטר server-ca-mode מייצג את מצב ה-CA של המופע. במקרה של רשות אישורים משותפת, google-managed-shared-ca הוא הערך של הפרמטר. אם לא משתמשים בפרמטר הזה, מצב ה-CA שמוגדר כברירת מחדל הוא לכל מופע.

לדוגמה:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

הורדת חבילת אישורי CA

כדי להציג את חבילת אישורי ה-CA ולהתקין את אישורי ה-CA באפליקציית הלקוח, משתמשים בפקודה get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

מחליפים את REGION_ID באזור שבו נמצאת המכונה.

הורדת חבילות של אישורי CA אזוריים עבור CA משותף

בטבלה הבאה אפשר להוריד את חבילות אישורי ה-CA האזוריים.

שם האזור	Location	חבילת אישורים
עולמי	כל המיקומים	global.pem
`africa-south1`	יוהנסבורג	africa-south1.pem
`asia-east1`	טייוואן	‫asia-east1.pem
`asia-east2`	הונג קונג	asia-east2.pem
`asia-northeast1`	טוקיו	‫asia-northeast1.pem
`asia-northeast2`	אוסקה	‫asia-northeast2.pem
`asia-northeast3`	סיאול	‫asia-northeast3.pem
`asia-south1`	מומבאי	‫asia-south1.pem
`asia-south2`	דלהי	asia-south2.pem
`asia-southeast1`	סינגפור	‫asia-southeast1.pem
`asia-southeast2`	ג'קארטה	‫asia-southeast2.pem
`australia-southeast1`	סידני	australia-southeast1.pem
`australia-southeast2`	מלבורן	australia-southeast2.pem
`europe-central2`	ורשה	europe-central2.pem
`europe-north1`	פינלנד	europe-north1.pem
`europe-north2`	שטוקהולם	europe-north2.pem
`europe-southwest1`	מדריד	europe-southwest1.pem
`europe-west1`	בלגיה	europe-west1.pem
`europe-west2`	לונדון	europe-west2.pem
`europe-west3`	פרנקפורט	europe-west3.pem
`europe-west4`	הולנד	europe-west4.pem
`europe-west6`	ציריך	europe-west6.pem
`europe-west8`	מילאנו	europe-west8.pem
`europe-west9`	פריז	europe-west9.pem
`europe-west10`	ברלין	europe-west10.pem
`europe-west12`	טורינו	europe-west12.pem
`me-central1`	דוחה	me-central1.pem
`me-central2`	דמאם	me-central2.pem
`me-west1`	תל אביב	me-west1.pem
`northamerica-northeast1`	מונטריאול	‫northamerica-northeast1.pem
`northamerica-northeast2`	טורונטו	‫northamerica-northeast2.pem
`northamerica-south1`	מקסיקו	‫northamerica-south1.pem
`southamerica-east1`	סאו פאולו	‫southamerica-east1.pem
`southamerica-west1`	סנטיאגו	southamerica-west1.pem
`us-central1`	איווה	us-central1.pem
`us-east1`	דרום קרוליינה	us-east1.pem
`us-east4`	צפון וירג'יניה	us-east4.pem
`us-east5`	קולומבוס	us-east5.pem
`us-south1`	דאלאס	us-south1.pem
`us-west1`	אורגון	us-west1.pem
`us-west2`	לוס אנג'לס	us-west2.pem
`us-west3`	סולט לייק סיטי	us-west3.pem
`us-west4`	לאס וגאס	us-west4.pem

התקנת חבילת אישורי CA בלקוח

צריך להתקין את חבילת אישורי ה-CA בלקוח שמתחבר למופע. ההתקנה של אישור ה-CA עשויה להשתנות בהתאם לסוג הלקוח.

כדי להתקין חבילה במכונה וירטואלית של Linux ב-Compute Engine:

משתמשים ב-SSH כדי להתחבר ללקוח Linux ב-Compute Engine.
בצד הלקוח, משתמשים בפקודה הבאה כדי ליצור קובץ server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

מורידים את חבילת אישורי ה-CA ומדביקים את האישורים בקובץ server_ca.pem.

צריך לעצב את הטקסט של רשויות האישורים בצורה נכונה. קובץ server_ca.pem עשוי להופיע כך:

כדי לעצב את הטקסט בקובץ בצורה נכונה, צריך לפעול לפי ההנחיות הבאות:

מעתיקים את כל חבילת אישורי ה-CA, כולל השורות -----BEGIN CERTIFICATE----- ו------END CERTIFICATE-----.
מוודאים שהטקסט של האישורים מיושר לשמאל באופן מלא. מוודאים שלא מופיעים רווחים לפני אף שורה באישורים.
מוסיפים כל אישור CA בשורה חדשה. מוודאים שאין שורות ריקות בין האישורים.

הגדרת הצפנה בזמן ההעברה בלקוח

הלקוח שבו אתם משתמשים כדי להתחבר למופע צריך לתמוך ב-TLS או להשתמש ב-sidecar של צד שלישי כדי להפעיל TLS.

אם הלקוח תומך ב-TLS, צריך להגדיר אותו כך שיצביע על כתובת ה-IP של המופע, על יציאה 6379 ועל הקובץ שמכיל את חבילת אישורי ה-CA. אפשר לראות דוגמאות לאופן ההתחברות למופע של Memorystore for Valkey עם הצפנה במעבר שהופעלה במצב Cluster Mode Enabled או במצב Cluster Mode Disabled.

ניהול סבב אישורים

מומלץ להתקין את כל חבילות אישורי ה-CA שניתן להוריד בלקוחות שיש להם גישה למופע.

התקנה של חבילות אישורי ה-CA העדכניות באופן תקופתי מבטיחה שיהיו לכם אישורי ה-CA הנדרשים כש-Memorystore for Valkey מבצעת רוטציה של רשויות האישורים. במהלך הרוטציה הזו, גם רשויות האישורים הקיימות וגם רשויות האישורים החדשות פעילות.

דוגמת קוד להתחברות למופע שמשתמש בהצפנה במעבר

כדי לראות דוגמת קוד להגדרת ספריית לקוח להתחברות למופע שמשתמש בהצפנה במעבר, אפשר לעיין בדוגמת קוד לאימות IAM ולהצפנה במעבר.