Mengamankan data Anda dengan menggunakan Certificate Authority (CA) bersama

Anda dapat mengenkripsi semua data yang berpindah antara aplikasi klien dan Memorystore for Valkey dengan aman. Ini adalah enkripsi dalam pengiriman. Dengan menggunakan enkripsi dalam transit, semua traffic Valkey dienkripsi melalui protokol Transport Layer Security (TLS). Tindakan ini memastikan bahwa semua data yang berpindah antara aplikasi Anda dan Memorystore untuk Valkey tetap bersifat rahasia dan tidak dimodifikasi.

Jika enkripsi dalam transit diaktifkan, klien Valkey akan berkomunikasi secara eksklusif melalui koneksi yang aman. Klien Valkey yang tidak dikonfigurasi untuk TLS akan diblokir. Jika memilih untuk menggunakan enkripsi dalam transit, Anda bertanggung jawab untuk memastikan bahwa klien Valkey Anda dapat menggunakan protokol TLS.

Instance yang menggunakan enkripsi dalam transit memiliki Certificate Authority (CA). Anda menggunakan CA untuk mengautentikasi sertifikat komputer di instance Anda.

Salah satu mode CA yang dapat Anda gunakan adalah CA bersama. CA bersama adalah infrastruktur CA terkelola dan regional. Untuk setiap region, Anda dapat mendownload satu paket sertifikat CA. Paket ini berlaku untuk semua instance yang berada di region yang Anda konfigurasi untuk menggunakan CA bersama. Menggunakan CA bersama akan mengurangi jumlah sertifikat yang perlu dikelola klien Anda.

Membuat instance yang menggunakan CA bersama

Konsol

Ikuti langkah-langkah di Membuat instance.

gcloud

Untuk membuat instance yang menggunakan CA bersama, gunakan perintah gcloud memorystore instances create.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Lakukan penggantian berikut:

INSTANCE_ID: ID instance yang Anda buat. ID instance harus terdiri dari 1 hingga 63 karakter, dan hanya menggunakan huruf kecil, angka, atau tanda hubung. ID harus diawali dengan huruf kecil, dan diakhiri dengan huruf kecil atau angka.
REGION_ID: region tempat Anda ingin menempatkan instance.
PROJECT_ID: ID project tempat Anda ingin membuat instance.
NETWORK_ID: ID jaringan yang ingin Anda gunakan untuk membuat instance.
REPLICA_COUNT: jumlah replika (per shard). Nilai yang diterima adalah 0-5.
NODE_TYPE: jenis node. Nilai yang diterima adalah:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Perhatian: Sebaiknya gunakan jenis node shared-core-nano hanya untuk tujuan pengembangan atau pengujian karena jenis node ini tidak memiliki SLA. Jika Anda menjalankan Memorystore for Valkey di lingkungan produksi, sebaiknya gunakan jenis node standard-small, highmem-medium, atau highmem-xlarge. Untuk mengetahui informasi selengkapnya tentang jenis node ini, lihat Memilih jenis node.
SHARD_COUNT: jumlah shard dalam instance. Jumlah shard menentukan total kapasitas memori untuk menyimpan data instance. Untuk mengetahui informasi selengkapnya tentang spesifikasi instance, lihat Spesifikasi instance dan node.
ENGINE_VERSION: versi instance. Nilai yang diterima untuk parameter ini adalah VALKEY_7_2, VALKEY_8_0, dan VALKEY_9_0. Jika Anda tidak menentukan nilai, VALKEY_9_0 adalah nilai defaultnya.

Penting: Jika Anda menentukan VALKEY_9_0 sebagai versi instance, Anda tidak dapat mendowngrade instance ke versi sebelumnya.
MODE: menentukan apakah instance diaktifkan untuk Mode Cluster atau Mode Cluster dinonaktifkan. Jika kolom ini tidak disertakan, instance akan ditetapkan secara default ke Cluster Mode Enabled. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan dan menonaktifkan mode cluster.

Parameter server-ca-mode menunjukkan mode CA untuk instance. Untuk CA bersama, google-managed-shared-ca adalah nilai untuk parameter. Jika Anda tidak menggunakan parameter ini, mode CA default adalah per-instance.

Contoh:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Download paket sertifikat CA

Untuk melihat paket sertifikat CA dan menginstal sertifikat CA ke aplikasi klien Anda, gunakan perintah get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Ganti REGION_ID dengan region tempat instance berada.

Mendownload paket sertifikat CA regional untuk CA bersama

Anda dapat menggunakan tabel berikut untuk mendownload paket sertifikat CA regional.

Nama region	Location	Paket sertifikat
Global	Semua lokasi	global.pem
`africa-south1`	Johannesburg	africa-south1.pem
`asia-east1`	Taiwan	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tokyo	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seoul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapura	asia-southeast1.pem
`asia-southeast2`	Jakarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Warsawa	europe-central2.pem
`europe-north1`	Finlandia	europe-north1.pem
`europe-north2`	Stockholm	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Belgia	europe-west1.pem
`europe-west2`	London	europe-west2.pem
`europe-west3`	Frankfurt	europe-west3.pem
`europe-west4`	Belanda	europe-west4.pem
`europe-west6`	Zurich	europe-west6.pem
`europe-west8`	Milan	europe-west8.pem
`europe-west9`	Paris	europe-west9.pem
`europe-west10`	Berlin	europe-west10.pem
`europe-west12`	Turin	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montréal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	Meksiko	northamerica-south1.pem
`southamerica-east1`	Sao Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina Selatan	us-east1.pem
`us-east4`	Northern Virginia	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Instal paket sertifikat CA di klien

Anda harus menginstal paket sertifikat CA di klien yang terhubung ke instance. Bergantung pada jenis klien, penginstalan sertifikat CA mungkin berbeda.

Untuk menginstal paket di VM Linux Compute Engine, lakukan langkah-langkah berikut:

Gunakan SSH untuk terhubung ke klien Linux Compute Engine.
Di klien, gunakan perintah berikut untuk membuat file server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Download paket sertifikat CA dan tempelkan sertifikat ke file server_ca.pem.

Anda harus memformat teks CA dengan benar. File server_ca.pem mungkin muncul seperti berikut:

Untuk memformat teks dalam file dengan benar, gunakan panduan berikut:

Salin seluruh paket sertifikat CA, termasuk baris -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE-----.
Pastikan teks sertifikat rata kiri sepenuhnya. Pastikan tidak ada spasi di depan setiap baris sertifikat.
Tambahkan setiap sertifikat CA di baris baru. Pastikan tidak ada baris kosong di antara sertifikat.

Mengonfigurasi klien untuk enkripsi saat transit

Klien yang Anda gunakan untuk terhubung ke instance harus mendukung TLS atau menggunakan sidecar pihak ketiga untuk mengaktifkan TLS.

Jika klien Anda mendukung TLS, konfigurasikan klien agar mengarah ke alamat IP instance, port 6379, dan file yang berisi paket sertifikat CA. Anda dapat melihat contoh cara menghubungkan ke instance Cluster Mode Enabled atau Cluster Mode Disabled di Memorystore for Valkey yang mengaktifkan enkripsi saat transit.

Mengelola rotasi CA

Sebaiknya instal semua paket sertifikat CA yang dapat didownload di klien yang mengakses instance.

Menginstal paket sertifikat CA terbaru secara berkala memastikan Anda memiliki sertifikat CA yang diperlukan saat Memorystore untuk Valkey merotasi CA. Selama rotasi ini, CA yang ada dan CA baru akan aktif.

Contoh kode untuk terhubung ke instance yang menggunakan enkripsi saat transit

Untuk melihat contoh kode tentang cara menyiapkan library klien untuk terhubung ke instance yang menggunakan enkripsi saat transit, lihat Contoh kode untuk autentikasi IAM dan enkripsi saat transit.