Proteggere i dati utilizzando un'autorità di certificazione (CA) condivisa

Puoi criptare in modo sicuro tutti i dati che si spostano tra le applicazioni client e Memorystore for Valkey. Si tratta della crittografia dei dati in transito. Utilizzando la crittografia dei dati in transito, tutto il traffico Valkey viene criptato tramite il protocollo TLS (Transport Layer Security). In questo modo, tutti i dati che si spostano tra le applicazioni e Memorystore for Valkey rimangono riservati e non vengono manomessi.

Se la crittografia dei dati in transito è abilitata, i client Valkey comunicano esclusivamente tramite una connessione sicura. I client Valkey non configurati per TLS vengono bloccati. Se scegli di utilizzare la crittografia dei dati in transito, è tua responsabilità assicurarti che il client Valkey possa utilizzare il protocollo TLS.

Le istanze che utilizzano la crittografia dei dati in transito hanno autorità di certificazione (CA). Utilizza le CA per autenticare i certificati delle macchine nelle istanze.

Una modalità CA che puoi utilizzare è una CA condivisa. Una CA condivisa è un'infrastruttura CA gestita e regionalizzata. Per ogni regione, puoi scaricare un singolo pacchetto di certificati CA. Questo pacchetto è valido per tutte le istanze situate in una regione che configuri per utilizzare la CA condivisa. L'utilizzo di una CA condivisa riduce il numero di certificati che i client devono gestire.

Creare un'istanza che utilizza una CA condivisa

Console

Segui i passaggi descritti in Creare istanze.

gcloud

Per creare un'istanza che utilizza una CA condivisa, utilizza il gcloud memorystore instances create comando.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Effettua le seguenti sostituzioni:

INSTANCE_ID: l'ID dell'istanza che stai creando. L'ID istanza deve contenere da 1 a 63 caratteri e utilizzare solo lettere minuscole, numeri o trattini. Deve iniziare con una lettera minuscola e terminare con una lettera minuscola o un numero.
REGION_ID: la regione in cui vuoi che si trovi l'istanza.
PROJECT_ID: l'ID del progetto in cui vuoi creare l' istanza.
NETWORK_ID: l'ID della rete che vuoi utilizzare per creare l'istanza.
REPLICA_COUNT: il numero di repliche (per shard). I valori accettati sono 0-5.
NODE_TYPE: il tipo di nodo. I valori accettati sono:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Attenzione: ti consigliamo di utilizzare il tipo di nodo shared-core-nano solo per scopi di sviluppo o test perché questo tipo di nodo non ha uno SLA. Se esegui Memorystore for Valkey in un ambiente di produzione, ti consigliamo di utilizzare i tipi di nodo standard-small, highmem-medium o highmem-xlarge. Per ulteriori informazioni su questi tipi di nodo, consulta Scegliere un tipo di nodo.
SHARD_COUNT: il numero di shard nell'istanza. Il numero di shard determina la capacità di memoria totale per l'archiviazione dei dati dell'istanza. Per ulteriori informazioni sulle specifiche dell'istanza, consulta Specifiche di istanza e nodo.
ENGINE_VERSION: la versione dell'istanza. I valori accettati per questo parametro sono VALKEY_7_2, VALKEY_8_0 e VALKEY_9_0. Se non specifichi un valore, il valore predefinito è VALKEY_9_0.

Importante: se specifichi VALKEY_9_0 come versione dell' istanza, non puoi eseguire il downgrade dell'istanza a una versione precedente.
MODE: determina se l'istanza è in modalità cluster abilitata o in modalità cluster disabilitata. Se questo campo viene omesso, l'istanza utilizza per impostazione predefinita la modalità cluster abilitata. Per ulteriori informazioni, consulta Abilitare e disabilitare la modalità cluster.

Il parametro server-ca-mode rappresenta la modalità CA per l'istanza. Per una CA condivisa, google-managed-shared-ca è il valore del parametro. Se non utilizzi questo parametro, la modalità CA predefinita è per istanza.

Ad esempio:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Scaricare il pacchetto di certificati CA

Per visualizzare il pacchetto di certificati CA e installare i certificati CA nell'applicazione client, utilizza il comando get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Sostituisci REGION_ID con la regione in cui si trova l'istanza.

Scaricare i pacchetti di certificati CA regionali per una CA condivisa

Puoi utilizzare la seguente tabella per scaricare i pacchetti di certificati CA regionali.

Nome regione	Località	Pacchetto di certificati
Globale	Tutte le località	global.pem
`africa-south1`	Johannesburg	africa-south1.pem
`asia-east1`	Taiwan	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tokyo	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Delhi	asia-south2.pem
`asia-southeast1`	Singapore	asia-southeast1.pem
`asia-southeast2`	Giacarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsavia	europe-central2.pem
`europe-north1`	Finlandia	europe-north1.pem
`europe-north2`	Stoccolma	europe-north2.pem
`europe-southwest1`	Madrid	europe-southwest1.pem
`europe-west1`	Belgio	europe-west1.pem
`europe-west2`	Londra	europe-west2.pem
`europe-west3`	Francoforte	europe-west3.pem
`europe-west4`	Paesi Bassi	europe-west4.pem
`europe-west6`	Zurigo	europe-west6.pem
`europe-west8`	Milano	europe-west8.pem
`europe-west9`	Parigi	europe-west9.pem
`europe-west10`	Berlino	europe-west10.pem
`europe-west12`	Torino	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montréal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	Messico	northamerica-south1.pem
`southamerica-east1`	San Paolo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina del Sud	us-east1.pem
`us-east4`	Virginia del Nord	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Installare il pacchetto di certificati CA sul client

Devi installare il pacchetto di certificati CA sul client che si connette all'istanza. A seconda del tipo di client, l'installazione del certificato CA potrebbe variare.

Per installare un pacchetto su una VM Linux di Compute Engine:

Utilizza SSH per connetterti a un client Linux di Compute Engine.
Nel client, utilizza il seguente comando per creare un file server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Scarica il pacchetto di certificati CA e incolla i certificati nel file server_ca.pem.

Devi formattare correttamente il testo delle CA. Il file server_ca.pem potrebbe essere visualizzato come segue:

Per formattare correttamente il testo nel file, utilizza le seguenti linee guida:

Copia l'intero pacchetto di certificati CA, incluse le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Assicurati che il testo dei certificati sia completamente giustificato a sinistra. Verifica che non siano presenti spazi davanti a nessuna riga dei certificati.
Aggiungi ogni certificato CA su una nuova riga. Verifica che non esistano righe vuote tra i certificati.

Configurare il client per la crittografia dei dati in transito

Il client che utilizzi per connetterti all'istanza deve supportare TLS o utilizzare un sidecar di terze parti per abilitare TLS.

Se il client supporta TLS, configuralo in modo che punti all'indirizzo IP dell'istanza, alla porta 6379 e al file contenente il pacchetto di certificati CA. Puoi vedere esempi di come connetterti a un'istanza Memorystore for Valkey in modalità cluster abilitata o disabilitata con la crittografia dei dati in transito abilitata.

Gestire la rotazione delle CA

Ti consigliamo di installare tutti i pacchetti di certificati CA scaricabili sui client che accedono all'istanza.

L'installazione periodica dei pacchetti di certificati CA più recenti garantisce di disporre dei certificati CA necessari quando Memorystore for Valkey ruota le CA. Durante questa rotazione, sia le CA esistenti sia le nuove CA sono attive.

Esempio di codice per connettersi a un'istanza che utilizza la crittografia dei dati in transito

Per visualizzare un esempio di codice su come configurare una libreria client per connetterti a un' istanza che utilizza la crittografia dei dati in transito, consulta Esempio di codice per l'autenticazione IAM e la crittografia dei dati in transito.