Proteja seus dados usando uma autoridade certificadora (CA) compartilhada

É possível criptografar todos os dados que se movem entre os aplicativos cliente e o Memorystore for Valkey com segurança. Essa é a criptografia em trânsito. Ao usar a criptografia em trânsito, todo o tráfego do Valkey é criptografado pelo protocolo Transport Layer Security (TLS). Isso garante que todos os dados que se movem entre os aplicativos e o Memorystore for Valkey permaneçam confidenciais e não sejam adulterados.

Quando a criptografia em trânsito está ativada, os clientes do Valkey se comunicam exclusivamente por uma conexão segura. Os clientes do Valkey que não estão configurados para TLS são bloqueados. Se você optar por usar a criptografia em trânsito, será responsável por garantir que o cliente do Valkey possa usar o protocolo TLS.

As instâncias que usam a criptografia em trânsito têm autoridades de certificação (ACs). Você usa as ACs para autenticar os certificados das máquinas nas instâncias.

Um modo de AC que você pode usar é uma AC compartilhada. Uma AC compartilhada é uma infraestrutura de AC gerenciada e regionalizada. Para cada região, é possível fazer o download de um único pacote de certificados de AC. Esse pacote é válido para todas as instâncias localizadas em uma região que você configura para usar a AC compartilhada. O uso de uma AC compartilhada reduz o número de certificados que seus clientes precisam gerenciar.

Criar uma instância que usa uma AC compartilhada

Console

Siga as etapas em Criar instâncias.

gcloud

Para criar uma instância que usa uma AC compartilhada, use o gcloud memorystore instances create comando.

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Faça as seguintes substituições:

INSTANCE_ID: o ID da instância que você está criando. O ID da instância precisa ter de 1 a 63 caracteres e usar apenas letras minúsculas, números ou hifens. Ele precisa começar com uma letra minúscula e terminar com uma letra minúscula ou um número.
REGION_ID: a região em que você quer que a instância esteja localizada.
PROJECT_ID: o ID do projeto em que você quer criar a instância.
NETWORK_ID: o ID da rede que você quer usar para criar a instância.
REPLICA_COUNT: o número de réplicas (por fragmento). Os valores aceitos são 0-5.
NODE_TYPE: o tipo de nó. Os valores aceitos são:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Atenção: recomendamos que você use o tipo de nó shared-core-nano apenas para fins de desenvolvimento ou teste , porque esse tipo de nó não tem SLA. Se você executar o Memorystore for Valkey em um ambiente de produção, recomendamos o uso dos tipos de nó standard-small, highmem-medium ou highmem-xlarge. Para mais informações sobre esses tipos de nó, consulte Escolher um tipo de nó.
SHARD_COUNT: o número de fragmentos na instância. A contagem de fragmentos determina a capacidade total de memória para armazenar dados de instância. Para mais informações sobre as especificações da instância, consulte Especificação da instância e do nó.
ENGINE_VERSION: a versão da instância. Os valores aceitos para esse parâmetro são VALKEY_7_2, VALKEY_8_0 e VALKEY_9_0. Se você não especificar um valor, VALKEY_9_0 será o valor padrão.

Importante:se você especificar como a versão da instância, não será possível fazer o downgrade da instância para uma versão anterior.
VALKEY_9_0
MODE: determine if the instance is Cluster Mode Enabled or Cluster Mode Disabled. Se esse campo for omitido, a instância será definida como o modo de cluster ativado. Para mais informações, consulte Ativar e desativar o modo de cluster.

O parâmetro server-ca-mode representa o modo de AC da instância. Para uma AC compartilhada, google-managed-shared-ca é o valor do parâmetro. Se você não usar esse parâmetro, o modo de AC padrão será por instância.

Exemplo:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

Fazer o download do pacote de certificados de AC

Para conferir o pacote de certificados de AC e instalar os certificados de AC no aplicativo cliente, use o comando get-shared-regional-certificate-authority.

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

Substitua REGION_ID pela região em que a instância está localizada.

Fazer o download de pacotes de certificados de AC regionais para uma AC compartilhada

É possível usar a tabela a seguir para fazer o download dos pacotes de certificados de AC regionais.

Nome da região	Local	Pacote de certificados
Global	Todos os locais	global.pem
`africa-south1`	Johannesburgo	africa-south1.pem
`asia-east1`	Taiwan	asia-east1.pem
`asia-east2`	Hong Kong	asia-east2.pem
`asia-northeast1`	Tóquio	asia-northeast1.pem
`asia-northeast2`	Osaka	asia-northeast2.pem
`asia-northeast3`	Seul	asia-northeast3.pem
`asia-south1`	Mumbai	asia-south1.pem
`asia-south2`	Délhi	asia-south2.pem
`asia-southeast1`	Singapura	asia-southeast1.pem
`asia-southeast2`	Jacarta	asia-southeast2.pem
`australia-southeast1`	Sydney	australia-southeast1.pem
`australia-southeast2`	Melbourne	australia-southeast2.pem
`europe-central2`	Varsóvia	europe-central2.pem
`europe-north1`	Finlândia	europe-north1.pem
`europe-north2`	Estocolmo	europe-north2.pem
`europe-southwest1`	Madri	europe-southwest1.pem
`europe-west1`	Bélgica	europe-west1.pem
`europe-west2`	Londres	europe-west2.pem
`europe-west3`	Frankfurt	europe-west3.pem
`europe-west4`	Países Baixos	europe-west4.pem
`europe-west6`	Zurique	europe-west6.pem
`europe-west8`	Milão	europe-west8.pem
`europe-west9`	Paris	europe-west9.pem
`europe-west10`	Berlim	europe-west10.pem
`europe-west12`	Turim	europe-west12.pem
`me-central1`	Doha	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	Tel Aviv	me-west1.pem
`northamerica-northeast1`	Montreal	northamerica-northeast1.pem
`northamerica-northeast2`	Toronto	northamerica-northeast2.pem
`northamerica-south1`	México	northamerica-south1.pem
`southamerica-east1`	São Paulo	southamerica-east1.pem
`southamerica-west1`	Santiago	southamerica-west1.pem
`us-central1`	Iowa	us-central1.pem
`us-east1`	Carolina do Sul	us-east1.pem
`us-east4`	Norte da Virgínia	us-east4.pem
`us-east5`	Columbus	us-east5.pem
`us-south1`	Dallas	us-south1.pem
`us-west1`	Oregon	us-west1.pem
`us-west2`	Los Angeles	us-west2.pem
`us-west3`	Salt Lake City	us-west3.pem
`us-west4`	Las Vegas	us-west4.pem

Instalar o pacote de certificados de AC no cliente

É necessário instalar o pacote de certificados de AC no cliente que se conecta à instância. Dependendo do tipo de cliente, a instalação do certificado de AC pode variar.

Para instalar um pacote em uma VM Linux do Compute Engine, faça o seguinte:

Use SSH para se conectar a um cliente Linux do Compute Engine.
No cliente, use o comando a seguir para criar um arquivo server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Faça o download do pacote de certificados de AC e cole os certificados no arquivo server_ca.pem.

É necessário formatar o texto das ACs corretamente. O arquivo server_ca.pem pode aparecer da seguinte maneira:

Para formatar o texto no arquivo corretamente, use as diretrizes a seguir:

Copie todo o pacote de certificados de AC, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Verifique se o texto dos certificados está completamente justificado à esquerda. Verifique se não há espaços na frente de nenhuma linha dos certificados.
Adicione cada certificado de CA em uma nova linha. Verifique se não há linhas em branco entre os certificados.

Configurar o cliente para criptografia em trânsito

O cliente usado para se conectar à instância precisa oferecer suporte a TLS ou usar um arquivo secundário de terceiros para ativar o TLS.

Se o cliente oferecer suporte a TLS, configure-o para apontar para o endereço IP da instância, a porta 6379 e o arquivo que contém o pacote de certificados de CA. É possível conferir exemplos de como se conectar a uma instância do Memorystore for Valkey com o modo de cluster ativado ou desativado que tenha a criptografia em trânsito ativada.

Gerenciar a rotação de AC

Recomendamos que você instale todos os pacotes de certificados de AC para download nos clientes que acessam a instância.

A instalação periódica dos pacotes de certificados de AC mais recentes garante que você tenha os certificados de AC necessários quando o Memorystore for Valkey girar as ACs. Durante essa rotação, as ACs atuais e as novas ficam ativas.

Exemplo de código para se conectar a uma instância que usa criptografia em trânsito

Para conferir um exemplo de código sobre como configurar uma biblioteca de cliente para se conectar a uma instância que usa criptografia em trânsito, consulte Exemplo de código para autenticação do IAM e criptografia em trânsito.