使用共享证书授权机构 (CA) 保护数据

您可以安全地加密客户端应用和 Memorystore for Valkey 之间传输的所有数据。这称为“传输加密”。通过使用传输中加密，所有 Valkey 数据流量都将通过传输层安全协议 (TLS) 协议进行加密。这样可确保应用和 Memorystore for Valkey 之间传输的所有数据保持机密且未被篡改。

启用传输加密后，Valkey 客户端仅通过安全连接进行通信。未针对 TLS 配置的 Valkey 客户端会被屏蔽。如果您选择使用传输加密，则需要负责确保 Valkey 客户端可以使用 TLS 协议。

使用传输加密的实例具有证书授权机构 (CA)。您可以使用 CA 对实例中机器的证书进行身份验证。

您可以使用的一种 CA 模式是共享 CA。共享 CA 是一种受管理的区域化 CA 基础架构。对于每个区域，您都可以下载一个 CA 证书软件包。此软件包对于您配置为使用共享 CA 的区域中的所有实例均有效。使用共享 CA 可减少客户端需要管理的证书数量。

创建使用共享 CA 的实例

控制台

按照创建实例中的步骤操作。

gcloud

如需创建使用共享 CA 的实例，请使用 gcloud memorystore instances create 命令。

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

进行以下替换：

INSTANCE_ID：您要创建的实例的 ID。实例 ID 必须包含 1 到 63 个字符，并且只能使用小写字母、数字或连字符。它必须以小写字母开头，并以小写字母或数字结尾。
REGION_ID：您希望实例所在的区域。
PROJECT_ID：您要在其中创建实例的项目的 ID。
NETWORK_ID：您要用于创建实例的网络的 ID。
REPLICA_COUNT：副本数（每个分片）。接受的值包括 0-5。
NODE_TYPE：节点类型。接受的值包括：
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
注意：我们建议您仅出于开发或测试目的使用 shared-core-nano节点类型，因为此节点类型没有 SLA。如果您在生产环境中运行 Memorystore for Valkey，则建议使用 standard-small、highmem-medium 或 highmem-xlarge 节点类型。如需详细了解这些节点类型，请参阅选择节点类型。
SHARD_COUNT：实例中的分片数。分片数决定了用于存储实例数据的总内存容量。如需详细了解实例规范，请参阅实例和节点规范。
ENGINE_VERSION：实例的版本。此参数接受的值包括 VALKEY_7_2、VALKEY_8_0 和 VALKEY_9_0。如果您未指定值，则默认值为 VALKEY_9_0。

**重要提示：** 如果您将 VALKEY_9_0 指定为实例的版本，则无法将实例降级到更早的版本。
MODE：确定实例是启用集群模式还是停用集群模式。如果省略此字段，则实例默认启用集群模式。如需了解详情，请参阅启用和停用集群模式。

server-ca-mode 参数表示实例的 CA 模式。对于共享 CA，google-managed-shared-ca 是此参数的值。如果您不使用此参数，则默认 CA 模式为单实例。

例如：

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

下载 CA 证书软件包

如需查看 CA 证书软件包并将 CA 证书安装到客户端应用中，请使用 get-shared-regional-certificate-authority 命令。

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

将 REGION_ID 替换为实例所在的区域。

下载共享 CA 的区域 CA 证书软件包

您可以使用下表下载区域 CA 证书软件包。

区域名称	位置	证书软件包
全球	所有位置	global.pem
`africa-south1`	约翰内斯堡	africa-south1.pem
`asia-east1`	台湾	asia-east1.pem
`asia-east2`	香港	asia-east2.pem
`asia-northeast1`	东京	asia-northeast1.pem
`asia-northeast2`	大阪	asia-northeast2.pem
`asia-northeast3`	首尔	asia-northeast3.pem
`asia-south1`	孟买	asia-south1.pem
`asia-south2`	德里	asia-south2.pem
`asia-southeast1`	新加坡	asia-southeast1.pem
`asia-southeast2`	雅加达	asia-southeast2.pem
`australia-southeast1`	悉尼	australia-southeast1.pem
`australia-southeast2`	墨尔本	australia-southeast2.pem
`europe-central2`	华沙	europe-central2.pem
`europe-north1`	芬兰	europe-north1.pem
`europe-north2`	斯德哥尔摩	europe-north2.pem
`europe-southwest1`	马德里	europe-southwest1.pem
`europe-west1`	比利时	europe-west1.pem
`europe-west2`	伦敦	europe-west2.pem
`europe-west3`	法兰克福	europe-west3.pem
`europe-west4`	荷兰	europe-west4.pem
`europe-west6`	苏黎世	europe-west6.pem
`europe-west8`	米兰	europe-west8.pem
`europe-west9`	巴黎	europe-west9.pem
`europe-west10`	柏林	europe-west10.pem
`europe-west12`	都灵	europe-west12.pem
`me-central1`	多哈	me-central1.pem
`me-central2`	Dammam	me-central2.pem
`me-west1`	特拉维夫	me-west1.pem
`northamerica-northeast1`	蒙特利尔	northamerica-northeast1.pem
`northamerica-northeast2`	多伦多	northamerica-northeast2.pem
`northamerica-south1`	墨西哥	northamerica-south1.pem
`southamerica-east1`	圣保罗	southamerica-east1.pem
`southamerica-west1`	圣地亚哥	southamerica-west1.pem
`us-central1`	爱荷华	us-central1.pem
`us-east1`	南卡罗来纳	us-east1.pem
`us-east4`	北弗吉尼亚	us-east4.pem
`us-east5`	哥伦布	us-east5.pem
`us-south1`	达拉斯	us-south1.pem
`us-west1`	俄勒冈	us-west1.pem
`us-west2`	洛杉矶	us-west2.pem
`us-west3`	盐湖城	us-west3.pem
`us-west4`	拉斯维加斯	us-west4.pem

在客户端上安装 CA 证书软件包

您必须在连接到实例的客户端上安装 CA 证书软件包。根据客户端的类型，CA 证书的安装方式可能会有所不同。

如需在 Compute Engine Linux 虚拟机上安装软件包，请执行以下操作：

使用 SSH 连接到 Compute Engine Linux 客户端。
在客户端中，使用以下命令创建 server_ca.pem 文件：
```
sudo vim /tmp/server_ca.pem
```

下载 CA 证书软件包，并将证书粘贴到 server_ca.pem 文件中。

您必须正确设置 CA 的文本格式。server_ca.pem 文件可能如下所示：

如需正确设置文件中文本的格式，请遵循以下准则：

复制整个 CA 证书软件包，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 行。
请确保证书的文字完全靠左对齐。验证证书的任何行前面都没有空格。
在新行中添加每个 CA 证书。验证证书之间没有空行。

为传输加密配置客户端

您用于连接到实例的客户端必须支持 TLS 或使用第三方 Sidecar 启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向实例的 IP 地址、端口 6379 和包含 CA 证书软件包的文件。您可以查看有关如何连接到启用了传输加密的 Memorystore for Valkey 中启用集群模式或停用集群模式的实例的示例。

管理 CA 轮替

我们建议您在访问实例的客户端上安装所有可下载的 CA 证书软件包。

定期安装最新的 CA 证书软件包可确保在 Memorystore for Valkey 轮替 CA 时拥有必要的 CA 证书。在此轮替期间，现有 CA 和新 CA 均处于活跃状态。

连接到使用传输加密的实例的代码示例

如需查看有关如何设置客户端库以连接到使用传输加密的实例的代码示例，请参阅同时进行 IAM 身份验证和传输加密的代码示例。