使用共用憑證授權單位 (CA) 保護資料

您可以安全地加密用戶端應用程式與 Memorystore for Valkey 之間的所有資料。這就是傳輸加密。使用傳輸中加密功能後，所有 Valkey 流量都會透過傳輸層安全標準 (TLS) 通訊協定加密。這可確保應用程式與 Memorystore for Valkey 之間的所有資料傳輸都經過加密，不會外洩或遭到竄改。

啟用傳輸中資料加密機制後，Valkey 用戶端只會透過安全連線進行通訊。系統會封鎖未設定 TLS 的 Valkey 用戶端。如果您選擇使用傳輸中資料加密，則必須確保 Valkey 用戶端可以使用 TLS 通訊協定。

使用傳輸中加密的執行個體有憑證授權單位 (CA)。您可以使用 CA 驗證執行個體中機器的憑證。

您可以使用的 CA 模式之一是共用 CA。共用 CA 是代管的區域化 CA 基礎架構。您可以為每個區域下載單一 CA 憑證套件。如果您設定使用共用 CA，這個套件適用於區域中的所有執行個體。使用共用 CA 可以減少用戶端需要管理的憑證數量。

建立使用共用 CA 的執行個體

控制台

請按照「建立執行個體」中的步驟操作。

gcloud

如要建立使用共用 CA 的執行個體，請使用 gcloud memorystore instances create 指令。

gcloud memorystore instances create INSTANCE_ID \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--engine-version=ENGINE_VERSION \
--mode=MODE \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

請將下列項目改為對應的值：

INSTANCE_ID：您要建立的執行個體 ID。執行個體 ID 的長度須介於 1 至 63 個字元之間，而且只能使用小寫英文字母、數字或連字號。開頭須為小寫英文字母，結尾須為小寫英文字母或數字。
REGION_ID：您希望執行個體所在的區域。
PROJECT_ID：您要在其中建立執行個體的專案 ID。
NETWORK_ID：要用於建立執行個體的網路 ID。
REPLICA_COUNT：副本數量 (每個分片)。可接受的值為 0 到 5。
NODE_TYPE：節點類型。可接受的值如下：
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
注意：我們建議您僅將 shared-core-nano 節點類型用於開發或測試，因為這個節點類型沒有服務水準協議。如果您在正式環境中執行 Memorystore for Valkey，建議使用 standard-small、highmem-medium 或 highmem-xlarge 節點類型。如要進一步瞭解這些節點類型，請參閱「選擇節點類型」一文。
SHARD_COUNT：執行個體中的分片數量。Shard 數量決定了儲存執行個體資料的總記憶體容量。如要進一步瞭解執行個體規格，請參閱「執行個體和節點規格」。
ENGINE_VERSION：執行個體的版本。這個參數可接受的值為 VALKEY_7_2、VALKEY_8_0 和 VALKEY_9_0。如未指定值，預設值為 VALKEY_9_0。

重要事項： 如果將執行個體版本指定為 VALKEY_9_0，就無法將執行個體降級為舊版。
MODE：判斷執行個體是否已啟用叢集模式。如果省略這個欄位，執行個體預設會啟用叢集模式。詳情請參閱「啟用及停用叢集模式」。

server-ca-mode 參數代表執行個體的 CA 模式。如果是共用 CA，google-managed-shared-ca 是參數的值。如未使用這個參數，預設的 CA 模式為每個執行個體。

例如：

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--engine-version=VALKEY_9_0 \
--mode=CLUSTER \
--transit-encryption-mode=server-authentication \
--server-ca-mode=google-managed-shared-ca

下載 CA 憑證套件

如要查看 CA 憑證組合，並將 CA 憑證安裝到用戶端應用程式，請使用 get-shared-regional-certificate-authority 指令。

gcloud memorystore instances get-shared-regional-certificate-authority
--location=REGION_ID

將 REGION_ID 替換為執行個體所在的區域。

下載共用 CA 的區域性 CA 憑證套件

您可以透過下表下載區域 CA 憑證套件。

區域名稱	位置	憑證套件
全球	所有位置	global.pem
`africa-south1`	約翰尼斯堡	africa-south1.pem
`asia-east1`	台灣	asia-east1.pem
`asia-east2`	香港	asia-east2.pem
`asia-northeast1`	東京	asia-northeast1.pem
`asia-northeast2`	大阪	asia-northeast2.pem
`asia-northeast3`	首爾	asia-northeast3.pem
`asia-south1`	孟買	asia-south1.pem
`asia-south2`	德里	asia-south2.pem
`asia-southeast1`	新加坡	asia-southeast1.pem
`asia-southeast2`	雅加達	asia-southeast2.pem
`australia-southeast1`	雪梨	australia-southeast1.pem
`australia-southeast2`	墨爾本	australia-southeast2.pem
`europe-central2`	華沙	europe-central2.pem
`europe-north1`	芬蘭	europe-north1.pem
`europe-north2`	斯德哥爾摩	europe-north2.pem
`europe-southwest1`	馬德里	europe-southwest1.pem
`europe-west1`	比利時	europe-west1.pem
`europe-west2`	倫敦	europe-west2.pem
`europe-west3`	法蘭克福	europe-west3.pem
`europe-west4`	荷蘭	europe-west4.pem
`europe-west6`	蘇黎世	europe-west6.pem
`europe-west8`	米蘭	europe-west8.pem
`europe-west9`	巴黎	europe-west9.pem
`europe-west10`	柏林	europe-west10.pem
`europe-west12`	杜林	europe-west12.pem
`me-central1`	杜哈	me-central1.pem
`me-central2`	達曼	me-central2.pem
`me-west1`	特拉維夫市	me-west1.pem
`northamerica-northeast1`	蒙特婁	northamerica-northeast1.pem
`northamerica-northeast2`	多倫多	northamerica-northeast2.pem
`northamerica-south1`	墨西哥	northamerica-south1.pem
`southamerica-east1`	聖保羅	southamerica-east1.pem
`southamerica-west1`	聖地亞哥	southamerica-west1.pem
`us-central1`	愛荷華州	us-central1.pem
`us-east1`	南卡羅來納州	us-east1.pem
`us-east4`	北維吉尼亞州	us-east4.pem
`us-east5`	哥倫布	us-east5.pem
`us-south1`	達拉斯	us-south1.pem
`us-west1`	奧勒岡州	us-west1.pem
`us-west2`	洛杉磯	us-west2.pem
`us-west3`	鹽湖城	us-west3.pem
`us-west4`	拉斯維加斯	us-west4.pem

在用戶端上安裝 CA 憑證套件

您必須在連線至執行個體的用戶端上安裝 CA 憑證套件。視用戶端類型而定，CA 憑證的安裝方式可能有所不同。

如要在 Compute Engine Linux VM 上安裝套件組合，請執行下列操作：

使用 SSH 連線至 Compute Engine Linux 用戶端。
在用戶端中，使用下列指令建立 server_ca.pem 檔案：
```
sudo vim /tmp/server_ca.pem
```

下載 CA 憑證套件，然後將憑證貼到 server_ca.pem 檔案中。

您必須正確設定 CA 文字的格式。系統可能會顯示 server_ca.pem 檔案，如下所示：

如要正確設定檔案中的文字格式，請遵循下列規範：

複製整個 CA 憑證組合，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 行。
確認認證文字完全靠左對齊。確認憑證的任何一行前面都沒有空格。
逐行新增各個 CA 憑證。確認憑證之間沒有空白行。

設定用戶端，啟用傳輸中資料加密功能

用來連線至執行個體的用戶端必須支援 TLS，或使用第三方 Sidecar 啟用 TLS。

如果用戶端支援 TLS，請將其設定為指向執行個體的 IP 位址、6379 通訊埠，以及包含 CA 憑證組合的檔案。您可以查看範例，瞭解如何連線至已啟用傳輸中加密的 Memorystore for Valkey 叢集模式啟用或叢集模式停用執行個體。

管理 CA 輪替

建議您在存取執行個體的用戶端上，安裝所有可下載的 CA 憑證套件。

定期安裝最新的 CA 憑證組合，可確保在 Memorystore for Valkey 輪替 CA 時，您擁有必要的 CA 憑證。輪替期間，現有和新的 CA 都會處於啟用狀態。

連線至使用傳輸中資料加密的執行個體時，可參考的程式碼範例

如要查看程式碼範例，瞭解如何設定用戶端程式庫來連線至使用傳輸中加密的執行個體，請參閱「同時使用 IAM 驗證和傳輸中加密的程式碼範例」。