管理传输加密

本页面介绍了如何管理集群的传输加密。

如需大致了解 Memorystore for Redis 集群的传输加密，请参阅关于传输加密。

您只能在首次创建 Memorystore 集群时启用传输加密。对于以这种方式创建的集群，无法停用传输加密。

创建采用传输加密的实例

控制台

gcloud

如需创建采用传输加密的 Redis 集群，请运行 create 命令：

gcloud alpha redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

请替换以下内容：

INSTANCE_ID 是您正在创建的 Memorystore for Redis 集群实例的 ID。实例 ID 必须为 1 到 63 个字符，且只能使用小写字母、数字或连字符。并且必须以小写字母开头并以小写字母或数字结尾。
REGION_ID 是要将实例放置到的区域。

NETWORK 是用于创建实例的网络。它必须采用 projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID 格式。此处使用的网络 ID 必须与服务连接政策使用的网络 ID 一致。否则，create 操作将失败。
REPLICA_COUNT 是您所需的副本数量（每个分片）。可接受的值为 0、1 和 2。
SHARD_COUNT 决定了实例中 13 GB 的分片数量。分片数决定了用于存储集群数据的总内存容量。如需详细了解集群规范，请参阅集群和分片规范。

例如：

gcloud alpha redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--shard-count=3 \
--transit-encryption-mode=server-authentication

下载证书授权机构

如果集群启用了传输加密，则运行 get-cluster-certificate-authority 命令时您会看到证书授权机构的证书：

gcloud alpha redis clusters get-cluster-certificate-authority INSTANCE_ID

请替换以下内容：

INSTANCE_ID 是 Memorystore for Redis 集群实例的 ID。

响应正文包含所有适用证书授权机构的证书。

在客户端上安装证书授权机构

您必须在连接的客户端上安装集群的证书授权机构。CA 安装可能因客户端类型而异。以下步骤说明了如何在 Compute Engine Linux 虚拟机上安装 CA。

通过 SSH 连接到您的 Compute Engine Linux 客户端。
在客户端中创建一个名为 server_ca.pem 的文件：
```
sudo vim /tmp/server_ca.pem
```

下载证书授权机构，并将其粘贴到先前创建的 server_ca.pem 文件中。

CA 文本必须采用正确的格式。您的 server_ca.pem 文件应如下所示：

您的文件（如上例所示）应遵循以下准则：

复制整个证书授权机构（包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 行）。
确保 CA 的文本完全左对齐。CA 的任何行之前不应有空格。
每个证书授权机构都应该另起一行。CA 之间不应存在空白行。

将客户端配置为传输加密

您用来连接到集群的客户端必须支持 TLS，或者使用第三方 Sidecar 来启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向您的 Redis 实例的 IP 地址、端口 6379 和包含证书授权机构的文件。如果您选择使用 Sidecar，我们建议您使用 Stunnel。

使用 Stunnel 和 telnet 安全地连接到 Memorystore 集群

如需了解如何使用 Stunnel 在 Compute Engine 客户端上启用传输加密，请参阅使用 Stunnel 和 telnet 安全地连接到 Memorystore 实例。

管理证书授权机构轮替

您应该在访问集群的客户端上安装所有可下载的证书授权机构。

在以前的 CA 发布后，除了安装以前的 CA 之外，安装最简单的 CA 是确保在发生证书授权机构轮替事件时具有必要的 CA。

为确保您拥有所需的 CA，您只需确保在客户端文件中保存的 CA 与下载证书授权机构显示的 CA 一致。在轮替期间新的 CA 和旧 CA 处于活跃状态，以确保将停机时间缩至最短。