此页面由 Cloud Translation API 翻译。

管理传输加密

本页面介绍了如何管理集群的传输中加密。

如需简要了解 Memorystore for Redis Cluster 的传输加密，请参阅传输加密简介。

您只能在最初创建 Memorystore 集群时才能启用传输加密。通过这种方式创建的集群不能停用传输加密。

创建启用了传输加密的实例

控制台

按照创建 Memorystore for Redis Cluster 实例中的步骤操作。

gcloud

如需创建使用传输加密的 Redis 集群，请运行 create 命令：

gcloud redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

替换以下内容：

INSTANCE_ID 是您要创建的 Memorystore for Redis Cluster 实例的 ID。实例 ID 的长度必须介于 1 到 63 个字符之间，且只能使用小写字母、数字或连字符。并且必须以小写字母开头并以小写字母或数字结尾。
REGION_ID 是您要将实例放置在其中的区域。

NETWORK 是用于创建实例的网络。必须采用以下格式：projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID。此处使用的网络 ID 必须与服务连接政策使用的网络 ID 相匹配。否则，create 操作会失败。
REPLICA_COUNT 是您所需的副本数量（每个分片）。接受的值包括 0、1 和 2。
NODE_TYPE 是您选择的节点类型。接受的值包括：
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
注意：我们建议您仅将 redis-shared-core-nano 节点类型用于开发或测试目的。如果您在生产环境中运行 Memorystore for Redis Cluster，建议使用 redis-standard-small、redis-highmem-medium 或 redis-highmem-xlarge 节点类型。如需详细了解这些节点类型，请参阅选择节点类型。
SHARD_COUNT 用于确定实例中的分片数量。分片数量决定了用于存储集群数据的总内存容量。如需详细了解集群规范，请参阅集群和节点规范。

例如：

gcloud redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

下载证书授权机构

如果您的集群上已启用传输加密，则在您运行 get-cluster-certificate-authority 命令时会看到证书授权机构的证书：

gcloud redis clusters get-cluster-certificate-authority INSTANCE_ID

替换以下内容：

INSTANCE_ID 是 Memorystore for Redis Cluster 实例的 ID。

响应正文中包含所有适用证书授权机构的证书。

在客户端上安装证书授权机构

您必须在用于连接的客户端上安装集群的证书授权机构。CA 安装可能因客户端类型而异。以下步骤介绍了如何在 Compute Engine Linux 虚拟机上安装 CA。

通过 SSH 连接到您的 Compute Engine Linux 客户端。
在客户端中创建一个名为 server_ca.pem 的文件：
```
sudo vim /tmp/server_ca.pem
```

下载证书授权机构，将其粘贴到之前创建的 server_ca.pem 文件中。

CA 文字必须采用正确的格式。您的 server_ca.pem 文件应如下所示：

如上例所示，您的文件应遵循以下准则：

复制整个证书授权机构，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 在内。
请确保 CA 的文字完全靠左对齐。CA 所在行前面不应有空格。
每个证书授权机构都应另起一行添加。CA 之间不应有空白行。

为传输加密配置客户端

您用于连接到集群的客户端必须支持 TLS 或使用第三方辅助信息文件才能启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向您的 Redis 实例的 IP 地址、端口 6379 和包含证书授权机构的文件。如果您选择使用辅助信息文件，我们建议您使用安全通道。

使用安全通道和 telnet 安全地连接到 Memorystore 集群

如需了解如何使用安全通道在 Compute Engine 客户端上启用传输加密，请参阅使用安全通道和 telnet 安全地连接到 Memorystore 实例。

管理证书授权机构轮替

您应该在访问集群的客户端上安装所有可下载的证书授权机构。

在不卸载原有 CA 的情况下安装新 CA 是最简便的方法，可确保在发生证书授权机构轮替事件时拥有必要的 CA。

要确保拥有所需 CA，您需要确保已将在客户端文件中保存的 CA 与下载证书授权机构时显示的 CA 匹配。在轮替期间，新 CA 和旧 CA 均处于有效状态，以确保停机时间最短。

用于连接到使用传输加密的实例的代码示例

如需查看有关如何设置客户端库以连接到使用传输加密的实例的代码示例，请参阅传输加密客户端库代码示例。