Verschlüsselung während der Übertragung verwalten

Auf dieser Seite wird beschrieben, wie Sie die Verschlüsselung während der Übertragung für Ihren Cluster verwalten.

Einen Überblick über die Verschlüsselung während der Übertragung für Memorystore for Redis Cluster finden Sie unter Verschlüsselung während der Übertragung.

Sie können die Verschlüsselung während der Übertragung nur aktivieren, wenn Sie Ihren Memorystore-Cluster zum ersten Mal erstellen. Die Verschlüsselung während der Übertragung kann für auf diese Weise erstellte Cluster nicht deaktiviert werden.

Instanz mit Verschlüsselung während der Übertragung erstellen

Konsole

Folgen Sie der Anleitung unter Memorystore for Redis-Clusterinstanz erstellen.

gcloud

Führen Sie den Befehl create aus, um einen Redis-Cluster mit Verschlüsselung während der Übertragung zu erstellen:

gcloud redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Ersetzen Sie Folgendes:

  • INSTANCE_ID ist die ID der Memorystore for Redis Cluster-Instanz, die Sie erstellen. Die Instanz-ID muss 1 bis 63 Zeichen lang sein und darf nur Kleinbuchstaben, Ziffern oder Bindestriche enthalten. Er muss mit einem Kleinbuchstaben beginnen und mit einem Kleinbuchstaben oder einer Ziffer enden.

  • REGION_ID ist die Region, in der sich die Instanz befinden soll.

  • NETWORK ist das Netzwerk, das zum Erstellen der Instanz verwendet wurde. Er muss das Format projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID haben. Die hier verwendete Netzwerk-ID muss mit der Netzwerk-ID übereinstimmen, die von der Richtlinie für Dienstverbindungen verwendet wird. Andernfalls schlägt der Vorgang create fehl.

  • REPLICA_COUNT ist die gewünschte Anzahl von Replikaten (pro Shard). Zulässige Werte sind 0, 1 und 2.

  • NODE_TYPE ist der von Ihnen ausgewählte Knotentyp. Zulässige Werte:

    • redis-shared-core-nano
    • redis-standard-small
    • redis-highmem-medium
    • redis-highmem-xlarge

  • SHARD_COUNT bestimmt die Anzahl der Shards in Ihrer Instanz. Die Anzahl der Shards bestimmt die Gesamtspeicherkapazität für das Speichern von Clusterdaten. Weitere Informationen zur Clusterspezifikation finden Sie unter Cluster- und Knotenspezifikation.

Beispiel:

gcloud redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Zertifizierungsstellen herunterladen

Wenn die Verschlüsselung während der Übertragung in Ihrem Cluster aktiviert ist, sehen Sie bei Ausführung des Befehls get-cluster-certificate-authority die Zertifikate der Zertifizierungsstellen:

gcloud redis clusters get-cluster-certificate-authority INSTANCE_ID

Ersetzen Sie Folgendes:

  • INSTANCE_ID ist die ID Ihrer Memorystore for Redis Cluster-Instanz.

Der Antworttext enthält Zertifikate für alle anwendbaren Zertifizierungsstellen.

Zertifizierungsstellen auf Ihrem Client installieren

Sie müssen die Zertifizierungsstellen Ihres Clusters auf dem verbindenden Client installieren. Die Installation der Zertifizierungsstelle kann je nach Clienttyp variieren. In folgenden Schritten wird erläutert, wie Sie eine Zertifizierungsstelle auf einer Compute Engine-Linux-VM installieren.

  1. Stellen Sie eine SSH-Verbindung zu Ihrem Compute Engine-Linux-Client her.

  2. Erstellen Sie in Ihrem Client eine Datei mit dem Namen server_ca.pem:

    sudo vim /tmp/server_ca.pem

  3. Laden Sie die Zertifizierungsstellen herunter und fügen Sie sie in die zuvor erstellte server_ca.pem-Datei ein.

    Der Text der Zertifizierungsstellen muss korrekt formatiert sein. Ihre server_ca.pem-Datei sollte in etwa so aussehen:

    -----BEGIN CERTIFICATE-----
MIIDnTCCAoWgAwIBAgIBADANBgkqhkiG9w0BAQsFADCBhTEtMCsGA1UELhMkNzYx
NTc4OGMtMTI2Yi00Nzk0LWI2MWMtY2YxOWE2Y2Y1ZjNiMTEwLwYDVQQDEyhHb29n
bGUgQ2xvdWQgTWVtb3J5c3RvcmUgUmVkaXMgU2VydmVyIENBMRQwEgYDVQQKEwtH
b29nbGUsIEluYzELMAkGA1UEBhMCVVMwHhcNMjAwOTE3MjEzNDE1WhcNMzAwOTE1
MjEzNTE1WjCBhTEtMCsGA1UELhMkNzYxNTc4OGMtMTI2Yi00Nzk0LWI2MWMtY2Yx
OWE2Y2Y1ZjNiMTEwLwYDVQQDEyhHb29nbGUgQ2xvdWQgTWVtb3J5c3RvcmUgUmVk
aXMgU2VydmVyIENBMRQwEgYDVQQKEwtHb29nbGUsIEluYzELMAkGA1UEBhMCVVMw
ggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCyDKmDHZm6tzMhNtKOnp8H
8+zTv1qA6OkBToVqCjKTTMGO18ovNtAAMjbGvclLuJNLbA2WTTWVttHen6Cn82h0
3gG9HMk9AwK1cVT7gW072h++TRsYddIRlwnSweRWL8jUX+PNt7CjFqH+sma/Hb1m
CktHdBOa897JiYHrMVNTcpS8SFwwz05yHUTEVGlHdkvlaJXfHLe6keCMABLyjaMh
1Jl4gZI2WqLMV680pJusK6FI6q/NmqENFc9ywMEg395lHTK9w9e014WIXg0q7sU3
84ChVVS2yYOMEUWeov4Qx6XeVfA4ss5t7OCqsMQkvslkE90mJZcVvhBj3QvTH9Rz
AgMBAAGjFjAUMBIGA1UdEwEB/wQIMAYBAf8CAQAwDQYJKoZIhvcNAQELBQADggEB
AJkn+MDE4V10DZn4uEc0s0Mg4FEMC1fDewmDYwSNnxRlzfEi+wAX2AaqrJ4m4Qa7
xIyuSYxArEOY6QeyJyw7/06dom8aAv4aO2p8hE04Ih6QwaTMFIlT2Jf6TidVd3eT
wfjwFJVoJ+dgxsaCv2uMFZWee5aRHmKzj9LhqPwpWnTs9Q/qmOheUNoe2/1i8yvn
662M7RZMR7fZH6ETsdz5w1nPXXiRqJ7K0EGKoPNjMlYK3/U1X3sazI4tpMNgTdxG
rnNh9Sd9REMBmDCPj9dUI9k4hQX4yQZp96fnLT6cet22OPajEKnpzyqJs1s4iX/g
lEtWs4V/YBhKA56CW6ASZS8=
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

    Ihre Datei sollte, wie im vorherigen Beispiel zu sehen, den folgenden Richtlinien entsprechen:

    • Kopieren Sie die gesamte Zertifizierungsstelle, einschließlich der Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.

    • Der Text der Zertifizierungsstellen muss vollständig linksbündig sein. Vor Zertifizierungsstellenzeilen dürfen keine Leerzeichen stehen.

    • Jede Zertifizierungsstelle muss in einer neuen Zeile hinzugefügt werden. Zwischen Zertifizierungsstellen dürfen keine leeren Zeilen stehen.

Client für die Verschlüsselung während der Übertragung konfigurieren

Der Client, mit dem Sie eine Verbindung zum Cluster herstellen, muss TLS unterstützen oder eine Sidecar-Datei eines Drittanbieters verwenden, um TLS zu aktivieren.

Wenn Ihr Client TLS unterstützt, konfigurieren Sie ihn so, dass er auf die IP-Adresse Ihrer Redis-Instanz, Port 6379 und die Datei mit der Zertifizierungsstelle verweist. Wenn Sie sich für eine Sidecar-Datei entscheiden, empfehlen wir die Verwendung von Stunnel.

Sichere Verbindung zu einem Memorystore-Cluster über Stunnel und Telnet herstellen

Eine Anleitung für die Verwendung von Stunnel zur Aktivierung der Verschlüsselung während der Übertragung auf einem Compute Engine-Client finden Sie unter Sichere Verbindung zu einer Memorystore-Instanz über Stunnel und Telnet herstellen.

Rotation der Zertifizierungsstelle verwalten

Sie sollten alle herunterladbaren Zertifizierungsstellen auf Clients installieren, die auf Ihren Cluster zugreifen.

Die Installation der neuen Zertifizierungsstellen zusätzlich zu den vorherigen Zertifizierungsstellen, sobald sie verfügbar sind, ist die einfachste Möglichkeit, sicherzustellen, dass die erforderlichen Zertifizierungsstellen bei einer Zertifizierungsstellen-Rotation vorhanden sind.

Um sicher zu stellen, dass Sie über die erforderliche Zertifizierungsstelle verfügen, müssen Sie nur prüfen, ob die in Ihrer Clientdatei gespeicherten Zertifizierungsstellen mit den beim Herunterladen von Zertifizierungsstellen angezeigten übereinstimmen. Sowohl neue als auch alte Zertifizierungsstellen sind während der Rotation aktiv, um die Ausfallzeit zu minimieren.

Codebeispiel für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet

Ein Codebeispiel zum Einrichten einer Clientbibliothek für die Verbindung zu einer Instanz, die die Verschlüsselung während der Übertragung verwendet, finden Sie unter Codebeispiel für Clientbibliothek für die Verschlüsselung während der Übertragung.