Verschlüsselung während der Übertragung verwalten

Auf dieser Seite wird erläutert, wie Sie die Verschlüsselung während der Übertragung für Ihren Cluster verwalten.

Eine Übersicht über die Verschlüsselung während der Übertragung für Memorystore for Redis-Cluster finden Sie unter Verschlüsselung während der Übertragung.

Sie können Verschlüsselungen während der Übertragung nur aktivieren, wenn Sie den Memorystore-Cluster zum ersten Mal erstellen. Die Verschlüsselung während der Übertragung kann für Cluster, die auf diese Weise erstellt wurden, nicht deaktiviert werden.

Instanz mit Verschlüsselung während der Übertragung erstellen

Console

Folgen Sie der Anleitung unter Memorystore for Redis-Clusterinstanz erstellen.

gcloud

Führen Sie den Befehl create aus, um einen Redis-Cluster mit Verschlüsselung während der Übertragung zu erstellen:

gcloud alpha redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Ersetzen Sie Folgendes:

INSTANCE_ID ist die ID der Memorystore for Redis-Clusterinstanz, die Sie erstellen. Die Instanz-ID muss zwischen 1 und 63 Zeichen lang sein und darf nur Kleinbuchstaben, Ziffern oder Bindestriche enthalten. Sie muss mit einem Kleinbuchstaben beginnen und mit einem Kleinbuchstaben oder einer Ziffer enden.
REGION_ID ist die Region, in der die Instanz platziert werden soll.

NETWORK ist das Netzwerk, mit dem Ihre Instanz erstellt wird. Er muss das Format projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID haben. Die hier verwendete Netzwerk-ID muss mit der Netzwerk-ID übereinstimmen, die in der Dienstverbindungsrichtlinie verwendet wird. Andernfalls schlägt der Vorgang create fehl.
REPLICA_COUNT ist die gewünschte Anzahl von Replikaten (pro Shard). Zulässige Werte sind 0, 1 und 2.
SHARD_COUNT bestimmt die Anzahl von 13 GB-Shards in Ihrer Instanz. Die Shard-Anzahl bestimmt die Gesamtspeicherkapazität zum Speichern von Clusterdaten. Weitere Informationen zur Clusterspezifikation finden Sie unter Cluster- und Shard-Spezifikation.

Beispiel:

gcloud alpha redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Zertifizierungsstellen herunterladen

Wenn die Verschlüsselung während der Übertragung für Ihren Cluster aktiviert ist, werden die Zertifikate der Zertifizierungsstellen angezeigt, wenn Sie den Befehl get-cluster-certificate-authority ausführen:

gcloud alpha redis clusters get-cluster-certificate-authority INSTANCE_ID

Ersetzen Sie Folgendes:

INSTANCE_ID ist die ID Ihrer Memorystore for Redis-Clusterinstanz.

Der Antworttext enthält Zertifikate für alle anwendbaren Zertifizierungsstellen.

Zertifizierungsstellen auf Ihrem Client installieren

Sie müssen die Zertifizierungsstellen Ihres Clusters auf dem verbundenen Client installieren. Die Installation der Zertifizierungsstelle kann je nach Clienttyp variieren. In den folgenden Schritten wird erläutert, wie Sie eine CA auf einer Compute Engine-Linux-VM installieren.

Stellen Sie eine SSH-Verbindung zu Ihrem Compute Engine-Linux-Client her.
Erstellen Sie in Ihrem Client eine Datei mit dem Namen server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Laden Sie Zertifizierungsstellen herunter und fügen Sie sie in die zuvor erstellte Datei server_ca.pem ein.

Der Text der CAs muss richtig formatiert sein. Die Datei server_ca.pem sollte in etwa so aussehen:

Für die Datei müssen wie im vorherigen Beispiel die folgenden Richtlinien verwendet werden:

Kopieren Sie die gesamte Zertifizierungsstelle, einschließlich der Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.
Achten Sie darauf, dass der Text der CAs vollständig linksbündig ist. Vor den Zeilen der CAs sollten keine Leerzeichen stehen.
Jede Zertifizierungsstelle sollte in einer neuen Zeile hinzugefügt werden. Zwischen den CAs sollten keine Leerzeilen vorhanden sein.

Client für Verschlüsselung während der Übertragung konfigurieren

Der Client, mit dem Sie eine Verbindung zum Cluster herstellen, muss TLS unterstützen oder eine Sidecar-Datei eines Drittanbieters verwenden, um TLS zu aktivieren.

Wenn Ihr Client TLS unterstützt, konfigurieren Sie ihn so, dass er auf die IP-Adresse Ihrer Redis-Instanz, Port 6379 und die Datei mit der Zertifizierungsstelle verweist. Wenn Sie ein Sidecar verwenden möchten, empfehlen wir den Einsatz von Stunnel.

Sichere Verbindung zu einem Memorystore-Cluster über Stunnel und Telnet herstellen

Eine Anleitung zur Verwendung von Stunnel zum Aktivieren der Verschlüsselung während der Übertragung auf einem Compute Engine-Client finden Sie unter Sichere Verbindung zu einer Memorystore-Instanz mit Stunnel und Telnet herstellen.

Rotation der Zertifizierungsstelle verwalten

Sie sollten alle herunterladbaren Zertifizierungsstellen auf Clients installieren, die auf Ihren Cluster zugreifen.

Durch die Installation der neuen CAs wird zusätzlich zu den vorherigen CAs die einfachste Form sichergestellt, dass Sie die erforderlichen CAs haben, wenn das Rotationsereignis der Zertifizierungsstelle auftritt.

Sie müssen lediglich darauf achten, dass Sie die erforderliche CA haben, und achten Sie darauf, dass die in Ihrer Clientdatei gespeicherten CAs mit den CAs übereinstimmen, die beim Herunterladen der Zertifizierungsstellen angezeigt werden. Sowohl neue als auch alte CAs sind während der Rotation aktiv, um minimale Ausfallzeiten zu vermeiden.