Administrar encriptación en tránsito

En esta página, se explica cómo administrar la encriptación en tránsito de tu clúster.

Si deseas obtener una descripción general de la encriptación en tránsito para el clúster de Memorystore para Redis, consulta Información sobre la encriptación en tránsito.

Solo puedes habilitar las encriptaciones en tránsito cuando creas el clúster de Memorystore por primera vez. La encriptación en tránsito no se puede inhabilitar para los clústeres creados de esta manera.

Crea una instancia con encriptación en tránsito

Consola

Sigue los pasos que se indican en Crea una instancia de clúster de Memorystore para Redis.

gcloud

Para crear un clúster de Redis que tenga encriptación en tránsito, ejecuta el comando create:

gcloud alpha redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Reemplaza lo siguiente:

INSTANCE_ID es el ID de la instancia del clúster de Memorystore para Redis que estás creando. El ID de la instancia debe tener entre 1 y 63 caracteres y solo contener letras minúsculas, números o guiones. Debe comenzar con una letra minúscula y terminar con una letra minúscula o un número.
REGION_ID es la región en la que deseas colocar la instancia.

NETWORK es la red que se usa para crear tu instancia. Debe usar el siguiente formato: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. El ID de red que se usa aquí debe coincidir con el ID de red que usa la política de conexión de servicios. De lo contrario, la operación create falla.
REPLICA_COUNT es la cantidad deseada de réplicas (por fragmento). Los valores aceptados son 0, 1 y 2.
SHARD_COUNT determina la cantidad de fragmentos de 13 GB en la instancia. El recuento de fragmentos determina la capacidad total de memoria para almacenar datos del clúster. Para obtener más detalles sobre la especificación del clúster, consulta Especificación de clústeres y fragmentos.

Por ejemplo:

gcloud alpha redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Descarga las autoridades certificadoras

Si la encriptación en tránsito está habilitada en tu clúster, verás los certificados de las autoridades certificadoras cuando ejecutes el comando get-cluster-certificate-authority:

gcloud alpha redis clusters get-cluster-certificate-authority INSTANCE_ID

Reemplaza lo siguiente:

INSTANCE_ID es el ID de tu instancia de clúster de Memorystore para Redis.

El cuerpo de la respuesta incluye certificados para todas las autoridades de certificación aplicables.

Instale autoridades certificadoras en su cliente

Debes instalar las autoridades certificadoras del clúster en el cliente que se conecta. La instalación de CA puede variar según el tipo de cliente. En los siguientes pasos, se explica cómo instalar una CA en una VM de Linux de Compute Engine.

Conéctate con SSH a tu cliente de Linux de Compute Engine.
Crea un archivo llamado server_ca.pem en tu cliente:
```
sudo vim /tmp/server_ca.pem
```

Descarga las autoridades certificadoras y pégalas en el archivo server_ca.pem que creaste antes.

El texto de las CA debe tener el formato correcto. El archivo server_ca.pem debería verse de la siguiente manera:

Como se vio en el ejemplo anterior, el archivo debe seguir estos lineamientos:

Copia toda la autoridad certificadora, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
Asegúrate de que el texto de las CA esté completamente justificado a la izquierda. No debe haber espacios delante de ninguna línea de las CA.
Se debe agregar cada autoridad certificadora en una línea nueva. No debe haber líneas en blanco entre las CA.

Configura tu cliente para la encriptación en tránsito

El cliente que usas para conectarte al clúster debe admitir TLS o usar un archivo adicional de terceros para habilitar TLS.

Si tu cliente admite TLS, configúralo para que apunte a la IP de tu instancia de Redis, el puerto 6379 y el archivo que contiene la autoridad certificada. Si eliges usar un archivo adicional, te recomendamos usar Stunnel.

Conéctese a un clúster de Memorystore de forma segura mediante Stunnel y Telnet

Si quieres obtener instrucciones para usar Stunnel a fin de habilitar la encriptación en tránsito en un cliente de Compute Engine, consulta Conéctate a una instancia de Memorystore de forma segura con Stunnel y Telnet.

Administrar la rotación de la autoridad certificadora

Debes instalar todas las autoridades certificadoras descargables en los clientes que acceden a tu clúster.

Instalar las CA nuevas, además de las CA anteriores, una vez que estén disponibles es la forma más simple de garantizar que tienes las CA necesarias cuando se produce el evento de rotación de la autoridad certificadora.

Todo lo que necesitas hacer para asegurarte de que tienes la CA requerida es asegurarte de que las CA guardadas en tu archivo cliente coincidan con las que se muestran cuando descargas las autoridades certificadoras. Tanto las CA nuevas como las antiguas están activas durante la rotación para garantizar un tiempo de inactividad mínimo.