Cette page a été traduite par l'API Cloud Translation.

Gérer le chiffrement en transit

Cette page explique comment gérer le chiffrement en transit pour votre cluster.

Pour obtenir une présentation du chiffrement en transit pour Memorystore pour Redis Cluster, consultez À propos du chiffrement en transit.

Vous ne pouvez activer le chiffrement en transit que lors de la création initiale de votre cluster Memorystore. Il n'est pas possible de désactiver le chiffrement en transit pour les clusters créés de cette manière.

Créer une instance avec chiffrement en transit

Console

Suivez la procédure décrite dans Créer une instance Memorystore pour Redis Cluster.

gcloud

Pour créer un cluster Redis avec chiffrement en transit, exécutez la commande create :

gcloud redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Remplacez les éléments suivants :

INSTANCE_ID est l'ID de l'instance Memorystore pour Redis Cluster que vous créez. L'ID d'instance doit comporter entre 1 et 63 caractères (lettres minuscules, chiffres ou traits d'union). Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID est la région dans laquelle vous souhaitez placer l'instance.

NETWORK est le réseau utilisé pour créer votre instance. Il doit utiliser le format suivant : projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. L'ID de réseau utilisé ici doit correspondre à celui utilisé par la règle de connexion au service. Sinon, l'opération create échoue.
REPLICA_COUNT correspond au nombre d'instances répliquées souhaité (par segment). Les valeurs acceptées sont 0, 1 et 2.
NODE_TYPE est le type de nœud choisi. Les valeurs acceptées sont les suivantes :
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Attention : Nous vous recommandons d'utiliser le type de nœud redis-shared-core-nano uniquement à des fins de développement ou de test. Si vous exécutez Memorystore pour Redis Cluster dans un environnement de production, nous vous recommandons d'utiliser les types de nœuds redis-standard-small, redis-highmem-medium ou redis-highmem-xlarge. Pour en savoir plus sur ces types de nœuds, consultez Choisir un type de nœud.
SHARD_COUNT détermine le nombre de segments dans votre instance. Le nombre de partitions détermine la capacité de mémoire totale pour stocker les données du cluster. Pour en savoir plus sur la spécification du cluster, consultez Spécification du cluster et des nœuds.

Exemple :

gcloud redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Télécharger les autorités de certification

Si le chiffrement en transit est activé sur votre cluster, les certificats des autorités de certification s'affichent lorsque vous exécutez la commande get-cluster-certificate-authority :

gcloud redis clusters get-cluster-certificate-authority INSTANCE_ID

Remplacez les éléments suivants :

INSTANCE_ID est l'ID de votre instance Memorystore for Redis Cluster.

Le corps de la réponse inclut les certificats de toutes les autorités de certification applicables.

Installer des autorités de certification sur votre client

Vous devez installer les autorités de certification de votre cluster sur le client qui se connecte. L'installation de l'autorité de certification peut varier en fonction du type de client. La procédure ci-dessous explique comment installer une autorité de certification sur une VM Linux Compute Engine.

Connectez-vous en SSH à votre client Linux Compute Engine.
Créez un fichier nommé server_ca.pem sur votre client :
```
sudo vim /tmp/server_ca.pem
```

Téléchargez les autorités de certification et collez-les dans le fichier server_ca.pem précédemment créé.

Le format du texte des autorités de certification doit être correct. Votre fichier server_ca.pem devrait se présenter comme suit :

Comme dans l'exemple précédent, votre fichier doit respecter les consignes suivantes :

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est complètement justifié à gauche. Vous ne devez pas laisser d'espace devant une ligne des autorités de certification.
Chaque autorité de certification doit être ajoutée sur une nouvelle ligne. Aucune ligne vide ne doit exister entre les autorités de certification.

Configurer votre client pour le chiffrement en transit

Le client avec lequel vous vous connectez au cluster doit être compatible avec le protocole TLS ou utiliser un side-car tiers pour activer la compatibilité TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6379 et le fichier contenant l'autorité de certification de votre instance Redis. Si vous choisissez d'utiliser un side-car, nous vous recommandons d'utiliser Stunnel.

Se connecter de manière sécurisée à un cluster Memorystore à l'aide de Stunnel et Telnet

Pour obtenir des instructions sur l'utilisation de Stunnel afin d'activer le chiffrement en transit sur un client Compute Engine, consultez la section Se connecter en toute sécurité à une instance Memorystore à l'aide de Stunnel et Telnet.

Gérer la rotation des autorités de certification

Vous devez installer toutes les autorités de certification téléchargeables sur les clients accédant à votre cluster.

L'installation des nouvelles autorités de certification, en plus des précédentes, une fois qu'elles sont disponibles, est le moyen le plus simple de vous assurer que vous disposez des autorités de certification nécessaires lorsque l'événement de rotation de l'autorité de certification se produit.

Vous devez simplement vous assurer que vous disposez de l'autorité de certification requise pour garantir que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées lorsque vous téléchargez des autorités de certification. Les anciennes et nouvelles autorités de certification sont actives pendant la rotation pour minimiser les temps d'arrêt.

Exemple de code pour se connecter à une instance qui utilise le chiffrement en transit

Pour afficher un exemple de code expliquant comment configurer une bibliothèque cliente pour se connecter à une instance qui utilise le chiffrement en transit, consultez Exemple de code de bibliothèque cliente pour le chiffrement en transit.