Gérer le chiffrement en transit

Cette page explique comment gérer le chiffrement en transit pour votre cluster.

Pour en savoir plus sur le chiffrement en transit dans le cluster Memorystore pour Redis, consultez À propos du chiffrement en transit.

Vous ne pouvez activer le chiffrement en transit que lorsque vous créez votre cluster Memorystore. Le chiffrement en transit ne peut pas être désactivé pour les clusters créés de cette manière.

Créer une instance avec chiffrement en transit

Console

Suivez la procédure Créer une instance de cluster Memorystore pour Redis.

gcloud

Pour créer un cluster Redis avec un chiffrement en transit, exécutez la commande create:

gcloud alpha redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Remplacez les éléments suivants :

INSTANCE_ID est l'ID de l'instance de cluster Memorystore pour Redis que vous créez. Votre ID d'instance doit comporter entre 1 et 63 caractères. Il ne doit être composé que de lettres minuscules, de chiffres ou de traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID est la région dans laquelle vous souhaitez placer l'instance.

NETWORK est le réseau utilisé pour créer votre instance. Il doit utiliser le format suivant: projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. L'ID réseau utilisé ici doit correspondre à celui utilisé par la règle de connexion au service. Sinon, l'opération create échoue.
REPLICA_COUNT est le nombre souhaité d'instances dupliquées (par segment). Les valeurs acceptées sont 0, 1 et 2.
SHARD_COUNT détermine le nombre de segments de 13 Go dans votre instance. Le nombre de segments détermine la capacité de mémoire totale pour le stockage des données du cluster. Pour en savoir plus sur la spécification des clusters, consultez Spécification du cluster et de la partition.

Exemple :

gcloud alpha redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Télécharger les autorités de certification

Si le chiffrement en transit est activé sur votre cluster, les certificats des autorités de certification s'affichent lorsque vous exécutez la commande get-cluster-certificate-authority:

gcloud alpha redis clusters get-cluster-certificate-authority INSTANCE_ID

Remplacez les éléments suivants :

INSTANCE_ID est l'ID de votre instance de cluster Memorystore pour Redis.

Le corps de la réponse inclut des certificats pour toutes les autorités de certification applicables.

Installer des autorités de certification sur votre client

Vous devez installer les autorités de certification de votre cluster sur le client connecté. L'installation de l'autorité de certification peut varier en fonction du type de client. Les étapes ci-dessous expliquent comment installer une autorité de certification sur une VM Linux Compute Engine.

Connectez-vous en SSH à votre client Linux Compute Engine.
Créez un fichier nommé server_ca.pem dans votre client:
```
sudo vim /tmp/server_ca.pem
```

Téléchargez les autorités de certification et collez-les dans le fichier server_ca.pem créé précédemment.

Le format du texte des autorités de certification doit être correct. Votre fichier server_ca.pem devrait se présenter comme suit:

Comme indiqué dans l'exemple précédent, votre fichier doit respecter les consignes suivantes:

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est entièrement justifié à gauche. Il ne doit pas y avoir d'espace devant une ligne des autorités de certification.
Chaque autorité de certification doit être ajoutée sur une nouvelle ligne. Aucune ligne vide ne doit exister entre les autorités de certification.

Configurer le client pour le chiffrement en transit

Le client que vous utilisez pour vous connecter au cluster doit être compatible avec TLS, ou faire appel à un side-car tiers pour activer TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6379 et le fichier contenant l'autorité de certification de votre instance Redis. Si vous choisissez d'utiliser un side-car, nous vous recommandons d'utiliser Stunnel.

Se connecter en toute sécurité à un cluster Memorystore à l'aide de Stunnel et de telnet

Pour savoir comment utiliser Stunnel pour activer le chiffrement en transit sur un client Compute Engine, consultez Se connecter en toute sécurité à une instance Memorystore à l'aide de Stunnel et de telnet.

Gérer la rotation de l'autorité de certification

Vous devez installer toutes les autorités de certification téléchargeables sur les clients accédant à votre cluster.

L'installation des nouvelles autorités de certification en plus des autorités de certification précédentes est le moyen le plus simple de vous assurer que vous disposez des autorités de certification nécessaires lorsque l'événement de rotation de l'autorité de certification se produit.

Pour vous assurer que vous disposez de l'autorité de certification requise, vous devez vous assurer que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées lors du téléchargement d'autorités de certification. Les nouvelles CA et les anciennes sont actives lors de la rotation, ce qui garantit un temps d'arrêt minimal.