Activer le chiffrement en transit

Cette page explique comment activer le chiffrement en transit pendant la création de l'instance Redis et comment le gérer. Le chiffrement en transit utilise le protocole TLS (Transport Layer Security).

Pour en savoir plus sur le comportement général et les avantages du chiffrement en transit, consultez la page Chiffrement en transit.

Pour obtenir la liste des autorisations dont l'utilisateur a besoin pour effectuer les tâches de gestion décrites sur cette page, consultez la section Autorisations pour le chiffrement en transit.

Vous ne pouvez activer le chiffrement en transit que lors de la création initiale de l'instance Redis. Il n'est pas possible de désactiver le chiffrement en transit pour les instances créées de cette manière.

Créer une instance Redis avec chiffrement en transit

Console

Sélectionnez Activer le chiffrement en transit lors de la création d'une instance Redis.

gcloud

Pour créer une instance Redis avec chiffrement en transit, saisissez la commande suivante en remplaçant les variables par les valeurs appropriées :

gcloud redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

Où :

--transit-encryption-mode=SERVER_AUTHENTICATION active le chiffrement en transit pour votre instance.

Télécharger l'autorité de certification

Console

Accédez à la page Memorystore pour Redis dans Google Cloud Console.

Memorystore pour Redis
Affichez la page Détails de l'instance en cliquant sur votre ID d'instance.
Cliquez sur le bouton Télécharger ou Tout télécharger sous Certificat TLS du serveur.

gcloud

Si le chiffrement en transit est activé sur votre instance, le contenu de l'autorité de certification s'affiche lorsque vous exécutez la commande suivante :

gcloud redis instances describe instance-id --region=region

Le corps de la réponse inclut toutes les autorités de certification concernées. Voici un exemple d'autorité de certification pour Memorystore pour Redis :

Copiez et enregistrez toutes les autorités de certification temporairement afin de pouvoir les installer sur les clients accédant à l'instance Redis.

Installer une autorité de certification sur votre client

Vous devez installer l'autorité de certification de votre instance Redis sur le client qui se connecte. L'installation de l'autorité de certification peut varier en fonction du type de client. La procédure ci-dessous explique comment installer une autorité de certification sur une VM Linux Compute Engine.

Connectez-vous en SSH à votre client Linux Compute Engine.
Créez un fichier nommé server_ca.pem sur votre client en exécutant la commande suivante :
```
sudo vim /tmp/server_ca.pem
```
Téléchargez l'autorité de certification et collez-la dans le fichier server_ca.pem précédemment créé.

Le format de l'autorité de certification doit être correct :
- Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
- Assurez-vous que le texte de l'autorité de certification est complètement justifié à gauche. Vous ne devez pas laisser d'espace devant une ligne de l'autorité de certification.

Configurer le client pour le chiffrement en transit

Le client avec lequel vous vous connectez à l'instance Redis doit être compatible avec le protocole TLS ou utiliser un side-car tiers pour activer la compatibilité TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6378 et le fichier contenant l'autorité de certification de votre instance Redis. Si vous choisissez d'utiliser un side-car, nous vous recommandons d'utiliser Stunnel.

Configuration supplémentaire du client

Certains clients n'acceptent pas les certificats autosignés par défaut et nécessitent donc une configuration supplémentaire.

Par exemple, Lettuce est un client Java populaire pour Redis. Leur documentation fournit un exemple de connexion native avec TLS (consultez l'exemple 47). Étant donné que le gestionnaire de sécurité Java n'autorise pas les certificats autosignés par défaut, une option supplémentaire doit être spécifiée dans la construction de l'URI Redis .withVerifyPeer(false).

Se connecter en toute sécurité à une instance Redis à l'aide de Stunnel et Telnet

Pour obtenir des instructions sur l'utilisation de Stunnel afin d'activer le chiffrement en transit sur un client Compute Engine, consultez la section Se connecter en toute sécurité à une instance Redis à l'aide de Stunnel et Telnet.

Gérer la rotation des autorités de certification

Vous devez installer toutes les autorités de certification téléchargeables sur les clients accédant à l'instance Redis.

L'installation de la nouvelle autorité de certification, en plus de l'autorité de certification précédente une fois disponible, est le moyen le plus simple de vous assurer que vous disposez de l'autorité de certification nécessaire lorsque l'événement de rotation de l'autorité de certification se produit.

Une fois qu'une nouvelle autorité de certification a été ajoutée, exécutez la commande suivante pour afficher son contenu :

gcloud redis instances describe instance-id --region=region

Ensuite, copiez et collez l'autorité de certification la plus récente dans le fichier de votre client où vous avez enregistré l'autorité de certification précédente.

Le fichier doit respecter le format suivant : L'ordre des autorités de certification n'a pas d'importance :

Vous devez simplement vous assurer que vous disposez de l'autorité de certification requise pour garantir que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées par gcloud redis instances describe. Une fois qu'un événement de rotation commence, il y a plusieurs autorités de certification pour garantir un délai suffisant pour les rotations avec un temps d'arrêt minimal.

Étapes suivantes

Consultez la présentation du chiffrement en transit.
Découvrez la fonctionnalité Redis AUTH sur Memorystore pour Redis.