Questa pagina è stata tradotta dall'API Cloud Translation.

Gestire la crittografia dei dati in transito

Questa pagina spiega come attivare la crittografia dei dati in transito durante la creazione dell'istanza Redis e come gestirla per l'istanza. La crittografia in transito utilizza il protocollo Transport Layer Security (TLS).

Per informazioni sul comportamento generale e sui vantaggi dell'utilizzo della crittografia in transito, consulta Crittografia in transito.

Per un elenco delle autorizzazioni di cui un utente ha bisogno per eseguire le attività di gestione in questa pagina, consulta Autorizzazioni di crittografia in transito.

Puoi attivare le crittografie in transito solo durante la creazione iniziale dell'istanza Redis. La crittografia in transito non può essere disattivata per le istanze create in questo modo.

Creazione di un'istanza Redis con crittografia in transito

Console

Seleziona Attiva la crittografia in transito quando crei un'istanza Redis.

gcloud

Per creare un'istanza Redis con crittografia in transito, inserisci il seguente comando, sostituendo variables con i valori appropriati:

gcloud redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

Dove:

--transit-encryption-mode=SERVER_AUTHENTICATION attiva la crittografia in transito per l'istanza.

Download dell'autorità di certificazione

Console

Vai alla pagina Memorystore for Redis nella console Google Cloud.

Memorystore for Redis
Visualizza la pagina Dettagli istanza dell'istanza facendo clic sull'ID istanza.
Fai clic sul pulsante Scarica o Scarica tutto in Certificato server TLS.

gcloud

Se la crittografia in transito è abilitata nell'istanza, vedrai i contenuti delle autorità di certificazione quando esegui il seguente comando:

gcloud redis instances describe instance-id --region=region

Il corpo della risposta includerà tutte le autorità di certificazione applicabili. Di seguito è riportato un esempio di autorità di certificazione (CA) per Memorystore for Redis:

Copia e salva temporaneamente tutte le CA in modo da poterle installare sui client che accedono all'istanza Redis.

Installazione di un'autorità di certificazione sul client

Devi installare le autorità di certificazione dell'istanza Redis sul client che si connette. L'installazione del certificato CA può variare in base al tipo di client. I passaggi riportati di seguito spiegano come installare una CA su una VM Linux Compute Engine.

Connettiti tramite SSH al client Linux di Compute Engine.
Crea un file denominato server_ca.pem nel client eseguendo il seguente comando:
```
sudo vim /tmp/server_ca.pem
```
Scarica la CA e incollala nel file server_ca.pem creato in precedenza.

Il testo della CA deve essere formattato correttamente:
- Copia l'intera autorità di certificazione, incluse le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
- Assicurati che il testo della CA sia completamente giustificato a sinistra. Non devono esserci spazi davanti a nessuna riga del certificato.

Configurare il client per la crittografia in transito

Il client che utilizzi per connetterti all'istanza Redis deve supportare TLS o utilizzare un sidecar di terze parti per attivare TLS.

Se il client supporta TLS, configuralo in modo che indichi l'IP e la porta 6378 dell'istanza Redis e il file contenente l'autorità di certificazione. Se scegli di utilizzare un sidecar, ti consigliamo di utilizzare Stunnel.

Configurazione client aggiuntiva

Alcuni client non accettano i certificati autofirmati per impostazione predefinita e richiedono una configurazione aggiuntiva.

Ad esempio, Lettuce è un popolare client Java per Redis. La documentazione fornisce un esempio per la connessione in modo nativo con TLS (vedi Esempio 47). Poiché Java Security Manager non consente i certificati autofirmati per impostazione predefinita, è necessario specificare un'opzione aggiuntiva nella compilazione dell'URI Redis .withVerifyPeer(false).

Connessione sicura a un'istanza Redis utilizzando Stunnel e telnet

Per istruzioni sull'utilizzo di Stunnel per attivare la crittografia in transito su un client Compute Engine, consulta Connessione sicura a un'istanza Redis utilizzando Stunnel e telnet.

Gestione della rotazione delle autorità di certificazione

Devi installare tutte le autorità di certificazione scaricabili sui client che accedono all'istanza Redis.

L'installazione della nuova CA, oltre a quella precedente, non appena sarà disponibile è la forma più semplice per assicurarti di disporre della CA necessaria quando si verifica l'evento di rotazione dell'autorità di certificazione.

Esegui il seguente comando dopo aver introdotto una nuova autorità di certificazione per visualizzarne i contenuti:

gcloud redis instances describe instance-id --region=region

Poi, copia e incolla l'autorità di certificazione più recente nel file nel client in cui hai salvato l'autorità di certificazione precedente.

Il file deve utilizzare il seguente formato. L'ordine delle CA non è importante:

Per assicurarti di disporre dell'autorità di certificazione richiesta, devi solo verificare che le autorità di certificazione salvate nel file del client corrispondano a quelle mostrate da gcloud redis instances describe. Dopo l'inizio di un evento di rotazione, sono disponibili più CA per garantire tempo sufficiente per le rotazioni con un tempo di riposo minimo.

Passaggi successivi

Leggi la panoramica della crittografia dei dati in transito.
Scopri di più sulla funzionalità Redis AUTH in Memorystore for Redis.