Se usó la API de Cloud Translation para traducir esta página.

Administra la encriptación en tránsito

En esta página, se explica cómo habilitar la encriptación en tránsito durante la instancia de Redis y cómo administrar la encriptación en tránsito para la instancia. En tránsito usa el protocolo de seguridad de la capa de transporte (TLS).

Para obtener información sobre el comportamiento general y los beneficios de usar la encriptación en tránsito, consulta Encriptación en tránsito.

Para obtener una lista de los permisos que un usuario necesita para realizar la administración tareas de esta página, consulta Permisos de encriptación en tránsito.

Solo puedes habilitar las encriptaciones en tránsito cuando creas inicialmente tu Redis instancia. No se puede inhabilitar la encriptación en tránsito para las instancias creadas en este de una nueva manera.

Crea una instancia de Redis con encriptación en tránsito

Console

SeleccionarHabilita la encriptación en tránsito al Crear una instancia de Redis.

gcloud

Para crear una instancia de Redis con encriptación en tránsito, ingresa el siguiente comando variables por los valores adecuados:

gcloud redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

Aquí:

--transit-encryption-mode=SERVER_AUTHENTICATION habilita el acceso encriptación para tu instancia.

Descarga la autoridad certificada

Console

Ve a la página Memorystore para Redis en la consola de Google Cloud.

Memorystore para Redis
Haz clic en el ID de la instancia para ver los Detalles de la instancia.
Haz clic en el botón Descargar o Descargar todo en Certificado de servidor TLS.

gcloud

Si la encriptación en tránsito está habilitada en tu instancia, verás el contenido de las autoridades certificadoras cuando ejecutes el siguiente comando:

gcloud redis instances describe instance-id --region=region

El cuerpo de la respuesta incluirá todas las autoridades certificadas aplicables. A continuación, se muestra un ejemplo de autoridad certificada (CA) de Memorystore para Redis:

Copia y guarda todas las CA temporalmente para que puedas instalarlas en clientes que acceden a la instancia de Redis.

Instala una autoridad certificada en tu cliente

Debes instalar las autoridades certificadas de tu instancia de Redis en el cliente que se conectará. La instalación de CA puede variar según el tipo de cliente. Los siguientes pasos explican cómo instalar una CA en una VM de Linux de Compute Engine.

Conéctate con SSH a tu cliente de Linux de Compute Engine.
Para crear un archivo llamado server_ca.pem en tu cliente, ejecuta el siguiente comando:
```
sudo vim /tmp/server_ca.pem
```
Descarga la autoridad certificada y pégala en el archivo server_ca.pem creado con anterioridad.

El texto de la CA debe tener el formato correcto:
- Copia toda la autoridad certificada, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
- Asegúrate de que se haya justificado a la izquierda todo el texto de la CA. No debe haber espacios frente a ninguna línea de la CA.

Configura el cliente para la encriptación en tránsito

El cliente que usas para conectarte a la instancia de Redis debe admitir TLS o usar un archivo adicional de terceros para habilitar TLS.

Si tu cliente admite TLS, configúralo para que apunte a la IP de tu instancia de Redis, el puerto 6378 y el archivo que contiene la autoridad certificada. Si decides usar un archivo adicional, te recomendamos usar Stunnel.

Configuración adicional del cliente

Algunos clientes no aceptan certificados autofirmados de forma predeterminada y requerirán configuraciones adicionales.

Por ejemplo, Lettuce es un cliente de Java popular para Redis. Su documentación proporciona un ejemplo para conectarse de forma nativa con TLS (consulta el ejemplo 47). Dado que Java Security Manager no permite certificados autofirmados de forma predeterminada, se debe especificar una opción adicional en la construcción del URI de Redis .withVerifyPeer(false).

Conéctate de forma segura a una instancia de Redis mediante Stunnel y Telnet

Si deseas obtener instrucciones para usar Stunnel para habilitar la encriptación en tránsito en un Cliente de Compute Engine, consulta Cómo conectarse de forma segura a una instancia de Redis con Stunnel y Telnet.

Administra la rotación de autoridades certificadas

Debes instalar todas las autoridades certificadas descargables en los clientes que accederán a la instancia de Redis.

Instalar la CA nueva, además de la CA anterior, una vez que esté disponible, es la forma más sencilla de garantizar que tienes la CA necesaria cuando se produzca el evento de rotación de autoridades certificadas.

Ejecuta el siguiente comando una vez que se ingrese una nueva autoridad certificada para ver el contenido de la CA nueva:

gcloud redis instances describe instance-id --region=region

A continuación, copia y pega la autoridad certificada más reciente en el archivo de tu cliente en el que guardaste la CA anterior.

El archivo debe tener el siguiente formato. No importa el orden de las CA:

Todo lo que necesitas hacer para asegurarte de tener la CA requerida es asegurarte de que las CA guardadas en el archivo del cliente coincidan con las que muestra gcloud redis instances describe. Después de que comienza un evento de rotación, hay varias CA para garantizar que haya tiempo suficiente para realizar las rotaciones con un tiempo de inactividad mínimo.

¿Qué sigue?

Lee la descripción general de la encriptación en tránsito.
Conoce la función AUTH de Redis en Memorystore para Redis.