Mengelola enkripsi saat transit

Halaman ini menjelaskan cara mengaktifkan enkripsi dalam transit selama pembuatan instance Redis, dan cara mengelola enkripsi dalam transit untuk instance tersebut. Enkripsi selama pengiriman menggunakan protokol Transport Layer Security (TLS).

Untuk mendapatkan informasi tentang perilaku umum dan manfaat penggunaan enkripsi dalam transit, lihat Enkripsi selama transit.

Untuk daftar izin yang diperlukan pengguna untuk melakukan tugas pengelolaan di halaman ini, lihat Izin enkripsi selama perjalanan.

Anda hanya dapat mengaktifkan enkripsi dalam transit saat pertama kali membuat instance Redis. Enkripsi selama transportasi umum tidak dapat dinonaktifkan untuk instance yang dibuat dengan cara ini.

Membuat instance Redis dengan enkripsi saat transit

Konsol

Pilih Aktifkan enkripsi dalam transit saat Membuat instance Redis.

gcloud

Untuk membuat instance Redis yang memiliki enkripsi saat transit, masukkan perintah berikut, dan ganti variables dengan nilai yang sesuai:

gcloud redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

Dengan keterangan:

  • --transit-encryption-mode=SERVER_AUTHENTICATION memungkinkan enkripsi saat transit untuk instance Anda.

Mengunduh Certificate Authority

Konsol

  1. Buka halaman Memorystore for Redis di Konsol Google Cloud.

    Memorystore for Redis

  2. Lihat halaman Detail instance instance dengan mengklik ID Instance.

  3. Klik tombol Download atau Download Semua di bagian sertifikat server TLS.

gcloud

Jika enkripsi selama perjalanan diaktifkan pada instance, Anda akan melihat konten Certificate Authority saat menjalankan perintah berikut:

gcloud redis instances describe instance-id --region=region

Isi respons akan menyertakan semua Certificate Authority yang berlaku. Berikut adalah contoh Certificate Authority (CA) untuk Memorystore for Redis:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Salin dan simpan semua CA untuk sementara sehingga Anda dapat menginstalnya pada klien yang mengakses instance Redis.

Menginstal Certificate Authority pada klien Anda

Anda harus menginstal Certificate Authority instance Redis Anda pada klien yang terhubung. Penginstalan CA dapat bervariasi tergantung pada jenis klien. Langkah-langkah berikut menjelaskan cara menginstal CA di VM Compute Engine Linux.

  1. Terhubung dengan SSH ke klien Compute Engine Linux Anda.

  2. Buat file bernama server_ca.pem di klien Anda dengan menjalankan perintah berikut:

    sudo vim /tmp/server_ca.pem

  3. Download Certificate Authority dan tempelkan ke file server_ca.pem yang dibuat sebelumnya.

    Format teks CA harus benar:

    • Salin seluruh Certificate Authority termasuk baris -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE-----.
    • Pastikan bahwa teks CA benar-benar kiri kanan. Tidak boleh ada spasi di depan baris CA mana pun.

Mengonfigurasi klien Anda untuk enkripsi saat transit

Klien yang Anda gunakan untuk terhubung ke instance Redis harus mendukung TLS atau menggunakan bantuan pihak ketiga untuk mengaktifkan TLS.

Jika klien Anda mendukung TLS, konfigurasikan agar mengarah ke IP instance Redis, port 6378, dan file yang berisi Certificate Authority. Jika Anda memilih untuk menggunakan file bantuan, sebaiknya gunakan Stunnel.

Konfigurasi klien tambahan

Beberapa klien tidak menerima sertifikat yang ditandatangani sendiri secara default dan akan memerlukan konfigurasi tambahan.

Misalnya, Lettuce adalah klien Java yang populer untuk Redis. Dokumentasi mereka memberikan contoh untuk menghubungkan secara native dengan TLS (lihat Contoh 47). Mengingat bahwa Java Security Manager tidak mengizinkan sertifikat yang ditandatangani sendiri secara default, opsi tambahan harus ditentukan dalam .withVerifyPeer(false) konstruksi URI Redis.

Menghubungkan ke instance Redis dengan aman menggunakan Stunnel dan telnet

Untuk mengetahui petunjuk cara menggunakan Stunnel guna mengaktifkan enkripsi dalam transit pada klien Compute Engine, lihat Menghubungkan ke instance Redis dengan aman menggunakan Stunnel dan telnet.

Mengelola rotasi Certificate Authority

Anda harus menginstal semua Certificate Authority yang dapat didownload pada klien yang mengakses instance Redis.

Menginstal CA baru, selain CA sebelumnya, setelah CA tersedia adalah bentuk paling sederhana untuk memastikan bahwa Anda memiliki CA yang diperlukan saat peristiwa rotasi Certificate Authority terjadi.

Jalankan perintah berikut setelah Certificate Authority baru diperkenalkan untuk melihat konten CA baru tersebut:

gcloud redis instances describe instance-id --region=region

Selanjutnya, salin dan tempel Certificate Authority terbaru ke file di klien tempat Anda menyimpan CA sebelumnya.

File harus menggunakan format berikut. Urutan CA tidak menjadi masalah:

-----BEGIN CERTIFICATE-----
MIIDnTCCAoWgAwIBAgIBADANBgkqhkiG9w0BAQsFADCBhTEtMCsGA1UELhMkNzYx
NTc4OGMtMTI2Yi00Nzk0LWI2MWMtY2YxOWE2Y2Y1ZjNiMTEwLwYDVQQDEyhHb29n
bGUgQ2xvdWQgTWVtb3J5c3RvcmUgUmVkaXMgU2VydmVyIENBMRQwEgYDVQQKEwtH
b29nbGUsIEluYzELMAkGA1UEBhMCVVMwHhcNMjAwOTE3MjEzNDE1WhcNMzAwOTE1
MjEzNTE1WjCBhTEtMCsGA1UELhMkNzYxNTc4OGMtMTI2Yi00Nzk0LWI2MWMtY2Yx
OWE2Y2Y1ZjNiMTEwLwYDVQQDEyhHb29nbGUgQ2xvdWQgTWVtb3J5c3RvcmUgUmVk
aXMgU2VydmVyIENBMRQwEgYDVQQKEwtHb29nbGUsIEluYzELMAkGA1UEBhMCVVMw
ggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCyDKmDHZm6tzMhNtKOnp8H
8+zTv1qA6OkBToVqCjKTTMGO18ovNtAAMjbGvclLuJNLbA2WTTWVttHen6Cn82h0
3gG9HMk9AwK1cVT7gW072h++TRsYddIRlwnSweRWL8jUX+PNt7CjFqH+sma/Hb1m
CktHdBOa897JiYHrMVNTcpS8SFwwz05yHUTEVGlHdkvlaJXfHLe6keCMABLyjaMh
1Jl4gZI2WqLMV680pJusK6FI6q/NmqENFc9ywMEg395lHTK9w9e014WIXg0q7sU3
84ChVVS2yYOMEUWeov4Qx6XeVfA4ss5t7OCqsMQkvslkE90mJZcVvhBj3QvTH9Rz
AgMBAAGjFjAUMBIGA1UdEwEB/wQIMAYBAf8CAQAwDQYJKoZIhvcNAQELBQADggEB
AJkn+MDE4V10DZn4uEc0s0Mg4FEMC1fDewmDYwSNnxRlzfEi+wAX2AaqrJ4m4Qa7
xIyuSYxArEOY6QeyJyw7/06dom8aAv4aO2p8hE04Ih6QwaTMFIlT2Jf6TidVd3eT
wfjwFJVoJ+dgxsaCv2uMFZWee5aRHmKzj9LhqPwpWnTs9Q/qmOheUNoe2/1i8yvn
662M7RZMR7fZH6ETsdz5w1nPXXiRqJ7K0EGKoPNjMlYK3/U1X3sazI4tpMNgTdxG
rnNh9Sd9REMBmDCPj9dUI9k4hQX4yQZp96fnLT6cet22OPajEKnpzyqJs1s4iX/g
lEtWs4V/YBhKA56CW6ASZS8=
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Yang perlu Anda lakukan untuk memastikan bahwa Anda memiliki CA yang diperlukan adalah memastikan bahwa CA yang disimpan dalam file klien Anda cocok dengan yang ditampilkan oleh gcloud redis instances describe. Setelah peristiwa rotasi dimulai, ada beberapa CA guna memastikan cukup waktu untuk rotasi dengan periode nonaktif yang minimal.

Langkah selanjutnya