転送中の暗号化を管理する

このページでは、Redis インスタンスの作成時に転送中の暗号化を有効にする方法と、インスタンスの転送中の暗号化を管理する方法について説明します。転送中の暗号化では、Transport Layer Security（TLS）プロトコルが使用されます。

転送中の暗号化の一般的な動作とメリットについては、転送中の暗号化をご覧ください。

このページの管理タスクの実行に必要な権限については、転送中の暗号化の権限をご覧ください。

転送中の暗号化は、Redis インスタンスを最初に作成するときにのみ有効にできます。このように作成されたインスタンスでは、転送中の暗号化は無効にできません。

転送中の暗号化を使用した Redis インスタンスの作成

Console

Redis インスタンスを作成する際に [転送中の暗号化を有効にする] を選択します。

gcloud

転送中の暗号化を使用した Redis インスタンスを作成するには、次のコマンドを入力します。また、variables は、適切な値に置き換えます。

gcloud redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

ここで

--transit-encryption-mode=SERVER_AUTHENTICATION により、インスタンスで転送中の暗号化が有効になります。

認証局のダウンロード

Console

Google Cloud コンソールで [Memorystore for Redis] ページに移動します。

Memorystore for Redis
インスタンス ID をクリックして、インスタンスの [インスタンスの詳細] ページを表示します。
[TLS サーバー証明書] の下にある [ダウンロード] ボタンまたは [すべてダウンロード] ボタンをクリックします。

gcloud

インスタンスで転送中の暗号化が有効の場合は、次のコマンドを実行すると、認証局の内容が表示されます。

gcloud redis instances describe instance-id --region=region

レスポンスの本文には、該当するすべての認証局が含まれます。Memorystore for Redis の認証局（CA）の例を次に示します。

Redis インスタンスにアクセスするクライアントに CA をインストールできるように、すべての CA を一時的にコピーして保存します。

クライアント側に認証局をインストールする

Redis インスタンスの認証局は、接続先のクライアントにインストールする必要があります。CA のインストールは、クライアントの種類によって異なります。次の手順では、Compute Engine Linux VM に CA をインストールする方法について説明します。

Compute Engine の Linux クライアントに SSH で接続します。
次のコマンドを実行して、クライアントで server_ca.pem というファイルを作成します。
```
sudo vim /tmp/server_ca.pem
```
認証局をダウンロードして、前の手順で作成した server_ca.pem ファイルに貼り付けます。

CA のテキストは、正しい形式になっている必要があります。
- -----BEGIN CERTIFICATE----- 行と -----END CERTIFICATE----- 行を含む認証局全体をコピーします。
- CA のテキストが、完全に左揃えになっていることを確認します。CA のいずれの行の先頭にもスペースが含まれていないようにする必要があります。

転送中暗号化用のクライアントの構成

Redis インスタンスへの接続に使用するクライアントは、TLS をサポートするか、サードパーティのサイドカーを使用して TLS を有効にする必要があります。

クライアントが TLS をサポートしている場合は、Redis インスタンスの IP（ポートは 6378）と認証局を含むファイルを指すように TLS を構成します。サイドカーを使用する場合は、stunnel の使用をおすすめします。

追加のクライアント構成

クライアントの中には、デフォルトでは自己署名証明書を受け入れず、追加構成を必要とするものがあります。

たとえば、よく使われている Redis 向けの Java クライアントの Lettuce などです。Lettuce のドキュメントでは、TLS でネイティブに接続する例が紹介されています（例 47 をご覧ください）。デフォルトでは、Java Security Manager が自己署名の証明書を許可しないため、Redis URI の構造 .withVerifyPeer(false) に追加のオプションを指定する必要があります。

stunnel と telnet を使用した Redis インスタンスへの安全な接続

stunnel を使用して Compute Engine クライアントで転送中の暗号化を有効にする手順については、stunnel と telnet を使用した Redis インスタンスへの安全な接続をご覧ください。

認証局のローテーションの管理

Redis インスタンスにアクセスするクライアントには、ダウンロード可能なすべての認証局をインストールする必要があります。

CA が使用可能になったら、以前の CA に加えてその新しい CA をインストールするのが、認証局のローテーションイベントが発生したときに必要な CA を所有していることを確実にする最も簡単な方法です。

新しい CA のコンテンツを表示するために新しい認証局が導入されたら、次のコマンドを実行します。

gcloud redis instances describe instance-id --region=region

次に、最新の認証局をコピーして、前の CA を保存したクライアント内のファイルに貼り付けます。

このファイルは次の形式にする必要があります。CA の順序は関係ありません。

必要な CA があることを確認するには、クライアントファイルに保存されている CA が gcloud redis instances describe で示される CA と一致していることを確認します。ローテーションイベントが開始されると、複数の CA により、最小限のダウンタイムでローテーションに十分な時間が確保されます。

次のステップ

転送中の暗号化の概要を確認する。
Memorystore for Redis の Redis AUTH 機能について確認する。