Sécuriser les connexions à l'aide de TLS

Cette page explique comment créer une instance Redis faisant appel au protocole TLS, et fournit des instructions sur les tâches requises pour gérer une instance Redis où TLS est activé.

Pour plus d'informations sur le comportement général et les avantages de TLS, consultez la page Chiffrement TLS.

Pour obtenir la liste des autorisations dont l'utilisateur a besoin pour effectuer les tâches de gestion sur cette page, consultez la section Autorisations TLS.

Créer une instance Redis avec TLS

Console

Sélectionnez Activer Transport Layer Security (TLS) lors de la création d'une instance Redis.

gcloud

Pour créer une instance Redis dotée de TLS, saisissez la commande suivante, en remplaçant variables par les valeurs appropriées :

gcloud beta redis instances create instance-id --transit-encryption-mode=SERVER_AUTHENTICATION --size=size --region=region-id

Où :

--transit-encryption-mode=SERVER_AUTHENTICATION active TLS sur votre instance.

Télécharger l'autorité de certification

Console

Accédez à la page Memorystore pour Redis dans Cloud Console.

Memorystore pour Redis
Affichez la page Détails de l'instance en cliquant sur votre ID d'instance.
Cliquez sur le bouton Télécharger ou Tout télécharger sous Certificat du serveur TLS.

gcloud

Si TLS est activé sur votre instance, le contenu de l'autorité de certification s'affiche lorsque vous exécutez la commande suivante :

gcloud beta redis instances describe instance-id --region=region

Le corps de la réponse inclura toutes les autorités de certification applicables. Voici un exemple d'autorité de certification (CA) pour Memorystore pour Redis:

Copiez et enregistrez temporairement toutes les autorités de certification afin de pouvoir les installer sur les clients accédant à l'instance Redis.

Installer une autorité de certification sur votre client

Vous devez installer l'autorité de certification de votre instance Redis sur le client connecté. L'installation de l'autorité de certification peut varier en fonction du type de client. Les étapes ci-dessous expliquent comment installer une autorité de certification sur une VM Compute Engine Linux.

Connectez-vous en SSH à votre client Linux Compute Engine. Ce client doit se trouver dans la même région que l'instance Redis pour pouvoir vous y connecter.
Créez un fichier nommé server_ca.pem sur votre client en exécutant la commande suivante :
```
sudo vim /tmp/server_ca.pem
```
Téléchargez l'autorité de certification et collez-la dans le fichier server_ca.pem créé précédemment.

Le format de l'autorité de certification doit être correct :
- Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
- Assurez-vous que le texte de l'autorité de certification est complètement justifié. Il ne doit pas y avoir d'espace devant une ligne de l'autorité de certification.

Configurer votre client pour TLS

Le client avec lequel vous vous connectez à l'instance Redis doit être compatible avec le protocole TLS ou utiliser un side-car tiers pour activer la compatibilité TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP de votre instance Redis, le port 6378 et le fichier contenant l'autorité de certification. Si vous choisissez d'utiliser un side-car, nous vous recommandons d'utiliser Stunnel.

Configuration supplémentaire du client

Certains clients n'acceptent pas les certificats autosignés par défaut et nécessitent une configuration supplémentaire.

Par exemple, Letuce est un client Java populaire pour Redis. La documentation de ce dernier fournit un exemple de connexion native à TLS (voir l'exemple 47). Étant donné que le gestionnaire de sécurité Java n'autorise pas par défaut les certificats autosignés, une option supplémentaire doit être spécifiée dans la construction de l'URI Redis .withVerifyPeer(false).

Se connecter en toute sécurité à une instance Redis à l'aide de Stunnel et de telnet

Pour obtenir des instructions sur l'utilisation de Stunnel afin d'activer le protocole TLS sur un client Compute Engine, consultez la section Se connecter en toute sécurité à une instance Redis à l'aide de Stunnel et de telnet.

Gérer la rotation de l'autorité de certification

Vous devez installer toutes les autorités de certification téléchargeables sur les clients accédant à l'instance Redis.

L'installation de la nouvelle autorité de certification, en plus de l'autorité de certification précédente une fois disponible, est le moyen le plus simple de vous assurer que vous disposez de l'autorité de certification nécessaire lorsque l'événement de rotation de l'autorité de certification se produit.

Une fois qu'une nouvelle autorité de certification a été ajoutée, exécutez la commande suivante pour afficher son contenu :

gcloud beta instances describe instance-id --region=region

Ensuite, copiez et collez l'autorité de certification la plus récente dans le fichier de votre client où vous avez enregistré l'autorité de certification précédente.

Le fichier doit respecter le format suivant : L'ordre des autorités de certification n'a pas d'importance :

Pour vous assurer que vous disposez de l'autorité de certification requise, vous devez vous assurer que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées par gcloud redis instances describe. Une fois qu'un événement de rotation a commencé, il existe plusieurs autorités de certification pour garantir un délai suffisant pour les rotations avec un temps d'arrêt minimal.

Étape suivante

Consultez la page Présentation du chiffrement TLS.
Découvrez la fonctionnalité Redis AUTH de Memorystore pour Redis.