Questa pagina è stata tradotta dall'API Cloud Translation.

Gestire la crittografia dei dati in transito

Questa pagina spiega come gestire la crittografia dei dati in transito per la tua istanza.

Per una panoramica della crittografia dei dati in transito per Memorystore for Valkey, consulta Informazioni sulla crittografia dei dati in transito.

Puoi abilitare la crittografia dei dati in transito solo quando crei inizialmente il tuo Memorystore for Valkey istanza. La crittografia in transito non può essere disattivata per le istanze create in questo modo.

Crea un'istanza con crittografia in transito

Console

Segui i passaggi descritti in Creare un'istanza Memorystore for Valkey.

gcloud

Per creare un'istanza Valkey con crittografia in transito, esegui il comando create:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Sostituisci quanto segue:

INSTANCE è l'ID dell'istanza Memorystore for Valkey che stai è in fase di creazione. L'ID istanza deve contenere da 1 a 63 caratteri e utilizzare solo lettere minuscole, numeri o trattini. Deve iniziare con una lettera minuscola e terminare con una lettera minuscola o un numero.
REGION_ID è la regione in cui vuoi posizionare l'istanza.
PROJECT_ID è l'ID del progetto in cui vuoi creare la tua istanza.
NETWORK_ID è l'ID della rete che vuoi utilizzare per creare la tua istanza.
REPLICA_COUNT è il numero di repliche desiderato (per shard). I valori accettati sono 0, 1 e 2.
NODE_TYPE è il tipo di nodo che hai scelto. I valori accettati sono:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Per ulteriori dettagli sui tipi di nodi e sulle configurazioni delle istanze, consulta la specifica delle istanze e dei nodi.
SHARD_COUNT determina il numero di shard nell'istanza. Il numero di shard determina la capacità di memoria totale per l'archiviazione dei dati dell'istanza. Per ulteriori dettagli sulla specifica dell'istanza, consulta Specifiche di istanze e nodi.

Ad esempio:

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Scarica le autorità di certificazione

Se la crittografia dei dati in transito è abilitata nell'istanza, vedrai i certificati di l'autorità di certificazione quando esegui Comando get-certificate-authority:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Sostituisci quanto segue:

INSTANCE è l'ID dell'istanza Memorystore for Valkey.

Il corpo della risposta include i certificati per tutte le autorità di certificazione applicabili.

Installa le autorità di certificazione sul client

Devi installare le autorità di certificazione dell'istanza sulla di alto profilo. L'installazione di CA può variare in base al tipo di client. I passaggi che seguono spiegare come installare una CA su una VM Linux di Compute Engine.

Connettiti tramite SSH al client Linux di Compute Engine.
Crea un file denominato server_ca.pem nel client:
```
sudo vim /tmp/server_ca.pem
```

Scarica le autorità di certificazione e incollali nel file server_ca.pem creato in precedenza.

Il testo delle CA deve essere formattato correttamente. Il file server_ca.pem dovrebbe avere il seguente aspetto:

Il tuo file, come mostrato nell'esempio precedente, deve utilizzare il seguente codice linee guida:

Copia l'intera autorità di certificazione, incluse le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Assicurati che il testo delle CA sia completamente giustificato a sinistra. Là non devono essere spazi prima delle righe delle CA.
Ogni autorità di certificazione deve essere aggiunta in una nuova riga. Non inserire righe vuote tra le CA.

Configurare il client per la crittografia in transito

Il client che utilizzi per connetterti all'istanza deve supportare TLS o utilizzare una di terze parti per attivare TLS.

Se il client supporta TLS, configuralo in modo che indichi l'IP e la porta 6379 dell'istanza Valkey e il file contenente l'autorità di certificazione. Se scegli di utilizzare un file collaterale, consigliamo di utilizzare Stunnel.

Connettiti in modo sicuro a un'istanza Memorystore utilizzando Stunnel e telnet

Per istruzioni su come utilizzare Stunnel per attivare la crittografia dei dati in transito su una Per il client Compute Engine, vedi Connettersi in modo sicuro a un'istanza Memorystore utilizzando Stunnel e telnet.

Gestisci la rotazione dell'autorità di certificazione

Devi installare tutte le autorità di certificazione scaricabili sui client che accedono alla tua istanza.

L'installazione delle nuove CA, oltre a quelle precedenti, non appena diventano disponibili è la forma più semplice per assicurarti di disporre delle CA necessarie quando si verifica l'evento di rotazione delle autorità di certificazione.

Per assicurarti di disporre dell'autorità di certificazione richiesta, devi solo verificare che le autorità di certificazione salvate nel file del client corrispondano a quelle mostrate durante il download delle autorità di certificazione. Sia le CA nuove sia quelle precedenti sono attive durante la rotazione per garantire un tempo di inattività minimo.

Esempio di codice per la connessione a un'istanza che utilizza la crittografia dei dati in transito

Per visualizzare un esempio di codice compatibile con Valkey su come configurare una libreria client per la connessione a un che utilizza la crittografia dei dati in transito, vedi Esempio di codice della libreria client di crittografia in transito.