Esta página foi traduzida pela API Cloud Translation.

Gerenciar a criptografia em trânsito

Esta página explica como gerenciar a criptografia em trânsito para sua instância.

Para ter uma visão geral da criptografia em trânsito do Memorystore para Valkey, consulte Sobre a criptografia em trânsito.

Só é possível ativar a criptografia em trânsito quando você cria a instância do Memorystore para Valkey. A criptografia em trânsito não pode ser desativada para instâncias criadas dessa forma.

Criar uma instância com criptografia em trânsito

Console

Siga as etapas em Criar uma instância do Memorystore para Valkey.

gcloud

Para criar uma instância da Valkey com criptografia em trânsito, execute o comando create:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Substitua:

INSTANCE é o ID da instância do Memorystore para Valkey que você está criando. O ID da instância precisa ter de 1 a 63 caracteres e usar apenas letras minúsculas, números ou hifens. Ele precisa começar com uma letra minúscula e terminar com uma letra minúscula ou um número.
REGION_ID é a região em que você quer colocar a instância.
PROJECT_ID é o ID do projeto em que você quer criar a instância.
NETWORK_ID é o ID da rede que você quer usar para criar a instância.
REPLICA_COUNT é o número desejado de réplicas (por fragmento). Os valores aceitos são 0, 1 e 2.
NODE_TYPE é o tipo de nó escolhido. Os valores aceitos são:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Para mais detalhes sobre tipos de nós e configurações de instância, consulte Especificação de instâncias e nós.
SHARD_COUNT determina o número de fragmentos na sua instância. A contagem de fragmentos determina a capacidade total de memória para armazenar dados de instância. Para mais detalhes sobre a especificação da instância, consulte Especificação de instância e de nó.

Exemplo:

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Fazer o download das autoridades certificadoras

Se a criptografia em trânsito estiver ativada na sua instância, você vai encontrar os certificados da autoridade de certificação ao executar o comando get-certificate-authority:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Substitua:

INSTANCE é o ID da instância do Memorystore para Valkey.

O corpo da resposta inclui certificados para todas as autoridades de certificação aplicáveis.

Instalar autoridades certificadoras no cliente

Você precisa instalar as autoridades de certificação da sua instância no cliente conectado. A instalação de CA pode variar dependendo do tipo de cliente. As etapas abaixo explicam como instalar uma AC em uma VM do Compute Engine Linux.

Conecte-se com SSH ao seu cliente Linux no Compute Engine.
Crie um arquivo chamado server_ca.pem no cliente:
```
sudo vim /tmp/server_ca.pem
```

Faça o download das autoridades certificadoras e cole-as no arquivo server_ca.pem criado anteriormente.

O texto das ACs precisa ser formatado corretamente. O arquivo server_ca.pem vai ficar assim:

Seu arquivo, como mostrado no exemplo anterior, precisa usar as seguintes diretrizes:

Copie toda a autoridade de certificação, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Verifique se o texto das ACs está totalmente justificado. Não deve haver espaços na frente de qualquer linha das ACs.
Cada autoridade certificadora precisa ser adicionada em uma nova linha. Não deve haver linhas em branco entre as CAs.

Configurar o cliente para criptografia em trânsito

O cliente usado para se conectar à instância precisa oferecer suporte a TLS ou usar um sidecar de terceiros para ativar o TLS.

Se o cliente for compatível com TLS, configure-o para apontar para o IP, a porta 6379 e o arquivo que contém a autoridade de certificação da instância do Valkey. Se você optar por usar um arquivo secundário, recomendamos usar o Stunnel.

Conectar-se com segurança a uma instância do Memorystore usando stunnel e telnet

Para instruções sobre como usar o Stunnel para ativar a criptografia em trânsito em um cliente do Compute Engine, consulte Como se conectar a uma instância do Memorystore com segurança usando o stunnel e o telnet.

Gerenciar a rotação da autoridade certificadora

É necessário instalar todas as autoridades de certificação transferíveis para download nos clientes que acessam sua instância.

Instalar as novas ACs, além das anteriores, quando elas estiverem disponíveis é a forma mais simples de garantir que você tenha as ACs necessárias quando o evento de rotação da Autoridade de certificação ocorrer.

Tudo que você precisa fazer para garantir que a CA necessária seja garantir que as CAs salvas no seu arquivo cliente correspondam às mostradas ao fazer o download das autoridades certificadoras. As ACs novas e antigas ficam ativas durante a rotação para garantir o mínimo de inatividade.

Exemplo de código para se conectar a uma instância que usa criptografia em trânsito

Para conferir um exemplo de código compatível com Valkey sobre como configurar uma biblioteca de cliente para se conectar a uma instância que usa criptografia em trânsito, consulte Exemplo de código da biblioteca de cliente de criptografia em trânsito.