此页面由 Cloud Translation API 翻译。

管理传输加密

本页介绍了如何为实例管理传输加密。

如需简要了解 Memorystore for Valkey 的传输加密，请参阅传输加密简介。

您只能在最初创建 Memorystore for Valkey 实例时才能启用传输加密。通过这种方式创建的实例不能停用传输加密。

创建使用传输加密的实例

控制台

请按照创建 Memorystore for Valkey 实例中的步骤操作。

gcloud

如需创建使用传输加密的 Valkey 实例，请运行 create 命令：

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

替换以下内容：

INSTANCE 是您要创建的 Memorystore for Valkey 实例的 ID。实例 ID 必须介于 1 到 63 个字符之间，且只能使用小写字母、数字或连字符。并且必须以小写字母开头并以小写字母或数字结尾。
REGION_ID 是您希望实例放置的区域。
PROJECT_ID 是您要在其中创建实例的项目的 ID。
NETWORK_ID 是您要用于创建实例的网络的 ID。
REPLICA_COUNT 是您所需的副本数量（每个分片）。接受的值包括 0、1 和 2。
NODE_TYPE 是您选择的节点类型。接受的值包括：
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
如需详细了解节点类型和实例配置，请参阅实例和节点规范。
SHARD_COUNT 用于确定实例中的分片数量。分片数量决定了存储实例数据的总内存容量。如需详细了解实例规范，请参阅实例和节点规范。

例如：

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

下载证书授权机构

如果您的实例上已启用传输加密，则在您运行 get-certificate-authority 命令时会看到证书授权机构的证书：

gcloud beta memorystore instances get-certificate-authority INSTANCE

替换以下内容：

INSTANCE 是 Memorystore for Valkey 实例的 ID。

响应正文包含所有适用的证书授权机构的证书。

在客户端上安装证书授权机构

您必须在用于连接的客户端上安装实例的证书授权机构。CA 安装可能因客户端类型而异。以下步骤介绍了如何在 Compute Engine Linux 虚拟机上安装 CA。

通过 SSH 连接到您的 Compute Engine Linux 客户端。
在客户端中创建一个名为 server_ca.pem 的文件：
```
sudo vim /tmp/server_ca.pem
```

下载证书授权机构，将其粘贴到之前创建的 server_ca.pem 文件中。

CA 文字必须采用正确的格式。您的 server_ca.pem 文件应如下所示：

如前面的示例所示，您的文件应遵循以下准则：

复制整个证书授权机构，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 在内。
请确保 CA 的文字完全靠左对齐。CA 所在行前面不应有空格。
每个证书授权机构都应另起一行添加。CA 之间不应有空行。

为传输加密配置客户端

您用于连接到实例的客户端必须支持 TLS，或者使用第三方 Sidecar 启用 TLS。

如果您的客户端支持 TLS，请将其配置为指向您的 Valkey 实例的 IP 地址、端口 6379 和包含证书授权机构的文件。如果您选择使用 Sidecar，我们建议您使用安全通道。

使用安全通道和 telnet 安全地连接到 Memorystore 实例

如需了解如何使用安全通道在 Compute Engine 客户端上启用传输加密，请参阅使用安全通道和 telnet 安全地连接到 Memorystore 实例。

管理证书授权机构轮替

您应在访问实例的客户端上安装所有可下载的证书授权机构。

在不卸载原有 CA 的情况下安装新 CA 是最简便的方法，可确保在发生证书授权机构轮替事件时拥有必要的 CA。

要确保拥有所需 CA，您需要确保已将在客户端文件中保存的 CA 与下载证书颁发机构时显示的 CA 匹配。在轮替期间，新 CA 和旧 CA 都处于活动状态，以确保停机时间最短。

用于连接到使用传输加密的实例的代码示例

如需查看与 Valkey 兼容的代码示例，了解如何设置客户端库以连接到使用传输中加密的实例，请参阅传输中加密客户端库代码示例。