此页面由 Cloud Translation API 翻译。

管理传输加密

本页介绍了如何为实例管理传输加密。

如需简要了解 Memorystore for Valkey 的传输加密，请参阅传输加密简介。

您只能在最初创建 Memorystore for Valkey 实例时才能启用传输加密。无法为以下对象停用传输加密以这种方式创建的实例。

创建使用传输加密的实例

控制台

请按照创建 Memorystore for Valkey 实例中的步骤操作。

gcloud

如需创建使用传输加密的 Valkey 实例，请运行 create 命令：

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

替换以下内容：

INSTANCE 是您目前运行的 Memorystore for Valkey 实例的 ID 。实例 ID 必须包含 1 到 63 个字符，并且只能使用小写字母字母、数字或连字符。并且必须以小写字母开头并以小写字母或数字结尾。
REGION_ID 是您希望实例放置的区域。
PROJECT_ID 是您要在其中创建项目的 ID 实例
NETWORK_ID 是您要用于创建的广告联盟的 ID 实例
REPLICA_COUNT 是您所需的副本数量（每个分片）。接受的值包括 0、1 和 2。
NODE_TYPE 是您选择的节点类型。接受的值包括：
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
如需详细了解节点类型和实例配置，请参阅实例和节点规范。
SHARD_COUNT 决定了实例。分片数决定了存储的总内存容量实例数据。如需详细了解实例规范，请参阅实例和节点规范。

例如：

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

下载证书授权机构

如果您的实例启用了传输加密，您会看到您在运行 get-certificate-authority 命令：

gcloud beta memorystore instances get-certificate-authority INSTANCE

替换以下内容：

INSTANCE 是 Memorystore for Valkey 实例的 ID。

响应正文包含所有适用证书的证书授权方。

在客户端上安装证书授权机构

您必须在连接的客户端。CA 安装可能因客户端类型而异。以下步骤介绍了如何在 Compute Engine Linux 虚拟机上安装 CA。

通过 SSH 连接到您的 Compute Engine Linux 客户端。
在客户端中创建一个名为 server_ca.pem 的文件：
```
sudo vim /tmp/server_ca.pem
```

下载证书授权机构，将其粘贴到之前创建的 server_ca.pem 文件中。

CA 文字必须采用正确的格式。您的 server_ca.pem 文件应如下所示：

如前面的示例所示，您的文件应遵循以下准则：

复制整个证书授权机构，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 在内。
请确保 CA 的文字完全靠左对齐。CA 所在行前面不应有空格。
每个证书授权机构应各占一行。无空白行应该存在于多个 CA 之间。

为传输加密配置客户端

您用于连接到实例的客户端必须支持 TLS，或者使用第三方 Sidecar 启用 TLS。

如果您的客户端支持传输层安全协议 (TLS)，请将其配置为指向您的 Valkey 实例的 IP，端口 6379 以及包含证书授权机构的文件。如果您选择使用 Sidecar，我们建议您使用安全通道。

使用 Stunnel 和 telnet 安全地连接到 Memorystore 实例

有关使用 Stunnel 在 Compute Engine 客户端，请参阅使用 Stunnel 和 telnet 安全地连接到 Memorystore 实例。

管理证书授权机构轮替

您应该安装所有可下载的访问您的实例的客户端上的证书授权机构。

在新 CA 变为旧 CA 之后，安装新 CA 是确保在执行下列操作时就会发生证书授权机构轮替事件

为了确保您拥有所需的 CA，您只需确保客户端文件中保存的 CA 与下载证书授权机构时显示的 CA 一致。在轮替期间，新 CA 和旧 CA 都处于活动状态，以确保停机时间最短。

连接到使用传输加密的实例的代码示例

如需查看与 Valkey 兼容的代码示例，了解如何设置客户端库以连接到使用传输中加密的实例，请参阅传输中加密客户端库代码示例。