Cette page a été traduite par l'API Cloud Translation.

Gérer le chiffrement en transit

Cette page explique comment gérer le chiffrement en transit pour votre instance.

Pour en savoir plus sur le chiffrement en transit dans Memorystore pour Valkey, consultez l'article À propos du chiffrement en transit.

Vous ne pouvez activer le chiffrement en transit que lors de la création initiale de l'instance Memorystore pour Valkey. Le chiffrement en transit ne peut pas être désactivé pour créées de cette manière.

Créer une instance avec chiffrement en transit

Console

Suivez la procédure décrite dans Créer une instance Memorystore pour Valkey.

gcloud

Pour créer une instance Valkey avec chiffrement en transit, exécutez la commande create commande:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Remplacez les éléments suivants :

INSTANCE est l'ID de l'instance Memorystore pour Valkey que vous créer. L'ID de l'instance doit comporter entre 1 et 63 caractères et ne contenir que des lettres minuscules, des chiffres ou des traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID est la région dans laquelle vous souhaitez placer l'instance.
PROJECT_ID est l'ID du projet dans lequel vous souhaitez créer le projet ; votre instance.
NETWORK_ID est l'ID du réseau que vous souhaitez utiliser pour créer votre instance.
REPLICA_COUNT correspond au nombre d'instances dupliquées souhaitées (par segment). Les valeurs acceptées sont 0, 1 et 2.
NODE_TYPE correspond au type de nœud choisi. Les valeurs acceptées sont les suivantes:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Pour en savoir plus sur les types de nœuds et les configurations d'instances, consultez la section Spécification des instances et des nœuds.
SHARD_COUNT détermine le nombre de segments dans votre instance. Le nombre de fragments détermine la capacité de mémoire totale pour stocker les données d'instance. Pour en savoir plus sur la spécification des instances, consultez Spécification des instances et des nœuds.

Exemple :

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Télécharger les autorités de certification

Si le chiffrement en transit est activé sur votre instance, les certificats de l'autorité de certification lorsque vous exécutez Commande get-certificate-authority:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Remplacez les éléments suivants :

INSTANCE est l'ID de votre instance Memorystore pour Valkey.

Le corps de la réponse inclut les certificats de toutes les autorités de certification concernées.

Installer des autorités de certification sur votre client

Vous devez installer les autorités de certification de votre instance sur le client. L'installation de l'autorité de certification peut varier en fonction du type de client. Procédure à suivre expliquer comment installer une autorité de certification sur une VM Linux Compute Engine.

Connectez-vous en SSH à votre client Linux Compute Engine.
Créez un fichier nommé server_ca.pem dans votre client:
```
sudo vim /tmp/server_ca.pem
```

Télécharger les autorités de certification et les coller dans le fichier server_ca.pem créé précédemment.

Le texte des autorités de certification doit être au bon format. Votre fichier server_ca.pem devrait se présenter comme suit :

Comme dans l'exemple précédent, votre fichier doit utiliser le code suivant : consignes:

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est entièrement justifié à gauche. Vous ne devez pas laisser d'espace devant une ligne des autorités de certification.
Chaque autorité de certification doit être ajoutée sur une nouvelle ligne. Aucune ligne vide entre les autorités de certification.

Configurer votre client pour le chiffrement en transit

Le client que vous utilisez pour vous connecter à l'instance doit prendre en charge le protocole TLS ou utiliser un un side-car tiers pour activer TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6379 et le fichier contenant l'autorité de certification de votre instance Valkey. Si vous choisissez Si vous utilisez un side-car, nous vous recommandons d'utiliser Stunnel.

Se connecter de façon sécurisée à une instance Memorystore à l'aide de Stunnel et telnet

Pour savoir comment utiliser Stunnel afin d'activer le chiffrement en transit sur un Client Compute Engine, consultez la page Se connecter en toute sécurité à une instance Memorystore à l'aide de Stunnel et telnet.

Gérer la rotation des autorités de certification

Vous devez installer tous les fichiers téléchargeables Autorités de certification sur les clients accédant à votre instance

L'installation des nouvelles autorités de certification, en plus des autorités de certification précédentes, une fois qu'elles sont disponibles, est le moyen le plus simple de vous assurer que vous disposez des autorités de certification nécessaires lorsque l'événement de rotation de l'autorité de certification se produit.

Pour vous assurer que vous disposez de l'autorité de certification requise, il vous suffit de vérifier que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées lors du téléchargement des autorités de certification. Les nouvelles et les anciennes autorités de certification sont actives pendant la rotation afin de minimiser les temps d'arrêt.

Exemple de code pour se connecter à une instance qui utilise le chiffrement en transit

Pour consulter un exemple de code compatible avec Valkey expliquant comment configurer une bibliothèque cliente pour se connecter à une instance qui utilise le chiffrement en transit, consultez Exemple de code de bibliothèque cliente de chiffrement en transit.