Diese Seite wurde von der Cloud Translation API übersetzt.

Verschlüsselung während der Übertragung verwalten

Auf dieser Seite wird erläutert, wie Sie die Verschlüsselung während der Übertragung für Ihre Instanz verwalten.

Eine Übersicht über die Verschlüsselung während der Übertragung für Memorystore for Valkey finden Sie unter Verschlüsselung während der Übertragung.

Sie können die Verschlüsselung während der Übertragung nur aktivieren, wenn Sie Ihre Memorystore for Valkey-Instanz zum ersten Mal erstellen. Die Verschlüsselung während der Übertragung kann für auf diese Weise erstellte Instanzen nicht deaktiviert werden.

Instanz mit Verschlüsselung während der Übertragung erstellen

Console

Folgen Sie der Anleitung unter Memorystore for Valkey-Instanz erstellen.

gcloud

Führen Sie den Befehl create aus, um eine Valkey-Instanz mit Verschlüsselung während der Übertragung zu erstellen:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Ersetzen Sie Folgendes:

INSTANCE ist die ID der Memorystore for Valkey-Instanz, die Sie erstellen. Die Instanz-ID muss 1 bis 63 Zeichen lang sein und darf nur Kleinbuchstaben, Ziffern oder Bindestriche enthalten. Er muss mit einem Kleinbuchstaben beginnen und mit einem Kleinbuchstaben oder einer Ziffer enden.
REGION_ID ist die Region, in der die Instanz bereitgestellt werden soll.
PROJECT_ID ist die ID des Projekts, in dem Sie die Instanz erstellen möchten.
NETWORK_ID ist die ID des Netzwerks, mit dem Sie die Instanz erstellen möchten.
REPLICA_COUNT ist die gewünschte Anzahl von Replikaten (pro Shard). Zulässige Werte sind 0, 1 und 2.
NODE_TYPE ist der von Ihnen ausgewählte Knotentyp. Zulässige Werte:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Weitere Informationen zu Knotentypen und Instanzkonfigurationen finden Sie in der Instanz- und Knotenspezifikation.
SHARD_COUNT gibt die Anzahl der Shards in Ihrer Instanz an. Die Anzahl der Shards bestimmt die Gesamtspeicherkapazität für das Speichern von Instanzdaten. Weitere Informationen zur Instanzspezifikation finden Sie unter Instanz- und Knotenspezifikation.

Beispiel:

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Zertifizierungsstellen herunterladen

Wenn die Verschlüsselung während der Übertragung auf Ihrer Instanz aktiviert ist, sehen Sie bei Ausführung des Befehls get-certificate-authority die Zertifikate der Zertifizierungsstelle:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Ersetzen Sie Folgendes:

INSTANCE ist die ID Ihrer Memorystore for Valkey-Instanz.

Der Antworttext enthält Zertifikate für alle anwendbaren Zertifizierungsstellen.

Zertifizierungsstellen auf dem Client installieren

Sie müssen die Zertifizierungsstellen Ihrer Instanz auf dem verbindenden Client installieren. Die Installation der Zertifizierungsstelle kann je nach Clienttyp variieren. In folgenden Schritten wird erläutert, wie Sie eine Zertifizierungsstelle auf einer Compute Engine-Linux-VM installieren.

Stellen Sie eine SSH-Verbindung zu Ihrem Compute Engine-Linux-Client her.
Erstellen Sie in Ihrem Client eine Datei mit dem Namen server_ca.pem:
```
sudo vim /tmp/server_ca.pem
```

Laden Sie Zertifizierungsstellen herunter und fügen Sie sie in die zuvor erstellte server_ca.pem-Datei ein.

Der Text der Zertifizierungsstellen muss korrekt formatiert sein. Ihre server_ca.pem-Datei sollte in etwa so aussehen:

Ihre Datei sollte wie im vorherigen Beispiel die folgenden Richtlinien einhalten:

Kopieren Sie die gesamte Zertifizierungsstelle, einschließlich der Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.
Der Text der Zertifizierungsstellen muss vollständig linksbündig sein. Vor Zertifizierungsstellenzeilen dürfen keine Leerzeichen stehen.
Jede Zertifizierungsstelle sollte in einer neuen Zeile hinzugefügt werden. Zwischen den Zertifizierungsstellen dürfen keine leeren Zeilen vorhanden sein.

Client für die Verschlüsselung während der Übertragung konfigurieren

Der Client, mit dem Sie eine Verbindung zur Instanz herstellen, muss TLS unterstützen oder eine Sidecar-Datei von einem Drittanbieter verwenden, um TLS zu aktivieren.

Wenn Ihr Client TLS unterstützt, konfigurieren Sie ihn so, dass er auf die IP-Adresse Ihrer Valkey-Instanz, Port 6379 und die Datei mit der Zertifizierungsstelle verweist. Wenn Sie sich für eine Sidecar-Datei entscheiden, empfehlen wir die Verwendung von Stunnel.

Sichere Verbindung zu einer Memorystore-Instanz über Stunnel und Telnet herstellen

Eine Anleitung für die Verwendung von Stunnel zur Aktivierung der Verschlüsselung während der Übertragung auf einem Compute Engine-Client finden Sie unter Sichere Verbindung zu einer Memorystore-Instanz über Stunnel und Telnet herstellen.

Rotation der Zertifizierungsstelle verwalten

Sie sollten alle herunterladbaren Zertifizierungsstellen auf Clients installieren, die auf Ihre Instanz zugreifen.

Die Installation neuer Zertifizierungsstellen zusätzlich zu den vorherigen Zertifizierungsstellen, sobald sie verfügbar sind, ist die einfachste Möglichkeit, sicherzustellen, dass die erforderlichen Zertifizierungsstellen bei einer Zertifizierungsstellen-Rotation vorhanden sind.

Um sicher zu stellen, dass Sie über die erforderliche Zertifizierungsstelle verfügen, müssen Sie nur prüfen, ob die in Ihrer Clientdatei gespeicherten Zertifizierungsstellen mit den beim Herunterladen von Zertifizierungsstellen angezeigten übereinstimmen. Sowohl neue als auch alte Zertifizierungsstellen sind während der Rotation aktiv, um die Ausfallzeit zu minimieren.

Codebeispiel für die Verbindung zu einer Instanz mit Verschlüsselung während der Übertragung

Ein Valkey-kompatibles Codebeispiel zum Einrichten einer Clientbibliothek für die Verbindung zu einer Instanz mit clientseitiger Verschlüsselung finden Sie unter Codebeispiel für die clientseitige Verschlüsselung.