Cette page a été traduite par l'API Cloud Translation.

Gérer le chiffrement en transit

Cette page explique comment gérer le chiffrement en transit pour votre instance.

Pour en savoir plus sur le chiffrement en transit pour Memorystore pour Valkey, consultez la page À propos du chiffrement en transit.

Vous ne pouvez activer le chiffrement en transit que lors de la création initiale de l'instance Memorystore pour Valkey. Il n'est pas possible de désactiver le chiffrement en transit pour les instances créées de cette manière.

Créer une instance avec chiffrement en transit

Console

Suivez la procédure décrite dans Créer une instance Memorystore pour Valkey.

gcloud

Pour créer une instance Valkey avec chiffrement en transit, exécutez la commande create:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Remplacez les éléments suivants :

INSTANCE est l'ID de l'instance Memorystore pour Valkey que vous créez. L'ID de l'instance doit comporter entre 1 et 63 caractères et ne contenir que des lettres minuscules, des chiffres ou des traits d'union. Il doit commencer par une lettre minuscule et se terminer par une lettre minuscule ou un chiffre.
REGION_ID est la région dans laquelle vous souhaitez placer l'instance.
PROJECT_ID correspond à l'ID du projet dans lequel vous souhaitez créer votre instance.
NETWORK_ID est l'ID du réseau que vous souhaitez utiliser pour créer votre instance.
REPLICA_COUNT correspond au nombre d'instances dupliquées souhaitées (par segment). Les valeurs acceptées sont 0, 1 et 2.
NODE_TYPE correspond au type de nœud choisi. Voici les valeurs acceptées:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Pour en savoir plus sur les types de nœuds et les configurations d'instances, consultez la section Spécification des instances et des nœuds.
SHARD_COUNT détermine le nombre de segments dans votre instance. Le nombre de fragments détermine la capacité de mémoire totale pour stocker les données d'instance. Pour en savoir plus sur la spécification des instances, consultez la section Spécification des instances et des nœuds.

Exemple :

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Télécharger les autorités de certification

Si le chiffrement en transit est activé sur votre instance, les certificats de l'autorité de certification s'affichent lorsque vous exécutez la commande get-certificate-authority:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Remplacez les éléments suivants :

INSTANCE est l'ID de votre instance Memorystore pour Valkey.

Le corps de la réponse inclut les certificats de toutes les autorités de certification concernées.

Installer des autorités de certification sur votre client

Vous devez installer les autorités de certification de votre instance sur le client qui se connecte. L'installation de l'autorité de certification peut varier en fonction du type de client. La procédure ci-dessous explique comment installer une autorité de certification sur une VM Linux Compute Engine.

Connectez-vous en SSH à votre client Linux Compute Engine.
Créez un fichier nommé server_ca.pem dans votre client:
```
sudo vim /tmp/server_ca.pem
```

Téléchargez les autorités de certification et collez-les dans le fichier server_ca.pem précédemment créé.

Le format des autorités de certification doit être correct. Votre fichier server_ca.pem devrait se présenter comme suit:

Comme indiqué dans l'exemple précédent, votre fichier doit respecter les consignes suivantes:

Copiez l'intégralité de l'autorité de certification, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
Assurez-vous que le texte des autorités de certification est complètement justifié à gauche. Vous ne devez pas laisser d'espace devant une ligne des autorités de certification.
Chaque autorité de certification doit être ajoutée sur une nouvelle ligne. Aucune ligne vide ne doit exister entre les autorités de certification.

Configurer le client pour le chiffrement en transit

Le client que vous utilisez pour vous connecter à l'instance doit être compatible avec TLS ou utiliser un side-car tiers pour activer TLS.

Si votre client est compatible avec le protocole TLS, configurez-le pour qu'il pointe vers l'adresse IP, le port 6379 et le fichier contenant l'autorité de certification de votre instance Valkey. Si vous choisissez d'utiliser un side-car, nous vous recommandons d'utiliser Stunnel.

Se connecter en toute sécurité à une instance Memorystore à l'aide de Stunnel et Telnet

Pour obtenir des instructions sur l'utilisation de Stunnel afin d'activer le chiffrement en transit sur un client Compute Engine, consultez la section Se connecter en toute sécurité à une instance Memorystore à l'aide de Stunnel et Telnet.

Gérer la rotation des autorités de certification

Vous devez installer toutes les autorités de certification téléchargeables sur les clients accédant à votre instance.

L'installation des nouvelles autorités de certification, en plus des autorités de certification précédentes, une fois qu'elles sont disponibles, est le moyen le plus simple de vous assurer que vous disposez des autorités de certification nécessaires lorsque l'événement de rotation de l'autorité de certification se produit.

Pour vous assurer que vous disposez de l'autorité de certification requise, il vous suffit de vérifier que les autorités de certification enregistrées dans votre fichier client correspondent à celles affichées lors du téléchargement des autorités de certification. Les nouvelles et anciennes autorités de certification sont actives pendant la rotation afin de minimiser les temps d'arrêt.

Exemple de code pour se connecter à une instance qui utilise le chiffrement en transit

Pour consulter un exemple de code compatible avec Valkey expliquant comment configurer une bibliothèque cliente pour se connecter à une instance qui utilise le chiffrement en transit, consultez Exemple de code de bibliothèque cliente de chiffrement en transit.