Halaman ini diterjemahkan oleh Cloud Translation API.

Mengelola enkripsi saat transit

Halaman ini menjelaskan cara mengelola enkripsi dalam transit untuk instance Anda.

Untuk ringkasan enkripsi dalam transit untuk Memorystore for Valkey, lihat Tentang enkripsi dalam transit.

Anda hanya dapat mengaktifkan enkripsi saat transit saat pertama kali membuat instance Memorystore untuk Valkey. Enkripsi saat transit tidak dapat dinonaktifkan untuk instance yang dibuat dengan cara ini.

Membuat instance dengan enkripsi saat transit

Konsol

Ikuti langkah-langkah di Membuat instance Memorystore for Valkey.

gcloud

Untuk membuat instance Valkey yang memiliki enkripsi saat transit, jalankan perintah create:

gcloud memorystore instances create INSTANCE \
--location=REGION_ID \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/PROJECT_ID/global/networks/NETWORK_ID", "projectId": "PROJECT_ID"}}]}]' \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Ganti kode berikut:

INSTANCE adalah ID instance Memorystore for Valkey yang Anda buat. ID instance Anda harus terdiri dari 1 hingga 63 karakter dan hanya menggunakan huruf kecil, angka, atau tanda hubung. ID ini harus dimulai dengan huruf kecil dan diakhiri dengan huruf kecil atau angka.
REGION_ID adalah region tempat Anda ingin menempatkan instance.
PROJECT_ID adalah ID project tempat Anda ingin membuat instance.
NETWORK_ID adalah ID jaringan yang ingin Anda gunakan untuk membuat instance.
REPLICA_COUNT adalah jumlah replika yang Anda inginkan (per shard). Nilai yang diterima adalah 0, 1, dan 2.
NODE_TYPE adalah jenis node yang Anda pilih. Nilai yang diterima adalah:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Perhatian: Sebaiknya gunakan jenis node shared-core-nano hanya untuk tujuan pengembangan atau pengujian. Jika Anda menjalankan Memorystore for Valkey di lingkungan produksi, sebaiknya gunakan jenis node standard-small, highmem-medium, atau highmem-xlarge. Untuk mengetahui informasi selengkapnya tentang jenis node ini, lihat Memilih jenis node.
SHARD_COUNT menentukan jumlah shard dalam instance Anda. Jumlah shard menentukan total kapasitas memori untuk menyimpan data instance. Untuk melihat detail selengkapnya tentang spesifikasi instance, lihat Spesifikasi instance dan node.

Contoh:

gcloud memorystore instances create my-instance \
--location=us-central1 \
--endpoints='[{"connections": [{"pscAutoConnection": {"network": "projects/my-project/global/networks/my-network", "projectId": "my-project"}}]}] \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Mendownload certificate authority

Jika enkripsi dalam transit diaktifkan di instance Anda, Anda akan melihat sertifikat Otoritas Sertifikat saat menjalankan perintah get-certificate-authority:

gcloud memorystore instances get-certificate-authority INSTANCE

Ganti kode berikut:

INSTANCE adalah ID instance Memorystore for Valkey Anda.

Isi respons mencakup sertifikat untuk semua Otoritas Sertifikat yang berlaku.

Menginstal Certificate Authority di klien Anda

Anda harus menginstal Otoritas Sertifikat instance Anda di klien yang terhubung. Penginstalan CA dapat bervariasi bergantung pada jenis klien. Langkah-langkah di bawah menjelaskan cara menginstal CA di VM Linux Compute Engine.

Hubungkan dengan SSH ke klien Linux Compute Engine Anda.
Buat file bernama server_ca.pem di klien Anda:
```
sudo vim /tmp/server_ca.pem
```

Download Otoritas Sertifikat dan tempelkan ke file server_ca.pem yang dibuat sebelumnya.

Teks CA harus diformat dengan benar. File server_ca.pem Anda akan terlihat seperti ini:

File Anda, seperti yang terlihat pada contoh sebelumnya, harus menggunakan panduan berikut:

Salin seluruh Certificate Authority termasuk baris -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE-----.
Pastikan teks CA sepenuhnya rata kiri. Tidak boleh ada spasi di depan setiap baris CA.
Setiap Otoritas Sertifikat harus ditambahkan di baris baru. Tidak boleh ada baris kosong di antara CA.

Mengonfigurasi klien untuk enkripsi saat transit

Klien yang Anda gunakan untuk terhubung ke instance harus mendukung TLS atau menggunakan sidecar pihak ketiga untuk mengaktifkan TLS.

Jika klien Anda mendukung TLS, konfigurasikan agar mengarah ke IP instance Valkey, port 6379, dan file yang berisi Certificate Authority. Jika Anda memilih untuk menggunakan sidecar, sebaiknya gunakan Stunnel.

Menghubungkan ke instance Memorystore secara aman menggunakan Stunnel dan telnet

Untuk mengetahui petunjuk tentang penggunaan Stunnel untuk mengaktifkan enkripsi saat transit pada klien Compute Engine, lihat Menghubungkan ke instance Memorystore secara aman menggunakan Stunnel dan telnet.

Mengelola rotasi Certificate Authority

Anda harus menginstal semua Otoritas Sertifikat yang dapat didownload di klien yang mengakses instance Anda.

Menginstal CA baru, selain CA sebelumnya, setelah tersedia adalah cara paling sederhana untuk memastikan Anda memiliki CA yang diperlukan saat peristiwa rotasi Otoritas Sertifikat terjadi.

Yang perlu Anda lakukan untuk memastikan Anda memiliki CA yang diperlukan adalah memastikan bahwa CA yang disimpan di file klien Anda cocok dengan yang ditampilkan saat mendownload Certificate Authority. CA baru dan CA lama aktif selama rotasi untuk memastikan waktu non-operasional minimal.

Contoh kode untuk menghubungkan ke instance yang menggunakan enkripsi saat transit

Untuk melihat contoh kode yang kompatibel dengan Valkey tentang cara menyiapkan library klien untuk terhubung ke instance yang menggunakan enkripsi saat transit, lihat Contoh kode library klien enkripsi saat transit.