Questa pagina è stata tradotta dall'API Cloud Translation.

Gestire la crittografia dei dati in transito

Questa pagina spiega come gestire la crittografia dei dati in transito per l'istanza.

Per una panoramica della crittografia dei dati in transito per Memorystore for Valkey, consulta Informazioni sulla crittografia dei dati in transito.

Puoi attivare la crittografia in transito solo quando crei inizialmente l'istanza Memorystore per Valkey. La crittografia in transito non può essere disattivata per le istanze create in questo modo.

Creare un'istanza con crittografia in transito

Console

Segui i passaggi descritti in Creare un'istanza Memorystore for Valkey.

gcloud

Per creare un'istanza Valkey con crittografia in transito, esegui il comando create:

gcloud beta memorystore instances create INSTANCE \
--location=REGION_ID \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Sostituisci quanto segue:

INSTANCE è l'ID dell'istanza Memorystore for Valkey che stai creando. L'ID istanza deve contenere da 1 a 63 caratteri e utilizzare solo lettere minuscole, numeri o trattini. Deve iniziare con una lettera minuscola e terminare con una lettera minuscola o un numero.
REGION_ID è la regione in cui vuoi posizionare l'istanza.
PROJECT_ID è l'ID del progetto in cui vuoi creare la tua istanza.
NETWORK_ID è l'ID della rete che vuoi utilizzare per creare la tua istanza.
REPLICA_COUNT è il numero di repliche desiderato (per shard). I valori accettati sono 0, 1 e 2.
NODE_TYPE è il tipo di nodo scelto. I valori accettati sono:
- shared-core-nano
- standard-small
- highmem-medium
- highmem-xlarge
Per ulteriori dettagli sui tipi di nodi e sulle configurazioni delle istanze, consulta la specifica di istanze e nodi.
SHARD_COUNT determina il numero di shard nell'istanza. Il numero di shard determina la capacità di memoria totale per l'archiviazione degli dati delle istanze. Per ulteriori dettagli sulla specifica dell'istanza, consulta Specifiche di istanze e nodi.

Ad esempio:

gcloud beta memorystore instances create my-instance \
--location=us-central1 \
--psc-auto-connections=network=projects/PROJECT_ID/global/networks/NETWORK_ID,projectId=PROJECT_ID \
--replica-count=1 \
--node-type=highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Scarica le autorità di certificazione

Se la crittografia dei dati in transito è abilitata nell'istanza, vedrai i certificati dell'autorità di certificazione quando esegui il comando get-certificate-authority:

gcloud beta memorystore instances get-certificate-authority INSTANCE

Sostituisci quanto segue:

INSTANCE è l'ID della tua istanza Memorystore for Valkey.

Il corpo della risposta include i certificati per tutte le autorità di certificazione applicabili.

Installa le autorità di certificazione sul client

Devi installare le autorità di certificazione dell'istanza sul client di connessione. L'installazione del certificato CA può variare in base al tipo di client. I passaggi riportati di seguito spiegano come installare una CA su una VM Linux Compute Engine.

Connettiti tramite SSH al client Linux di Compute Engine.
Crea un file denominato server_ca.pem nel client:
```
sudo vim /tmp/server_ca.pem
```

Scarica le autorità di certificazione e incollale nel file server_ca.pem creato in precedenza.

Il testo delle CA deve essere formattato correttamente. Il file server_ca.pem dovrebbe avere il seguente aspetto:

Il file, come mostrato nell'esempio precedente, deve utilizzare le seguenti linee guida:

Copia l'intera autorità di certificazione, incluse le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
Assicurati che il testo delle CA sia completamente giustificato a sinistra. Non devono essere presenti spazi davanti a nessuna riga delle CA.
Ogni autorità di certificazione deve essere aggiunta in una nuova riga. Non devono esserci righe vuote tra le CA.

Configurare il client per la crittografia in transito

Il client che utilizzi per connetterti all'istanza deve supportare TLS o utilizzare un sidecar di terze parti per abilitare TLS.

Se il client supporta TLS, configuralo in modo che indichi l'IP e la porta 6379 dell'istanza Valkey e il file contenente l'autorità di certificazione. Se scegli di utilizzare un sidecar, ti consigliamo di utilizzare Stunnel.

Connettiti in modo sicuro a un'istanza Memorystore utilizzando Stunnel e telnet

Per istruzioni sull'utilizzo di Stunnel per attivare la crittografia in transito su un client Compute Engine, consulta Eseguire una connessione sicura a un'istanza Memorystore utilizzando Stunnel e telnet.

Gestire la rotazione dell'autorità di certificazione

Devi installare tutte le autorità di certificazione scaricabili sui client che accedono alla tua istanza.

L'installazione delle nuove CA, oltre a quelle precedenti, non appena diventano disponibili è la forma più semplice per assicurarti di disporre delle CA necessarie quando si verifica l'evento di rotazione delle autorità di certificazione.

Per assicurarti di disporre dell'autorità di certificazione richiesta, devi solo verificare che le autorità di certificazione salvate nel file del client corrispondano a quelle mostrate durante il download delle autorità di certificazione. Sia le CA nuove sia quelle precedenti sono attive durante la rotazione per garantire un tempo di inattività minimo.

Esempio di codice per la connessione a un'istanza che utilizza la crittografia dei dati in transito

Per visualizzare un esempio di codice compatibile con Valkey su come configurare una libreria client per connettersi a un'istanza che utilizza la crittografia in transito, consulta Esempio di codice della libreria client per la crittografia in transito.