tls 暗号化有効化 tair redis ssl 転送中のデータ - Tair (Redis® OSS-Compatible)

前提条件

以下の内容を確認してください。

インスタンスが以下のいずれかのタイプであること。
- Tair (Enterprise Edition) メモリ最適化インスタンス
- Tair (Enterprise Edition) 永続メモリインスタンス
- Redis オープンソース版 5.0、6.0、または 7.0 インスタンス
インスタンスがマスター/レプリカアーキテクチャを使用していること。
すべてのパブリックエンドポイントが解放されていること。
ローカルディスクベースのクラスターインスタンスに割り当てられたすべてのプライベートエンドポイントが解放されていること。

制限事項

制約事項	影響	対処方法
接続オーバーヘッド	TLS ハンドシェイクは、非暗号化接続よりも多くのリソースと時間を消費します。	持続的接続を使用して、ハンドシェイクの頻度を減らしてください。
データ転送オーバーヘッド	暗号化のオーバーヘッドは、ペイロードのサイズに応じて増加します。	お使いの環境でテストを実施し、影響を評価してください。
パブリックエンドポイントの利用不可	非暗号化接続ではインスタンスにアクセスできなくなります。パブリックエンドポイントは利用できなくなります。クラシックネットワークのクラスターインスタンスの場合、ダイレクト接続エンドポイントも利用できなくなります。クライアントは、TLS 暗号化を使用して仮想プライベートクラウド (VPC) 経由でのみインスタンスに接続できます。サービスの中断を避けるため、この機能を有効にする前に、すべてのクライアントで TLS 接続設定が完了していることを確認してください。	「TLS が有効なインスタンスへの接続」をご参照ください。
ゾーン移行の利用不可	ゾーン移行が利用できなくなります。	TLS を有効にする前に、ゾーンの選択を計画してください。
エンドポイントまたはポートの変更	エンドポイントまたはポートを変更すると、`No subject alternative DNS name matching xxx found` エラーが発生します。	エンドポイントまたはポートを変更した後、TLS 証明書を更新してください。

TLS 暗号化の有効化

コンソールにログインします。Instances ページで、リージョンを選択し、インスタンス ID をクリックします。
左側のナビゲーションペインで、[TLS 設定 (SSL)] をクリックします。
[有効化] をクリックします。

ダイアログボックスで、[TLS バージョン] を選択します。

バージョン	説明
[TLSv1.3] (推奨)	RFC 8446 (2018)。TLSv1.2 よりも高速で安全です。Redis エンジン 5.5 以降およびプロキシマイナーバージョン 7.0.1 以降が必要です。コンソールで利用できない場合は、まずマイナーバージョンをアップグレードしてください。
[TLSv1.2]	RFC 5246 (2008)。強力な暗号化を提供します。
[TLSv1.1]	RFC 4346 (2006)。TLSv1.0 の脆弱性を修正しています。
[TLSv1.0]	RFC 2246 (1999)。SSL 3.0 に基づいています。BEAST および POODLE 攻撃に対して脆弱です。

[OK] をクリックします。

警告
この操作によりインスタンスが再起動され、数秒間の接続中断が発生する可能性があります。ピーク時間外に実行し、アプリケーションが自動再接続をサポートしていることを確認してください。
ページを更新して、TLS のステータスを確認します。

CA 証明書のダウンロード

[TLS 設定 (SSL)] ページで、[CA 証明書をダウンロード] をクリックします。パッケージには次のものが含まれています。

ファイル	説明
`ApsaraDB-CA-Chain.p7b`	Windows 用 CA 証明書
`ApsaraDB-CA-Chain.pem`	Linux、その他のシステム、またはアプリケーション用 CA 証明書
`ApsaraDB-CA-Chain.jks`	CA 証明書チェーンをインポートするための Java トラストストア

説明

CA 証明書は、アカウント配下のすべての Tair インスタンスで共有され、パスワード保護されていません。

TLS 設定の管理

[TLS 設定 (SSL)] ページでは、証明書の更新、バージョンの変更、または TLS の無効化ができます。

CA 証明書の更新

[証明書の更新] をクリックし、[OK] をクリックします。

証明書の有効期間は 3 年です (変更できません)。自動更新は、有効期限の 20 日前にスケジュールされます。スケジュールを変更するには、[イベントセンター] > [スケジュールされたイベント] に移動します。いつでも [証明書の更新] をクリックすると、有効期間を 3 年間延長できます。

警告

この操作により、数秒間の接続中断が発生する可能性があります。ピーク時間外に実行し、アプリケーションが自動再接続をサポートしていることを確認してください。

説明

証明書の更新または TLS バージョンの変更後、証明書を再ダウンロードする必要はありません。

TLS バージョンの変更

[TLS バージョン] の横にある編集アイコンをクリックしてバージョンを選択します。[TLSv1.3] が推奨されます。これを選択するには、Redis エンジン 5.5 以降とプロキシのマイナーバージョン 7.0.1 以降が必要です。選択できない場合は、まずマイナーバージョンをアップグレードしてください。

説明

最小 TLS バージョン ドロップダウンリストが利用できない場合は、インスタンスのマイナーバージョンをアップグレードして、再試行してください。マイナーバージョンとプロキシバージョンをアップグレードする。

TLS 暗号化の無効化

[TLS ステータス] の横にあるスイッチをオフにします。

警告

この操作によりインスタンスが再起動され、数秒間の接続中断が発生する可能性があります。ピーク時間外に実行し、アプリケーションが自動再接続をサポートしていることを確認してください。

よくある質問

インスタンスで TLS を有効にできないのはなぜですか?

クラシックネットワークで読み書き分離アーキテクチャを使用しているインスタンスでは、TLS はサポートされていません。

API	説明
ModifyInstanceTLS	インスタンスの TLS (SSL) 暗号化を設定します。

Tair (Redis® OSS-Compatible):TLS 暗号化の有効化