Criptografe os dados em trânsito entre clientes e sua instância Tair (compatível com Redis OSS) usando TLS. Por padrão, o TLS está desativado.
Pré-requisitos
Verifique os seguintes requisitos:
-
Sua instância deve ser de um dos seguintes tipos:
Instância Tair (Enterprise Edition) com memória otimizada
Instância Tair (Enterprise Edition) com memória persistente
Instância Redis Open-Source Edition 5.0, 6,0 ou 7,0
Sua instância usa a arquitetura master-replica.
Todos os endpoints públicos foram liberados.
Todos os endpoints privados alocados a uma instância de cluster baseada em disco local foram liberados.
Limitações
|
Limitação |
Impacto |
O que fazer |
|
Sobrecarga de conexão |
Os handshakes TLS consomem mais recursos e tempo do que conexões simples. |
Use conexões persistentes para reduzir a frequência de handshakes. |
|
Sobrecarga de transferência de dados |
A sobrecarga de criptografia aumenta proporcionalmente ao tamanho do payload. |
Teste no seu ambiente para avaliar o impacto. |
|
Sem endpoint público |
Os endpoints públicos ficam indisponíveis. Em instâncias de cluster em rede clássica, os endpoints de conexão direta também ficam indisponíveis. |
Conecte-se por meio de uma VPC. Conectar-se a uma instância com TLS ativado. |
|
Sem migração de zona |
A migração de zona fica indisponível. |
Planeje a seleção de zona antes de ativar o TLS. |
|
Alterações de endpoint ou porta |
Alterar o endpoint ou a porta causa o erro |
Atualize o certificado TLS após alterar o endpoint ou a porta. |
Ativar a criptografia TLS
Faça login no console. Na página Instances, selecione a região e clique em no ID da instância.
No painel de navegação à esquerda, clique em TLS Settings (SSL).
Clique em Enable.
-
Na caixa de diálogo, selecione uma TLS version.
Versão
Descrição
TLSv1.3 (Padrão, Recomendado)
RFC 8446 (2018). Mais rápido e seguro que o TLSv1.2. Exige Redis engine 5,5+ e versão secundária de proxy 7.0.1+. Se não estiver disponível no console, atualize primeiro a versão secundária.
TLSv1.2
RFC 5246 (2008). Criptografia robusta.
TLSv1.1
RFC 4346 (2006). Corrige vulnerabilidades do TLSv1.0.
TLSv1.0
RFC 2246 (1999). Baseado no SSL 3.0. Vulnerável aos ataques BEAST e POODLE.
-
Clique em OK.
AvisoEssa ação reinicia a instância e pode causar uma breve interrupção de conexão de alguns segundos. Execute esta operação fora dos horários de pico e verifique se sua aplicação suporta reconexão automática.
Atualize a página para verificar o status do TLS.
Baixar o certificado CA
Na página TLS Settings (SSL), clique em Download CA Certificate. O pacote contém:
|
Arquivo |
Descrição |
|
|
Certificado CA para Windows |
|
|
Certificado CA para Linux, outros sistemas ou aplicações |
|
|
Java truststore para importar a cadeia de certificados CA |
O certificado CA é compartilhado entre todas as instâncias Tair da sua conta e não é protegido por senha.
Gerenciar as configurações de TLS
Na página TLS Settings (SSL), você pode atualizar certificados, alterar versões ou desativar o TLS.
Atualizar o certificado CA
Clique em Update Certificate e, em seguida, clique em OK.
Os certificados expiram após 3 anos (sem possibilidade de personalização). A renovação automática é agendada 20 dias antes do vencimento. Para reagendar, acesse Event Center > Scheduled Events. Clique em Update Certificate a qualquer momento para estender a validade por mais 3 anos.
Esta operação pode causar uma breve interrupção de conexão de alguns segundos. Execute-a fora dos horários de pico e verifique se sua aplicação suporta reconexão automática.
Não é necessário baixar novamente o certificado após atualizá-lo ou alterar a versão do TLS.
Alterar a versão do TLS
Clique no ícone de edição ao lado de TLS version e selecione uma versão. TLSv1.3 é a versão recomendada e exige Redis engine 5,5+ e versão secundária de proxy 7.0.1+. Caso não esteja disponível, atualize primeiro a versão secundária.
Se a lista suspensa Minimum TLS version estiver indisponível, atualize a versão secundária da instância e tente novamente. Atualizar a versão secundária e a versão do proxy.
Desativar a criptografia TLS
Desative o botão ao lado de TLS Status.
Essa ação reinicia a instância e pode causar uma breve interrupção de conexão de alguns segundos. Execute esta operação fora dos horários de pico e verifique se sua aplicação suporta reconexão automática.
Perguntas frequentes
Por que não consigo ativar o TLS na minha instância?
O TLS não é compatível com instâncias que usam a arquitetura de separação de leitura/gravação em rede clássica.
API relacionada
|
API |
Descrição |
|
Configura a criptografia TLS (SSL) para uma instância. |