İstemciler ile Tair (Redis OSS uyumlu) örneğiniz arasındaki aktarım halindeki verileri TLS ile şifreleyin. TLS varsayılan olarak devre dışıdır.
Ön koşullar
Aşağıdakileri doğrulayın:
-
Örneğiniz aşağıdaki türlerden biridir:
Tair (Enterprise Edition) bellek optimize edilmiş örnek
Tair (Enterprise Edition) kalıcı bellek örneği
Redis Open-Source Edition 5.0, 6,0 veya 7,0 örneği
Örneğiniz master-replica mimarisini kullanır.
Var olan tüm genel uç noktalar serbest bırakılmıştır.
Yerel disk tabanlı küme örneğine atanmış özel uç nokta varsa serbest bırakılmıştır.
Sınırlamalar
| Sınırlama | Etki | Ne yapılmalı |
|---|---|---|
| Bağlantı ek yükü | TLS el sıkışmaları, düz bağlantılara göre daha fazla kaynak ve zaman tüketir. | El sıkışma sıklığını azaltmak için kalıcı bağlantılar kullanın. |
| Veri aktarımı ek yükü | Şifreleme ek yükü, yük boyutuyla orantılı olarak artar. | Etkiyi değerlendirmek için kendi ortamınızda test edin. |
| Genel uç nokta yokluğu | Şifrelenmemiş bağlantılar artık örneğe erişemez. Genel uç noktalar kullanılamaz hale gelir. Klasik ağ küme örnekleri için doğrudan bağlantı uç noktaları da kullanılamaz hale gelir. İstemciler örneğe yalnızca TLS şifrelemeli bir sanal özel cloud (VPC) üzerinden bağlanabilir. Hizmet kesintilerini önlemek için bu özelliği etkinleştirmeden önce tüm istemcilerin TLS bağlantı yapılandırmasını tamamladığından emin olun. | TLS etkinleştirilmiş bir örneğe bağlanma. |
| Alan migrasyonu yokluğu | Alan migrasyonu kullanılamaz hale gelir. | TLS'yi etkinleştirmeden önce alan seçiminizi planlayın. |
| Uç nokta veya bağlantı noktası değişiklikleri | Uç nokta veya bağlantı noktasını değiştirmek, No subject alternative DNS name matching xxx found hatasına neden olur. |
Uç nokta veya bağlantı noktasını değiştirdikten sonra TLS sertifikasını güncelleyin. |
TLS şifrelemesini etkinleştirin
Konsola giriş yapın. Örnekler sayfasında bölgeyi seçin ve örnek ID'sine tıklayın.
Sol gezinme bölmesinde TLS Settings (SSL) öğesine tıklayın.
Enable öğesine tıklayın.
-
İletişim kutusunda bir TLS version seçin.
Sürüm Açıklama TLSv1.3 (Önerilen) RFC 8446 (2018). TLSv1.2'den daha hızlı ve daha güvenlidir. Redis engine 5,5+ ve proxy alt sürüm 7.0.1+ gerektirir. Konsolda mevcut değilse önce alt sürümü yükseltin. TLSv1.2 RFC 5246 (2008). Güçlü şifreleme sağlar. TLSv1.1 RFC 4346 (2006). TLSv1.0 güvenlik açıklarını giderir. TLSv1.0 RFC 2246 (1999). SSL 3.0'a dayanır. BEAST ve POODLE saldırılarına karşı savunmasızdır. -
OK öğesine tıklayın.
UyarıBu işlem örneği yeniden başlatır ve birkaç saniye süren kısa bir bağlantı kesintisine neden olabilir. Bu işlemi yoğun olmayan saatlerde gerçekleştirin ve uygulamanızın otomatik yeniden bağlanmayı desteklediğinden emin olun.
TLS durumunu doğrulamak için sayfayı yenileyin.
CA sertifikasını indirin
TLS Settings (SSL) sayfasında Download CA Certificate öğesine tıklayın. Paket şunları içerir:
| Dosya | Açıklama |
|---|---|
ApsaraDB-CA-Chain.p7b |
Windows için CA sertifikası |
ApsaraDB-CA-Chain.pem |
Linux, diğer sistemler veya uygulamalar için CA sertifikası |
ApsaraDB-CA-Chain.jks |
CA sertifika zincirini içe aktarmak için Java truststore |
CA sertifikası, hesabınız altındaki tüm Tair örnekleri arasında paylaşılır ve parola ile korunmaz.
TLS ayarlarını yönetin
TLS Settings (SSL) sayfasında sertifikaları güncelleyebilir, sürümleri değiştirebilir veya TLS'yi devre dışı bırakabilirsiniz.
CA sertifikasını güncelleyin
Update Certificate öğesine tıklayın ve ardından OK öğesine tıklayın.
Sertifikalar 3 yıl sonra sona erer (özelleştirilemez). Otomatik yenileme, bitiş tarihinden 20 gün önce planlanır. Zamanlamayı değiştirmek için Event Center > Scheduled Events bölümüne gidin. Geçerlilik süresini 3 yıl uzatmak için istediğiniz zaman Update Certificate öğesine tıklayın.
Bu işlem birkaç saniye süren kısa bir bağlantı kesintisine neden olabilir. Bu işlemi yoğun olmayan saatlerde gerçekleştirin ve uygulamanızın otomatik yeniden bağlanmayı desteklediğinden emin olun.
Sertifikayı güncelledikten veya TLS sürümünü değiştirdikten sonra sertifikayı yeniden indirmeniz gerekmez.
TLS sürümünü değiştirin
TLS version yanındaki düzenleme simgesine tıklayın ve bir sürüm seçin. TLSv1.3 önerilir ve Redis engine 5,5+ ile proxy alt sürüm 7.0.1+ gerektirir. Mevcut değilse önce alt sürümü yükseltin.
Minimum TLS version açılan listesi kullanılamıyorsa örneğin alt sürümünü yükseltin ve tekrar deneyin. Alt sürümü ve proxy sürümünü yükseltme.
TLS şifrelemesini devre dışı bırakın
TLS Status yanındaki anahtarı kapatın.
Bu işlem örneği yeniden başlatır ve birkaç saniye süren kısa bir bağlantı kesintisine neden olabilir. Bu işlemi yoğun olmayan saatlerde gerçekleştirin ve uygulamanızın otomatik yeniden bağlanmayı desteklediğinden emin olun.
SSS
Örneğim için TLS'yi neden etkinleştiremiyorum?
Klasik ağda okuma/yazma bölme mimarisini kullanan örnekler TLS'yi desteklemez.
İlgili API
|
|
|
|
|