无停机轮换Redis TLS证书的方法与最佳实践咨询

通用策略（自建Redis或支持动态配置的托管服务） #

1. 先完成客户端的CA信任过渡 #

这是避免停机的核心前提：

• 将新旧CA证书合并到同一个文件，更新所有客户端的tls-ca-cert-file配置为这个合并文件；或者在客户端的信任库中同时添加新旧CA证书。
• 这一步不会影响现有连接（客户端仍信任旧CA签发的服务器证书），但后续服务器切换到新CA签发的证书时，客户端能无缝建立新连接。

2. 服务器端平滑更新证书 #

根据Redis版本选择对应方式：

• Redis 6.2及以上版本：支持动态重新加载证书，无需重启实例：
  1. 将新的证书、密钥、CA文件放到服务器指定路径；
  2. 执行动态配置命令：

     CONFIG SET tls-cert-file "/path/to/new-cert.pem"
     CONFIG SET tls-key-file "/path/to/new-key.pem"
     CONFIG SET tls-ca-cert-file "/path/to/new-ca.pem"
     

  3. 执行CONFIG REWRITE将配置持久化到redis.conf。
     此时旧连接会继续使用旧证书，新连接自动使用新证书，实现无停机过渡。
• Redis 6.2以下版本：
  • 若为集群部署：逐个节点更新证书文件，然后滚动重启节点（保证集群内始终有可用节点处理请求）；
  • 若为主从架构：先更新从节点证书并重启，将主节点切换为该从节点，再更新原主节点证书并重启，最后切回主从角色（或保持新主节点）。

3. 逐步淘汰旧CA配置 #

等所有客户端都完成新CA信任配置、且服务器端新证书已稳定运行一段时间后：

• 逐步将客户端的CA配置切换为仅包含新CA证书；
• 最后更新服务器端的tls-ca-cert-file为仅新CA文件（同样用动态配置或滚动重启）。

GCP Memorystore for Redis的证书轮换支持 #

Memorystore完全支持无停机的证书轮换，且流程更简化：

• 多证书共存支持：Memorystore在证书轮换期间，会同时保留新旧证书，允许客户端同时信任新旧CA。你只需先更新客户端的CA信任列表，添加新CA证书（或合并新旧CA）；
• 自动后台更新：Memorystore会在证书到期前自动推送新证书，无需手动重启实例，新连接会自动使用新证书，旧连接不受影响；
• 官方推荐流程：先完成客户端的CA信任更新，等待Memorystore完成证书轮换（可通过控制台或API确认状态），再逐步移除客户端的旧CA配置。

额外注意事项 #

• 验证客户端连接池：确保客户端新建连接时会读取更新后的CA配置（部分连接池可能需要重启客户端进程或刷新配置）；
• 测试环境预演：在测试环境完整走一遍轮换流程，提前排查兼容性问题；
• 监控连接状态：轮换期间监控Redis的连接数、客户端错误日志，及时处理异常。

内容的提问来源于stack exchange，提问作者user1113865