如何为现有ElastiCache全局数据存储启用传输中加密？
2026-7-31
ElastiCache全局数据存储启用传输中加密的解决方案
你遇到的问题是因为ElastiCache全局数据存储（Global Datastore）的传输中加密属于创建时的不可变配置，无法直接在现有集群上修改启用——这和普通Redis集群的可修改特性不同，AWS当前的架构设计里，全局数据存储的跨区域同步链路依赖创建时确定的加密规则，所以不支持事后调整。
正确的解决步骤如下：
- 新建启用传输中加密的主集群
- 在创建ElastiCache Redis集群时，进入「安全性」配置项，勾选传输中加密，同时配置好允许访问的安全组；注意集群的引擎版本、节点规格、网络配置要和原全局数据存储集群保持一致。
- 构建新的全局数据存储拓扑
- 如果原集群有跨区域只读副本，在对应区域创建关联到新主集群的只读副本，形成新的全局数据存储架构；如果没有，直接将新集群配置为全局数据存储主集群。
- 迁移数据到新集群
- 使用
redis-cli的MIGRATE命令批量迁移数据，或者利用Redis的主从复制功能做增量同步；如果数据量较大，也可以使用第三方工具（如Redis Shuffle）提升效率，迁移期间建议暂停非必要的写操作保证一致性。
- 使用
- 切换应用连接
- 更新应用配置中的Redis端点为新全局数据存储的地址，用
redis-cli --tls命令测试加密连接是否正常，验证业务读写无异常。
- 更新应用配置中的Redis端点为新全局数据存储的地址，用
- 清理旧集群
- 确认新集群稳定运行后，删除原有的未加密全局数据存储集群，避免资源浪费。
内容的提问来源于stack exchange，提问作者Vinod Jayachandran
相关产品推荐
相关产品推荐
