Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Rollenbasierte Zugriffskontrolle () RBAC

Anstatt Benutzer mit dem Valkey- und OSS AUTH Redis-Befehl zu authentifizieren, wie unter beschriebenAuthentifizierung mit den Befehlen Valkey und Redis OSS AUTH, können Sie in Valkey 7.2 und höher und ab Redis OSS 6.0 eine Funktion namens Role-Based Access Control () verwenden. RBAC RBACist auch die einzige Möglichkeit, den Zugriff auf serverlose Caches zu kontrollieren.

Im Gegensatz zu Valkey und Redis OSSAUTH, bei denen alle authentifizierten Clients vollen Cache-Zugriff haben, wenn ihr Token authentifiziert ist, RBAC können Sie den Cache-Zugriff über Benutzergruppen steuern. Diese Benutzergruppen dienen dazu, den Zugriff auf Caches zu organisieren.

Mit RBAC erstellen Sie Benutzer und weisen ihnen mithilfe einer Zugriffszeichenfolge bestimmte Berechtigungen zu, wie im Folgenden beschrieben. Sie weisen die Benutzer Benutzergruppen zu, denen eine bestimmte Rolle zugewiesen ist (Administratoren, Personalabteilung), die dann in einem oder mehreren ElastiCache Caches bereitgestellt werden. Auf diese Weise können Sie Sicherheitsgrenzen zwischen Clients einrichten, die denselben Valkey- oder OSS Redis-Cache oder dieselben Caches verwenden, und verhindern, dass Clients gegenseitig auf die Daten zugreifen.

RBACwurde entwickelt, um die Einführung von ACLin OSS Redis 6 zu unterstützen. Bei der Verwendung RBAC mit Ihrem ElastiCache Valkey- oder OSS Redis-Cache gibt es einige Einschränkungen:

Die Verwendung von RBAC with ElastiCache für Redis OSS wird im Folgenden ausführlicher beschrieben.

Spezifizieren von Berechtigungen mithilfe einer Zugriffszeichenfolge

Um Berechtigungen ElastiCache für einen for OSS Redis-Cache anzugeben, erstellen Sie eine Zugriffszeichenfolge und weisen sie einem Benutzer zu, indem Sie entweder das AWS CLI oder verwenden. AWS Management Console

Zugriffszeichenfolgen werden als eine Liste von durch Leerzeichen getrennten Regeln definiert, die für den Benutzer angewendet werden. Sie definieren, welche Befehle ein Benutzer ausführen kann und welche Schlüssel ein Benutzer benutzen kann. Um einen Befehl auszuführen, muss ein Benutzer Zugriff auf den ausgeführten Befehl und alle Schlüssel haben, auf die mit dem Befehl zugegriffen wird. Regeln werden von links nach rechts kumulativ angewendet und anstelle der angegebenen Zeichenfolge kann eine einfachere Zeichenfolge verwendet werden, wenn Redundanzen in der angegebenen Zeichenfolge vorhanden sind.

Hinweise zur Syntax der ACL Regeln finden Sie unter ACL.

Im folgenden Beispiel wird durch die Zugriffszeichenfolge ein aktiver Benutzer dargestellt, der Zugriff auf alle verfügbaren Schlüssel und Befehle hat.

on ~* +@all

Die Syntax der Zugriffszeichenfolge wird wie folgt verteilt:

Die vorgenannten Einstellungen sind am wenigsten restriktiv. Sie können diese Einstellungen ändern und sie sicherer zu machen.

Das folgende Beispiel zeigt einen Benutzer, der nur Lesezugriff auf Schlüssel hat, die mit dem Schlüsselbereich "app::" beginnen

on ~app::* -@all +@read

Sie können diese Berechtigungen weiter verfeinern, indem Sie die Befehle auflisten, auf die der Benutzer zugreifen kann:

+command1 – Der Zugriff des Benutzers auf Befehle ist auf command1 beschränkt.

+@category – Der Zugriff des Benutzers auf Befehle ist auf eine Kategorie von Befehlen beschränkt.

Informationen zum Zuweisen einer Zugriffszeichenfolge zu einem Benutzer finden Sie unter Benutzer und Benutzergruppen mit der Konsole erstellen und CLI.

Wenn Sie einen vorhandenen Workload zu migrieren ElastiCache, können Sie die Zugriffszeichenfolge durch einen Aufruf abrufenACL LIST, wobei der Benutzer und alle Kennwort-Hashes ausgenommen sind.

Für Redis OSS Version 6.2 und höher wird auch die folgende Syntax für die Zugriffszeichenfolge unterstützt:

Für Redis OSS Version 7.0 und höher wird auch die folgende Syntax für Zugriffszeichenfolgen unterstützt:

Bewerbung RBAC auf einen Cache ElastiCache für Valkey oder Redis OSS

Um ihn ElastiCache für Valkey oder Redis zu verwenden OSSRBAC, gehen Sie wie folgt vor:

Diese Schritte werden im Folgenden detailliert beschrieben.

Benutzer und Benutzergruppen mit der Konsole erstellen und CLI

Die Benutzerinformationen für RBAC Benutzer sind eine Benutzer-ID, ein Benutzername und optional ein Passwort und eine Zugriffszeichenfolge. Die Zugriffszeichenfolge stellt die Berechtigungsstufe für Schlüssel und Befehle bereit. Die Benutzer-ID ist eindeutig für den Benutzer und der Benutzername wird an die Engine übergeben.

Vergewissern Sie sich, dass die von Ihnen bereitgestellten Benutzerberechtigungen für den beabsichtigten Zweck der Benutzergruppe sinnvoll sind. Wenn Sie beispielsweise eine Benutzergruppe mit dem Namen Administrators erstellen, sollte jeder Benutzer, den Sie dieser Gruppe hinzufügen, seine Zugriffszeichenfolge auf vollen Zugriff auf Schlüssel und Befehle gesetzt haben. Für Benutzer in einer e-commerce-Benutzergruppe können Sie die Zugriffszeichenfolge auf Nur-Lese-Zugriff setzen.

ElastiCache konfiguriert automatisch einen Standardbenutzer mit Benutzer-ID und Benutzername "default" und fügt ihn allen Benutzergruppen hinzu. Sie können diesen Benutzer nicht löschen oder ändern. Dieser Benutzer ist aus Kompatibilitätsgründen mit dem Standardverhalten früherer OSS Redis-Versionen vorgesehen und verfügt über eine Zugriffszeichenfolge, die es ihm ermöglicht, alle Befehle aufzurufen und auf alle Schlüssel zuzugreifen.

Wenn Sie einem Cache eine angemessene Zugriffskontrolle hinzufügen möchten, ersetzen Sie diesen Standardbenutzer durch einen neuen, der nicht aktiviert ist oder ein sicheres Passwort verwendet. Um den Standardbenutzer zu ändern, erstellen Sie einen neuen Benutzer, dessen Benutzername aufdefault gesetzt ist. Sie können ihn dann mit dem ursprünglichen Standardbenutzer austauschen.

Führen Sie die folgenden Schritte aus, wie Sie den ursprünglichen default-Benutzer mit einem anderen default-Benutzer mit einer geänderten Zugriffszeichenfolge getauscht haben.

Beim Erstellen eines Benutzers können Sie bis zu zwei Passwörter einrichten. Wenn Sie ein Passwort ändern, werden alle vorhandenen Verbindungen mit Caches beibehalten.

Beachten Sie insbesondere die folgenden Einschränkungen bei Benutzerkennwörtern, wenn Sie RBAC for ElastiCache für Redis OSS verwenden:

Benutzer mit der Konsole verwalten und CLI

Gehen Sie wie unten beschrieben vor, um die Benutzer in der Konsole zu verwalten.

Gehen Sie wie unten beschrieben vor, um die Benutzer im AWS CLI zu verwalten.

Um eine Liste der Benutzer anzuzeigen, rufen Sie die describe-user-Operation auf.

aws elasticache describe-users

Benutzergruppen mit der Konsole verwalten und CLI

Sie können Benutzergruppen erstellen, um den Zugriff von Benutzern auf einen oder mehrere Caches zu organisieren und zu steuern, wie im Folgenden dargestellt.

Gehen Sie wie unten beschrieben vor, um die Benutzergruppen in der Konsole zu verwalten.

Verwenden Sie die folgenden Verfahren, um Benutzergruppen mithilfe von zu verwaltenCLI.

Um eine Liste von Benutzergruppen zu sehen, können Sie den describe-user-groupsVorgang aufrufen.

aws elasticache describe-user-groups \
  --user-group-id test-group

Zuweisen von Benutzergruppen zu Serverless-Caches

Nachdem Sie eine Benutzergruppe erstellt und Benutzer hinzugefügt haben, besteht der letzte Schritt bei der Implementierung RBAC darin, die Benutzergruppe einem serverlosen Cache zuzuweisen.

Zuweisen von Benutzergruppen zu Serverless-Caches mithilfe der Konsole

Gehen Sie wie folgt vor, um einem serverlosen Cache mithilfe von eine Benutzergruppe hinzuzufügen: AWS Management Console

Zuweisen von Benutzergruppen zu serverlosen Caches mithilfe von AWS CLI

Der folgende AWS CLI Vorgang erstellt einen serverlosen Cache unter Verwendung des user-group-id Parameters mit dem Wert. my-user-group-id Ersetzen Sie die Subnetzgruppe sng-test durch eine vorhandene Subnetzgruppe.

Für Linux, macOS oder Unix:

aws elasticache create-serverless-cache \
    --serverless-cache-name "new-serverless-cache" \
    --description "new-serverless-cache" \
    --engine "redis" \
    --user-group-id "new-group-1"

Für Windows:

aws elasticache create-serverless-cache ^
    --serverless-cache-name "new-serverless-cache" ^
    --description "new-serverless-cache" ^
    --engine "redis" ^
    --user-group-id "new-group-1"

Die folgende AWS CLI Operation ändert einen serverlosen Cache mit dem user-group-id Parameter mit dem Wert. my-user-group-id

Für Linux, macOS oder Unix:

aws elasticache modify-serverless-cache \
    --serverless-cache-name serverless-cache-1 \
    --user-group-id "new-group-2"

Für Windows:

aws elasticache modify-serverless-cache ^
    --serverless-cache-name serverless-cache-1 ^
    --user-group-id "new-group-2"

Beachten Sie, dass jegliche an einem Cache vorgenommenen Änderungen asynchron aktualisiert werden. Sie können den Fortschritt durch Ansicht der Ereignismeldungen überwachen. Weitere Informationen finden Sie unter ElastiCache Ereignisse anzeigen.

Zuweisung von Benutzergruppen zu Replikationsgruppen

Nachdem Sie eine Benutzergruppe erstellt und Benutzer hinzugefügt haben, besteht der letzte Schritt bei der Implementierung RBAC darin, die Benutzergruppe einer Replikationsgruppe zuzuweisen.

Zuweisen von Benutzergruppen zu Replikationsgruppen mit der Konsole

Gehen Sie wie folgt vor, um einer Replikation mithilfe von eine Benutzergruppe hinzuzufügen: AWS Management Console

Zuweisen von Benutzergruppen zu Replikationsgruppen mithilfe von AWS CLI

Der folgende AWS CLI Vorgang erstellt eine Replikationsgruppe mit aktivierter Verschlüsselung bei der Übertragung (TLS) und dem user-group-ids Parameter mit dem Wertmy-user-group-id. Ersetzen Sie die Subnetzgruppe sng-test durch eine vorhandene Subnetzgruppe.

Für Linux, macOS oder Unix:

aws elasticache create-replication-group \
    --replication-group-id "new-replication-group" \
    --replication-group-description "new-replication-group" \
    --engine "redis" \
    --cache-node-type cache.m5.large \
    --transit-encryption-enabled \
    --user-group-ids "new-group-1" \
    --cache-subnet-group "cache-subnet-group"

Für Windows:

aws elasticache create-replication-group ^
    --replication-group-id "new-replication-group" ^
    --replication-group-description "new-replication-group" ^
    --engine "redis" ^
    --cache-node-type cache.m5.large ^
    --transit-encryption-enabled ^
    --user-group-ids "new-group-1" ^
    --cache-subnet-group "cache-subnet-group"

Der folgende AWS CLI Vorgang ändert eine Replikationsgruppe mit aktivierter Verschlüsselung bei der Übertragung (TLS) und dem user-group-ids Parameter mit dem Wertmy-user-group-id.

Für Linux, macOS oder Unix:

aws elasticache modify-replication-group \
    --replication-group-id replication-group-1 \
    --user-group-ids-to-remove "new-group-1" \
    --user-group-ids-to-add "new-group-2"

Für Windows:

aws elasticache modify-replication-group ^
    --replication-group-id replication-group-1 ^
    --user-group-ids-to-remove "new-group-1" ^
    --user-group-ids-to-add "new-group-2"

Beachten Sie die PendingChanges in der Antwort. Jegliche an einem Cache vorgenommenen Änderungen werden asynchron aktualisiert. Sie können den Fortschritt durch Ansicht der Ereignismeldungen überwachen. Weitere Informationen finden Sie unter ElastiCache Ereignisse anzeigen.

Migration von zu AUTH RBAC

Gehen Sie AUTH wie unter beschrieben vor, wenn Sie auf Using umsteigen möchtenRBAC, gehen Sie wie folgt vor. Authentifizierung mit den Befehlen Valkey und Redis OSS AUTH

Gehen Sie wie folgt vor, um von der RBAC Konsole AUTH zur zu migrieren.

Gehen Sie wie folgt vor, um von Valkey oder Redis OSS AUTH zur RBAC Verwendung von zu migrieren. CLI

Migration von zu RBAC AUTH

Wenn Sie Redis verwenden RBAC und zu Redis OSS AUTH migrieren möchten, finden Sie weitere Informationen unter. Migration von zu RBAC AUTH