本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

角色型存取控制 (RBAC) 規則數量

透過中所述的 Valkey 和 Redis OSS AUTH 命令使用 Valkey 和 Redis OSS AUTH 命令進行驗證，您可以使用角色型存取控制 (RBAC)。RBAC 也是控制無伺服器快取存取的唯一方法。這適用於 Valkey 7.2 和更新版本，以及 Redis OSS 6.0 到 7.2。

RBAC 可讓您：

與 Valkey 和 Redis OSS AUTH 不同，其中所有已驗證的用戶端都具有完整快取存取權，如果其權杖已驗證，RBAC 可讓您根據使用者所需的角色指派使用者進行設定。這些集旨在組織對快取的存取。

使用 RBAC，您可以建立使用者，並使用存取字串將特定許可指派給他們，如下所說明。您可以將使用者指派給與特定角色 （管理員、人力資源） 一致的集合，然後部署到一或多個 ElastiCache 快取。透過這樣做，您可以在使用相同 Valkey 或 Redis OSS 快取的用戶端之間建立安全界限，並防止用戶端存取彼此的資料。

RBAC 旨在支援在 Redis OSS 6 中引入 ACL。當您搭配 ElastiCache Valkey 或 Redis OSS 快取使用 RBAC 時，有一些限制：

RBAC 搭配 Valkey

搭配 Valkey 使用角色型存取控制時，使用者和使用者群組會使用「VALKEY」引擎類型建立。建議這麼做，因為根據預設，與 Redis OSS 相比，使用 RBAC 的 Valkey 可提供更高的安全性。佈建和無伺服器 Valkey 叢集都支援 VALKEY 使用者和使用者群組關聯。

Valkey 存取控制的主要功能包括：

RBAC 與 ElastiCache for Valkey 和 Redis OSS 搭配使用的詳細資訊如下。

使用存取字串指定許可

若要指定 ElastiCache Valkey 或 Redis OSS 快取的許可，您可以建立存取字串，並透過 AWS CLI 或 將其指派給使用者 AWS 管理主控台。

存取字串的定義是套用至使用者的空格分隔規則清單。用於定義使用者可以執行哪些命令，以及使用者可以操作哪些索引鍵。為了執行命令，使用者必須能存取執行中的命令以及該命令存取的所有索引鍵。規則會從左到右累積套用，如果提供的字串中存在冗餘項目，可以改用更簡單的字串而非提供的字串。

如需 ACL 規則語法的詳細資訊，請參閱 ACL。

在下列範例中，存取字串代表有權存取所有可用索引鍵和命令的活躍使用者。

on ~* +@all

存取字串語法可細分以下各項：

先前的設定受到最低限度的限制。您可以修改這些設定，提高安全性。

在下面的範例中，存取字串代表對於以「app::」keyspace 開頭的索引鍵，存取權受限於讀取存取的使用者

on ~app::* -@all +@read

您可以列出使用者可存取的命令，進一步精簡這些許可：

+command1 - 使用者對命令的存取權限受限於 command1。

+@category - 使用者的存取權限受限於某個命令類別。

如需將存取字串指派給使用者的相關資訊，請參閱「使用主控台和 CLI 建立使用者和使用者群組」。

如果您要將現有的工作負載遷移至 ElastiCache，您可以透過呼叫 ACL LIST 來擷取存取字串，並排除使用者和任何密碼雜湊。

針對 Redis OSS 6.2 版及更新版本，也支援下列存取字串語法：

針對 Redis OSS 7.0 版及更新版本，也支援下列存取字串語法：

針對 Valkey 9.1 版及更新版本，也支援下列存取字串語法：

將 RBAC 套用至 ElastiCache for Valkey 或 Redis OSS 的快取

若要使用 ElastiCache for Valkey 或 Redis OSS RBAC，請執行下列步驟：

具有公有端點的快取需要關聯使用者群組中的每個使用者使用 IAM 身分驗證。

這些步驟詳細說明如下。

使用主控台和 CLI 建立使用者和使用者群組

RBAC 使用者的使用者資訊是使用者 ID、使用者名稱，以及選用的密碼和存取字串。存取字串提供索引鍵和命令的許可層級。使用者 ID 對使用者而言是唯一的，而使用者名稱是傳遞給引擎的內容。

請確定您提供的使用者許可對使用者群組的預期用途來說有意義。例如，如果您建立名為 Administrators 的使用者群組，則您新增至該群組的任何使用者都應該將其存取字串設為完整存取索引鍵和命令。針對 e-commerce 使用者群組中的，您可以將其存取字串設為唯讀存取。

ElastiCache 會以使用者 ID 和使用者名稱 "default" 自動設定預設使用者，並將其新增至所有使用者群組。您無法刪除或修改此使用者。此使用者旨在與先前 Redis OSS 版本的預設行為相容，並具有允許其呼叫所有命令和存取所有金鑰的存取字串。

若要將適當的存取控制新增至快取，請將此預設使用者取代為未啟用或未使用高強度密碼的新使用者。若要變更預設使用者，請將使用者名稱設定為 default。然後您可以將其與原始預設使用者交換。

下列程序說明如何交換原始 default 使用者與具有經修改存取字串的另一個 default 使用者。

建立使用者時，最多可以設定兩個密碼。修改密碼時，任何現有的快取連線都會保留。

特別是，在使用 RBAC for ElastiCache for Valkey 和 Redis OSS 時，請注意這些使用者密碼限制：

使用主控台和 CLI 管理使用者

透過下列程序，在主控台上管理使用者。

透過下列程序，使用 AWS CLI來管理使用者。

若要查看使用者清單，請呼叫 describe-users 作業。

aws elasticache describe-users

使用主控台和 CLI 管理使用者群組

您可以建立使用者群組來整理和控制使用者對一或多個快取的存取權，如下所示。

透過下列程序，使用主控台來管理使用者群組。

透過下列程序，使用 CLI 來管理使用者群組。

若要查看使用者群組清單，您可以呼叫 describe-user-groups 作業。

aws elasticache describe-user-groups \
  --user-group-id test-group

將使用者群組指派至無伺服器快取

建立使用者群組並新增使用者之後，實作 RBAC 的最後一個步驟是將使用者群組指派至無伺服器快取。

使用主控台將使用者群組指派至無伺服器快取

若要使用 將使用者群組新增至無伺服器快取 AWS 管理主控台，請執行下列動作：

使用 將使用者群組指派給無伺服器快取 AWS CLI

下列 AWS CLI 操作會使用 值為 的 user-group-id 參數來建立無伺服器快取my-user-group-id。將子網路群組 sng-test 取代為已存在的子網路群組。

針對 Linux、macOS 或 Unix：

aws elasticache create-serverless-cache \
    --serverless-cache-name "new-serverless-cache" \
    --description "new-serverless-cache" \
    --engine "VALKEY" \
    --user-group-id "new-group-1"

針對 Windows：

aws elasticache create-serverless-cache ^
    --serverless-cache-name "new-serverless-cache" ^
    --description "new-serverless-cache" ^
    --engine "VALKEY" ^
    --user-group-id "new-group-1"

下列 AWS CLI 操作會使用 值為 的 user-group-id 參數修改無伺服器快取my-user-group-id。

針對 Linux、macOS 或 Unix：

aws elasticache modify-serverless-cache \
    --serverless-cache-name serverless-cache-1 \
    --user-group-id "new-group-2"

針對 Windows：

aws elasticache modify-serverless-cache ^
    --serverless-cache-name serverless-cache-1 ^
    --user-group-id "new-group-2"

請注意，對快取所做的任何修改都會以非同步方式更新。您可以透過檢視事件來監控進度。如需詳細資訊，請參閱檢視 ElastiCache 事件。

將使用者群組指派給複寫群組

建立使用者群組並新增使用者之後，實作 RBAC 的最後一個步驟是將使用者群組指派給複寫群組。

使用主控台將使用者群組指派給複寫群組

若要使用 將使用者群組新增至複寫 AWS 管理主控台，請執行下列動作：

使用 將使用者群組指派給複寫群組 AWS CLI

下列 AWS CLI 操作會建立啟用傳輸中加密 (TLS) 的複寫群組，以及值為 的 user-group-ids 參數my-user-group-id。將子網路群組 sng-test 取代為已存在的子網路群組。

針對 Linux、macOS 或 Unix：

aws elasticache create-replication-group \
    --replication-group-id "new-replication-group" \
    --replication-group-description "new-replication-group" \
    --engine "VALKEY" \
    --cache-node-type cache.m5.large \
    --transit-encryption-enabled \
    --user-group-ids "new-group-1" \
    --cache-subnet-group "cache-subnet-group"

針對 Windows：

aws elasticache create-replication-group ^
    --replication-group-id "new-replication-group" ^
    --replication-group-description "new-replication-group" ^
    --engine "VALKEY" ^
    --cache-node-type cache.m5.large ^
    --transit-encryption-enabled ^
    --user-group-ids "new-group-1" ^
    --cache-subnet-group "cache-subnet-group"

下列 AWS CLI 操作會修改啟用傳輸中加密 (TLS) 的複寫群組，以及值為 的 user-group-ids 參數my-user-group-id。

針對 Linux、macOS 或 Unix：

aws elasticache modify-replication-group \
    --replication-group-id replication-group-1 \
    --user-group-ids-to-remove "new-group-1" \
    --user-group-ids-to-add "new-group-2"

針對 Windows：

aws elasticache modify-replication-group ^
    --replication-group-id replication-group-1 ^
    --user-group-ids-to-remove "new-group-1" ^
    --user-group-ids-to-add "new-group-2"

記下回應中的 PendingChanges。對快取所做的任何修改都會以非同步方式更新。您可以透過檢視事件來監控進度。如需詳細資訊，請參閱檢視 ElastiCache 事件。

從 AUTH 遷移至 RBAC

如果您依 所述使用 AUTH，使用 Valkey 和 Redis OSS AUTH 命令進行驗證並想要使用 RBAC 遷移至 ，請使用下列程序。

使用下列程序，使用主控台從 AUTH 遷移至 RBAC。

使用下列程序，使用 CLI 從 Valkey 或 Redis OSS AUTH 遷移至 RBAC。

從 RBAC 遷移至 AUTH

如果您使用 RBAC 且想要遷移至 Redis OSS AUTH，請參閱 從 RBAC 遷移至 AUTH。