Redis 6.0 新特性 ACL 介绍

Redis 6.0 新特性 ACL 介绍

Intro

在 Redis 6.0 中引入了 ACL（Access Control List) 的支持，在此前的版本中 Redis 中是没有用户的概念的，其实没有办法很好的控制权限，redis 6.0 开始支持用户，可以给每个用户分配不同的权限来控制权限。

下面我们就来介绍一下 Redis 6.0 中的 ACL 吧，下面的示例可以通过 docker 运行了一个 redis-6.0 的容器来实验的

运行一个 redis 6.0 的 docker 容器

因为我本地已经装了一个 redis，6379 端口已经被禁用了，所以使用了 16379 端口

docker run -d --name=redis-server-6.0 -p 16379:6379 redis:6.0-alpine

创建成功之后就可以使用 redis-cli 连上去了

我是直接用的本地的 redis-cli，如果本地没有也可以使用 docker 容器内部的 redis-cli，

docker exec -it redis-server-6.0 redis-cli

AUTH

在 redis 的之前版本中是有一个 “AUTH” 命令，但是之前的版本只是支持一个 Password，是没有用户的概念的，这就导致所有的客户端相当于是使用同一个账户来操作 redis 的，redis 6.0 扩展了 AUTH 的语法:

AUTH <username> <password>

同时也兼容了旧版本的 AUTH

AUTH <password>

使用这种方式时，也就是只提供密码，相当于使用了一个默认的用户 “default”，通过这样的方式，实现了对低版本的兼容

ACL

ACL 使用场景

在使用 ACL 之前，您可能会问自己，这个功能主要用来干嘛，它能帮我实现什么，ACL 可以帮助你实现下面两个主要目标：

  • 通过限制对命令和密钥的访问来提高安全性，以使不受信任的客户端无法访问，而受信任的客户端仅具有对数据库的最低访问级别才能执行所需的工作。例如，某些客户端可能仅能够执行只读命令，

  • 提高操作安全性，以防止由于软件错误或人为错误而导致进程或人员访问 Redis，从而损坏数据或配置。例如，没有必要让工作人员从 Redis 调用 FLUSHALL 命令。

ACL的另一种典型用法与托管Redis实例有关。Redis通常由管理内部Redis基础结构的内部公司团队为其所拥有的其他内部客户提供的一项托管服务，或者由云提供商在软件即服务设置中提供。在这两种设置中，我们都希望确保为客户排除配置命令。过去，通过命令重命名来完成此操作的方法是一种技巧，它使我们可以长时间不用 ACL 生存，但使用体验并不理想。

通过 ACL 命令来配置 ACL 规则

ACL是使用 DSL（domain specific language）定义的，该 DSL 描述了给定用户能够执行的操作。此类规则始终从左到右从第一个到最后一个实施，因为有时规则的顺序对于理解用户的实际能力很重要。

默认情况下，有一个用户定义，称为default。

我们可以使用 ACL LIST 命令来检查当前启用的 ACL 规则

127.0.0.1:6379> ACL LIST
1) "user default on nopass ~* +@all"

参数说明：

参 数说明
user用户
default表示默认用户名，或则自己定义的用户名
on表示是否启用该用户，默认为off（禁用）
#...表示用户密码，nopass表示不需要密码
~*表示可以访问的Key（正则匹配）
+@表示用户的权限，“+”表示授权权限，有权限操作或访问，“-”表示还是没有权限；@为权限分类，可以通过 ACL CAT 查询支持的分类。+@all 表示所有权限，nocommands 表示不给与任何命令的操作权限

权限对key的类型和命令的类型进行了分类，如有对数据类型进行分类：string、hash、list、set、sortedset，和对命令类型进行分类：connection、admin、dangerous。执行 ACL CAT 可以查看支持的权限分类列表

127.0.0.1:6379> ACL CAT1) "keyspace"2) "read"3) "write"4) "set"5) "sortedset"6) "list"7) "hash"8) "string"9) "bitmap"
10) "hyperloglog"
11) "geo"
12) "stream"
13) "pubsub"
14) "admin"
15) "fast"
16) "slow"
17) "blocking"
18) "dangerous"
19) "connection"
20) "transaction"
21) "scripting"-- 返回指定类别中的命令
> ACL CAT hash1) "hsetnx"2) "hset"3) "hlen"4) "hmget"5) "hincrbyfloat"6) "hgetall"7) "hvals"8) "hscan"9) "hkeys"
10) "hstrlen"
11) "hget"
12) "hdel"
13) "hexists"
14) "hincrby"
15) "hmset" 

配置用户权限

我们可以通过两种主要方式创建和修改用户：

  • 使用 ACL 命令及其 ACL SETUSER 子命令。

  • 修改服务器配置（可以在其中定义用户）并重新启动服务器，或者如果我们使用的是外部 ACL 文件，则只需发出 ACL LOAD 即可。

+<command>：将命令添加到用户可以调用的命令列表中，如+@hash
-<command>: 将命令从用户可以调用的命令列表中移除
+@<category>: 添加一类命令，如：@admin, @set, @hash ... 可以`ACL CAT` 查看具体的操作指令。特殊类别@all表示所有命令，包括当前在服务器中存在的命令，以及将来将通过模块加载的命令
-@<category>: 类似+@<category>，从客户端可以调用的命令列表中删除命令
+<command>|subcommand: 允许否则禁用特定子命令。注意，这种形式不允许像-DEBUG | SEGFAULT那样，而只能以“ +”开头
allcommands：+@all的别名，允许所有命令操作执行。注意，这意味着可以执行将来通过模块系统加载的所有命令。
nocommands：-@all的别名，不允许所有命令操作执行。

使用 ACL SETUSER 命令

首先，让我们尝试最简单的 ACL SETUSER 命令调用：

> ACL SETUSER alice
OK

在上面的示例中，我根本没有指定任何规则。如果用户不存在，这将使用just created的默认属性来创建用户。如果用户已经存在，则上面的命令将不执行任何操作。

让我们检查一下默认的用户状态：

> ACL LIST
1) "user alice off -@all"
2) "user default on nopass ~* +@all"

刚创建的用户“ alice”为：

处于关闭状态，即已禁用。AUTH 将不起作用。无法访问任何命令。请注意，默认情况下，该用户是默认创建的，无法访问任何命令，因此-@all可以忽略上面输出中的，但是 ACL LIST 尝试是显式的，而不是隐式的。最后，没有用户可以访问的密钥模式。用户也没有设置密码。

这样的用户是完全无用的。让我们尝试定义用户，使其处于活动状态，具有密码，并且仅可以使用GET命令访问以字符串“ cached：”开头的键名称。

> ACL SETUSER alice on >p1pp0 ~cached:* +get
OK

现在，用户可以执行某些操作，但是会拒绝执行其他没有权限的操作：

> AUTH alice p1pp0
OK
> GET foo
(error) NOPERM this user has no permissions to access one of the keys used as arguments
> GET cached:1234
(nil)
> SET cached:1234 zap
(error) NOPERM this user has no permissions to run the 'set' command or its subcommand

事情按预期进行。为了检查用户alice的配置（请记住用户名区分大小写），可以使用 ACL LIST的替代方法 ACL GETUSER

> ACL GETUSER alice
1) "flags"
2) 1) "on"
3) "passwords"
4) 1) "2d9c75..."
5) "commands"
6) "-@all +get"
7) "keys"
8) 1) "cached:*"

如果我们使用RESP3，则输出的可读性可能更高，因此将其作为地图回复返回：

> ACL GETUSER alice
1# "flags" => 1~ "on"
2# "passwords" => 1) "2d9c75..."
3# "commands" => "-@all +get"
4# "keys" => 1) "cached:*"

多次调用ACL SETUSER会发生什么

了解多次调用 ACL SETUSER 会发生什么非常重要。重要的是要知道，每个SETUSER调用都不会重置用户，而只会将ACL规则应用于现有用户。仅在之前不知道的情况下才重置用户：在这种情况下，将使用归零的ACL创建一个全新的用户，即该用户无法执行任何操作，被禁用，没有密码等等：为了安全起见，最佳默认值。

但是，以后的调用只会逐步修改用户，因此例如以下调用顺序将导致 myuser 能够同时调用 GET 和 SET：

> ACL SETUSER myuser +set
OK
> ACL SETUSER myuser +get
OK> ACL LIST
1) "user default on nopass ~* +@all"
2) "user myuser off -@all +set +get"

使用外部 ACL 文件

有两种方法可以将用户存储在Redis配置中，一种是 redis.conf 中配置，一种是使用一个独立的外部 acl 文件，这两种方式不兼容，只能选择一种方式 通常外部文件的方式更灵活，推荐使用。

内部redis.conf和外部ACL文件中使用的格式是完全相同的，因此从一个切换到另一个很简单

配置内容如下：

user <username> ... acl rules ...

来看一个示例：

user worker +@list +@connection ~jobs:* on >ffa9203c493aa99

当您要使用外部ACL文件时，需要指定名为的配置指令 aclfile，如下所示：

aclfile /etc/redis/users.acl

当仅在redis.conf 文件内部直接指定几个用户时，可以使用CONFIG REWRITE以便通过重写将新的用户配置存储在文件中。

但是，外部ACL文件功能更强大。您可以执行以下操作：

  • 使用 ACL LOAD 重新加载外部 ACL 文件，通常在你手动修改了这个文件，希望 redis 重新加载的时候使用，需要注意的是要确保 acl 文件内容的正确性

  • 使用 ACL SAVE 将当前 ACL 配置保存到一个外部文件

More

redis 6.0 的 ACL 特性为我们带来了更好的权限控制方案，安全性更好，有需要的快来体验一下吧

Reference

  • https://redis.io/topics/acl

  • https://redis.io/commands/auth

  • https://www.cnblogs.com/zhoujinyi/p/13222464.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/308710.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

[Spring5]IOC容器_Bean管理_bean的作用域和bean的生命周期

[Spring5]IOC容器_Bean管理_bean的作用域和bean的生命周期

IOC操作Bean管理&#xff08;bean作用域&#xff09; 1.在Spring里面&#xff0c;设置创建bean实例是单实例还是多实例 2.在Spring里面&#xff0c;默认情况下&#xff0c;bean是单实例对象 package com.atguigu.spring.test;import com.atguigu.spring.collectiontype.Book…
阅读更多...
手动造轮子——为Ocelot集成Nacos注册中心

手动造轮子——为Ocelot集成Nacos注册中心

前言近期在看博客的时候或者在群里看聊天的时候&#xff0c;发现很多都提到了Ocelot网关的问题。我之前也研究过一点&#xff0c;网关本身是一种通用的解决方案&#xff0c;主要的工作就是拦截请求统一处理&#xff0c;比如认证、授权、熔断、限流、注册发现、负载均衡等等。随…
阅读更多...
程序员修神之路--简约而不简单的分布式通信基石

程序员修神之路--简约而不简单的分布式通信基石

点击“蓝字”关注&#xff0c;领取架构书籍菜菜哥&#xff0c;请教一个问题呗面试又被卡住了&#xff1f;还是你了解我呀&#xff0c;tcp协议面向连接是怎么回事呢&#xff1f;这个说详细起来&#xff0c;那本好几百页的tcp协议的书籍你倒是可以看看分布式系统可以总结为是处于…
阅读更多...
[Spring5]IOC容器_Bean管理注解方式_创建对象

[Spring5]IOC容器_Bean管理注解方式_创建对象

IOC操心Bean管理&#xff08;基于注解方式&#xff09; 1.什么是注解 &#xff08;1&#xff09;注解是代码特殊标记&#xff0c;格式&#xff1a;注解名称(属性名称属性值,属性名称属性值…) &#xff08;2&#xff09;使用注解&#xff0c;注解作用在类上面&#xff0c;方…
阅读更多...
一个有趣的问题, 你知道SqlDataAdapter中的Fill是怎么实现的吗

一个有趣的问题, 你知道SqlDataAdapter中的Fill是怎么实现的吗

一&#xff1a;背景1. 讲故事最近因为各方面原因换了一份工作&#xff0c;去了一家主营物联柜的公司&#xff0c;有意思的是物联柜上的终端是用 wpf 写的&#xff0c;代码也算是年久失修&#xff0c;感觉技术债还是蛮重的&#xff0c;前几天在调试一个bug的时候&#xff0c;看到…
阅读更多...
.Net Core in Docker极简入门（上篇）

.Net Core in Docker极简入门（上篇）

点击上方蓝字"小黑在哪里"关注我吧环境准备Docker基础概念Docker基础命令Docker命令实践构建Docker镜像Dockerfilebulid & run前言Docker 是一个开源的应用容器引擎&#xff0c;它十分火热&#xff0c;如今几乎成为了后端开发人员必须掌握的一项技能。即使你在生…
阅读更多...
[Spring5]AOP底层原理

[Spring5]AOP底层原理

AOP底层原理 1.AOP底层使用动态代理 &#xff08;1&#xff09;有两种情况动态代理 第一种 有接口的情况&#xff0c;使用JDK动态代理 a.创建接口实现类代理对象&#xff0c;增强类的方法 第二种 没有接口的情况&#xff0c;使用CGLIB动态代理 a.创建子类的代理对象&#…
阅读更多...
Hangfire定时触发作业，好像很简单？

Hangfire定时触发作业，好像很简单？

【导读】本节我们继续稍微详细讲讲在我没有详细了解源码的前提下来探讨通过Hangfire定时触发作业有哪些需要注意的事项间隔时间内执行作业举个栗子&#xff0c;每隔10秒监控系统CPU&#xff0c;若CPU飙高&#xff08;根据实际业务定义百分比&#xff09;则在控制台打印输出&…
阅读更多...
五分钟快速搭建Serverless免费邮件服务

五分钟快速搭建Serverless免费邮件服务

1. 引言本文将带你快速基于 Azure Function 和 SendGrid 构建一个免费的Serverless&#xff08;无服务器&#xff09;的邮件发送服务&#xff0c;让你感受下Serverless的强大之处。该服务可以每月免费发送2,5000封&#xff0c;这是完全白嫖啊&#xff0c;感兴趣的&#xff0c;赶…
阅读更多...
[Swagger2]SpringBoot集成Swagger

[Swagger2]SpringBoot集成Swagger

SpringBoot集成Swagger 引入依赖 <!-- https://mvnrepository.com/artifact/io.springfox/springfox-swagger2 --> <dependency><groupId>io.springfox</groupId><artifactId>springfox-swagger2</artifactId><version>2.9.2</…
阅读更多...
IdentityServer4 4.x版本 配置Scope的正确姿势

IdentityServer4 4.x版本 配置Scope的正确姿势

点击上方蓝字"小黑在哪里"关注我吧前言IdentityServer4 是为ASP.NET Core系列量身打造的一款基于 OpenID Connect 和 OAuth 2.0 认证的框架IdentityServer4官方文档&#xff1a;https://identityserver4.readthedocs.io/看这篇文章前默认你对IdentityServer4 已经有一…
阅读更多...
[Swagger2]配置Swagger

[Swagger2]配置Swagger

配置Swaggr 1、Swagger实例Bean是Docket&#xff0c;所以通过配置Docket实例来配置Swaggger。 package com.xxxx.swagger2.config;import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import springfox.doc…
阅读更多...
.Net Core微服务入门全纪录（完结）——Ocelot与Swagger

.Net Core微服务入门全纪录（完结）——Ocelot与Swagger

点击上方蓝字"小黑在哪里"关注我吧前言上一篇【.Net Core微服务入门全纪录&#xff08;八&#xff09;——Docker Compose与容器网络】完成了docker-compose.yml文件的编写&#xff0c;最后使用docker compose的一个up指令即可在docker中运行整个复杂的环境。本篇简单…
阅读更多...
[Swagger2]Swaggr配置扫描接口配置Swagger开关

[Swagger2]Swaggr配置扫描接口配置Swagger开关

Swagger配置扫描接口 1、构建Docket时通过select()方法配置怎么扫描接口。 Bean public Docket docket() {return new Docket(DocumentationType.SWAGGER_2).apiInfo(apiInfo()).select()// 通过.select()方法&#xff0c;去配置扫描接口,RequestHandlerSelectors配置如何扫描…
阅读更多...
最全.Net学习资料库上线，今日可免费下载各类资源！（附百度云链接）

最全.Net学习资料库上线，今日可免费下载各类资源！（附百度云链接）

送资料送资料1 适合学习者&#xff1a;0-10年.Net开发人员2 更新时间&#xff1a;2020年7月24日3 在哪领取&#xff1a;文末扫码免费领取4 包含课程&#xff1a;零基础就业必修/高级开发必修/架构师必修5 配套资料&#xff1a;视频配套源码/最新面试题合集/最新技术书/安装包你…
阅读更多...
[Swagger2]拓展：其他皮肤

[Swagger2]拓展：其他皮肤

拓展&#xff1a;其他皮肤 我们可以导入不同的包实现不同的皮肤定义&#xff1a; 1、默认的 访问 http://localhost:8080/swagger-ui.html <dependency><groupId>io.springfox</groupId><artifactId>springfox-swagger-ui</artifactId><ve…
阅读更多...
如何基于 DDD 构建微服务？

如何基于 DDD 构建微服务？

本文将讨论微服务与 DDD 涉及到的概念、策划和设计方法&#xff0c;并且尝试将一个单体应用拆分成多个基于 DDD 的微服务。微服务的定义微服务中的“微”虽然表示服务的规模&#xff0c;但它并不是使应用程序成为微服务的唯一标准。当团队转向基于微服务的架构时&#xff0c;他…
阅读更多...
.NET Core ResponseCache【缓存篇（一）】

.NET Core ResponseCache【缓存篇（一）】

一、前言源码1、最近一直在看项目性能优化方式&#xff0c;俗话说的好项目优化第一步那当然是添加缓存&#xff0c;我们的项目之所以卡的和鬼一样&#xff0c;要么就是你的代码循环查询数据库&#xff08;这个之前在我们的项目中经常出现&#xff0c;现在慢慢在修正&#xff09…
阅读更多...
[Swagger2]分组和接口注释及小结

[Swagger2]分组和接口注释及小结

分组和接口注释及小结 配置API分组 1、如果没有配置分组&#xff0c;默认是default。通过groupName()方法即可配置分组&#xff1a; Bean public Docket docket(Environment environment) {return new Docket(DocumentationType.SWAGGER_2).apiInfo(apiInfo()).groupName(&qu…
阅读更多...
Asp.Net Core 中的“虚拟目录”

Asp.Net Core 中的“虚拟目录”

写在前面现在部署Asp.Net Core应用已经不再限制于Windows的IIS上&#xff0c;更多的是Docker容器、各种反向代理来部署。也有少部分用IIS部署的&#xff0c;IIS部署确实是又快又简单&#xff0c;图形化操作三下五除二就可以发布好一个系统了。在过去Asp.Net MVC 项目部署的时候…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023