גישה מאובטחת לאשכולות באמצעות אימות בסיסי מבוסס-אסימון

בנוסף לאימות באמצעות ניהול זהויות והרשאות גישה (IAM), אפשר להשתמש באימות בסיסי מבוסס-אסימון כדי לאבטח את הגישה לאשכולות ב-Memorystore for Redis Cluster. אימות בסיסי שמבוסס על טוקנים הוא פתרון קל משקל שמאפשר ללקוחות לאמת את הזהות שלהם באפליקציות שלכם באמצעות הטוקנים שלהם.

לאימות בסיסי מבוסס-טוקן יש דרישות מינימליות לגבי משאבים, והוא לא דורש הרבה משאבים. בנוסף, אם עומסי העבודה הנוכחיים שלכם ב-Memorystore for Redis או באפליקציות המקומיות כבר משתמשים באימות בסיסי מבוסס-טוקן, התכונה הזו מאפשרת מעבר חלק כשאתם מבצעים מיגרציה ל-Memorystore for Redis Cluster.

יתרונות

היתרונות של שימוש באימות בסיסי מבוסס-אסימון:

  • גמישות: אפשר להפעיל אימות בכל שלב באשכולות חדשים וקיימים. כשמפעילים אימות בסיסי מבוסס-אסימון, האשכולות מאובטחים. בכל החיבורים החדשים, המשתמשים צריכים לספק טוקן כדי לבצע אימות לאשכולות.
  • רוטציה ללא השבתה: רוטציה של אסימוני משתמשים בלי לגרום להשבתה של האפליקציות.
  • תאימות: למשתמש העל default יש את אותן הרשאות שניתנו למשתמש הזה. אימות בסיסי מבוסס-אסימון מוסיף עוד שכבת הגנה. כך מובטחת תאימות לאחור כשמעבירים את עומסי העבודה מ-Memorystore for Redis אל Memorystore for Redis Cluster.

מצבי אימות

אימות בסיסי מבוסס-טוקן תומך בשני מצבי אימות עיקריים:

  • אימות פשוט: שיטה פשוטה שבה המשתמש שולח טוקן אימות כדי לאמת את עצמו כמשתמש default
  • אימות של כמה משתמשים: ניהול של כמה משתמשים כדי לאמת את הגישה לאשכולות

שיטות מומלצות

מטעמי אבטחה, מומלץ להשתמש בשיטות המומלצות הבאות לאימות בסיסי מבוסס-אסימון:

  • החלפת טוקנים של משתמשים: שימוש במדיניות החלפה לטוקנים של משתמשים.

  • שימוש ב-Secret Manager: אל תטמיעו בקוד האפליקציה את פרטי הכניסה הבסיסיים של המשתמש לאימות מבוסס-אסימון. במקום זאת, אפשר לאחסן אותם ב-Secret Manager ולאחזר אותם בזמן הריצה.

    Secret Manager מספק כספת מרכזית ומוצפנת לפרטי כניסה של משתמשים, וכך מבטל את הצורך בניהול פרטי כניסה ידני ומצמצם את התקורה התפעולית. הוא אוכף את אמצעי בקרת הגישה באמצעות IAM ויוצר יומני ביקורת באופן אוטומטי. כך אפשר לוודא שהמערכת עומדת בדרישות ולמנוע חשיפה של פרטי הכניסה.

  • שילוב של אימות בסיסי מבוסס-טוקן עם Transport Layer Security ‏ (TLS): כשמשתמשים באימות בסיסי מבוסס-טוקן, מומלץ להפעיל הצפנה בהעברה. כך מוודאים ששמות המשתמשים והאסימונים לא יישלחו בטקסט פשוט ברשת.

לפני שמתחילים

לפני שמתחילים לאבטח את האשכולות באמצעות אימות בסיסי מבוסס-טוקן, צריך לבצע את הפעולות המקדימות שמפורטות בקטע הזה.

אימות תמיכת לקוח לאימות בסיסי מבוסס-אסימון

כדי לוודא שאפליקציות הלקוח יכולות לתמוך באימות בסיסי מבוסס-אסימון, צריך לוודא שהאפליקציות יכולות להשתמש בפקודה AUTH.

המשתמש default מאמת את עצמו באפליקציות הלקוח באמצעות הפקודה הבאה:

AUTH TOKEN

בפקודה הזו, TOKEN הוא אסימון האימות של משתמש ברירת המחדל.

כל שאר המשתמשים מבצעים אימות באמצעות הפקודה הבאה:

AUTH USERNAME TOKEN

בפקודה הזו, USERNAME ו-TOKEN הם שם המשתמש ואסימון האימות של המשתמש.

מידע נוסף על הפקודה AUTH זמין במאמר AUTH במסמכי התיעוד של Redis.

שימוש במסוף Google Cloud , ב-Google Cloud CLI ובממשקי API

כדי להשתמש במסוף Google Cloud , ב-CLI של gcloud ובממשקי ה-API, מבצעים את הפעולות הבאות:

  1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים פרויקט ב- Google Cloud או יוצרים אותו.

    כניסה לדף לבחירת הפרויקט

  2. מוודאים שהחיוב מופעל בפרויקט. כך בודקים אם החיוב מופעל בפרויקט

  3. מתקינים ומפעילים את ה-CLI של gcloud.

    הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת. כדי לגשת לפקודות של Memorystore for Redis Cluster ב-CLI של gcloud, צריך לפחות את ה-CLI של gcloud מגרסה 489.0.0.

  4. מפעילים את Memorystore for Redis Cluster API.
    Memorystore for Redis Cluster API
  5. מפעילים את Network Connectivity API.
    Network Connectivity API
  6. מפעילים את Service Consumer Management API.
    Service Consumer Management API

הקצאת תפקידים

כדי להגדיר אימות בסיסי מבוסס-אסימון לאשכולות, צריך שיהיה לכם אחד מתפקידי ה-IAM הבאים בפרויקט ב- Google Cloud :

  • ‫roles/redis.admin (התפקיד "אדמין ב-Redis")
  • ‫roles/owner (התפקיד 'בעלים')
  • roles/editor (תפקיד עריכה)

ניהול אימות בסיסי מבוסס-אסימון לאשכולות

ב-Memorystore for Redis Cluster אפשר לבצע את הפעולות הבאות כדי לנהל אימות בסיסי מבוסס-אסימון לאשכולות:

יצירת אשכול עם אימות בסיסי מבוסס-אסימון

יצירת אשכול עם אימות בסיסי מבוסס-טוקן מאפשרת להגביל את הגישה של משתמש לאשכול באמצעות שיטה קלה ונתמכת באופן נרחב.

אפשר ליצור את האשכול באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

כדי ליצור אשכול ולהפעיל בו אימות בסיסי מבוסס-טוקן, ראו יצירת מכונות.

gcloud

כדי ליצור אשכול ולהפעיל בו אימות בסיסי מבוסס-אסימון, משתמשים בפקודה gcloud beta redis clusters create.

gcloud beta redis clusters create CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

מחליפים את הפרטים הבאים:

  • ‫CLUSTER_ID: המזהה של האשכול שרוצים ליצור כדי להשתמש באימות בסיסי מבוסס-אסימון
  • ‫REGION: האזור שבו רוצים שהאשכול יהיה ממוקם

הפעלת אימות בסיסי מבוסס-טוקן באשכול

הפעלת אימות בסיסי מבוסס-טוקן עבור אשכול מאפשרת להגביל את הגישה של משתמש לאשכול באמצעות שיטה קלה ונתמכת באופן נרחב.

משתמש default יכול לבצע אימות לאשכול רק באמצעות האסימון שלו. כל שאר המשתמשים מאמתים את הזהות שלהם באמצעות שם משתמש וטוקן רגילים. מידע נוסף זמין במאמר בנושא אימות התמיכה של הלקוח באימות בסיסי מבוסס-טוקן.

הפעלת אימות בסיסי מבוסס-טוקן עלולה לגרום להשבתה של אפליקציות שמנסות ליצור חיבורים חדשים, כי Memorystore for Redis Cluster דורש בקשות מאומתות. החיבורים הקיימים לא יושפעו, אבל כדי להשתמש באימות בסיסי מבוסס-טוקן בכל ניסיון חיבור עתידי לאשכול, תצטרכו לעדכן את האפליקציות. מידע נוסף זמין במאמר התחברות לאשכול באמצעות אימות בסיסי מבוסס-אסימון.

אפשר להפעיל אימות בסיסי מבוסס-טוקן לאשכול באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

  1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

    ‫Memorystore for Redis Cluster

  2. לוחצים על האשכול שרוצים להפעיל בו אימות בסיסי מבוסס-טוקן.

  3. בדף Cluster at a glance, גוללים לכרטיס Security.

  4. לצד השדה Auth Mode, לוחצים על Edit ().

    אם מופיע IAM Auth או Token Auth ליד השדה, סימן שכבר הפעלתם אימות IAM או אימות בסיסי מבוסס-אסימון לאשכול.

  5. בתיבת הדו-שיח Auth Mode (מצב אימות), בוחרים באפשרות Token Auth (אימות באמצעות טוקן) ולוחצים על Update cluster (עדכון האשכול).

gcloud

כדי להפעיל אימות בסיסי מבוסס-אסימון, משתמשים בפקודה gcloud beta redis clusters update.

gcloud beta redis clusters update CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

מחליפים את הפרטים הבאים:

  • ‫CLUSTER_ID: המזהה של האשכול שרוצים להפעיל בו אימות בסיסי מבוסס-טוקן
  • ‫REGION: האזור שבו נמצא האשכול

יצירת משתמש בסיסי לאימות מבוסס-טוקן באשכול

כשיוצרים משתמש בסיסי לאימות מבוסס-טוקן באשכול, מגדירים את האשכול כך שיאפשר אימות של משתמשים מרובים. אחרי שהמשתמש מתחבר בפעם הראשונה, מצב האימות הזה פועל כפרטי כניסה מאובטחים שאפשר לבטל לחיבורים חדשים. המשתמש יכול להמשיך להשתמש באסימון האימות עד שהוא יימחק או עד שהמשתמש יוסר.

אתם יכולים ליצור משתמש בסיסי לאימות מבוסס-אסימון באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

  1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

    ‫Memorystore for Redis Cluster

  2. לוחצים על האשכול שרוצים ליצור בו משתמש לאימות בסיסי מבוסס-טוקן.

  3. בחלונית ההזזה לניווט, לוחצים על האפשרות משתמשים בתפריט.

    אם האפשרות הזו לא מופיעה במגירה, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-טוקן לאשכול.

  4. בדף משתמשים, לוחצים על הוספת משתמש.

  5. בתיבת הדו-שיח הוספת משתמש, מזינים מזהה למשתמש ולוחצים על הוספה.

gcloud

כדי ליצור את המשתמש, משתמשים בפקודה gcloud beta redis clusters create-token-auth-user.

gcloud beta redis clusters create-token-auth-user CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

  • ‫CLUSTER_ID: מזהה האשכול שבו רוצים ליצור משתמש בסיסי לאימות מבוסס-אסימון
  • ‫REGION: האזור שבו נמצא האשכול
  • ‫USERNAME: שם המשתמש של המשתמש

הצגת רשימה של משתמשים עם אימות בסיסי מבוסס-טוקן באשכול

כדי לאחזר רשימה של משתמשים באשכול עם אימות בסיסי מבוסס-אסימון, אתם יכולים להשתמש במסוף Google Cloud או ב-ה-CLI של gcloud.

המסוף

  1. במסוף Google Cloud , עוברים לדף Memorystore for Redis Cluster.

    ‫Memorystore for Redis Cluster

  2. לוחצים על האשכול שרוצים לאחזר את רשימת המשתמשים שלו עם אימות בסיסי מבוסס-אסימון.

  3. בחלונית הזזה לניווט, לוחצים על אפשרות בתפריט משתמשים. בדף משתמשים מוצגת רשימה של משתמשים עם אימות בסיסי מבוסס-טוקן.

    אם האפשרות Users לא מופיעה בחלונית ההזזה לניווט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

gcloud

כדי להציג את רשימת המשתמשים, משתמשים בפקודה gcloud beta redis clusters token-auth-users list.

gcloud beta redis clusters token-auth-users list \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

  • ‫CLUSTER_ID: מזהה האשכול שרוצים לאחזר את רשימת המשתמשים שלו עם אימות בסיסי מבוסס-אסימון.
  • ‫REGION: האזור שבו נמצא האשכול

הצגת מידע על משתמש בסיסי עם אימות מבוסס-אסימון

אפשר להציג מידע על משתמש עם אימות בסיסי מבוסס-טוקן באמצעות ה-CLI של gcloud.

כדי להציג מידע על המשתמש, משתמשים בפקודה gcloud beta redis clusters token-auth-users describe.

gcloud beta redis clusters token-auth-users describe USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

  • ‫USERNAME: שם המשתמש של המשתמש באימות בסיסי מבוסס-אסימון שרוצים להציג מידע לגביו
  • ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לבצע בו אימות
  • ‫REGION: האזור שבו נמצא האשכול

מחיקת משתמש עם אימות בסיסי מבוסס-אסימון מאשכול

כשמוחקים מאשכול משתמש עם אימות בסיסי מבוסס-אסימון, מבטלים את זכויות הגישה של המשתמש לאשכול.

אפשר למחוק משתמש עם אימות בסיסי מבוסס-טוקן מאשכול באמצעות Google Cloud המסוף או ה-CLI של gcloud.

המסוף

  1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

    Memorystore for Redis Cluster

  2. לוחצים על האשכול שממנו רוצים למחוק משתמש עם אימות בסיסי מבוסס-טוקן.

  3. בחלונית ההזזה לניווט, לוחצים על האפשרות משתמשים בתפריט.

    אם האפשרות הזו לא מופיעה במגירה, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-טוקן לאשכול.

  4. בדף משתמשים, לצד המזהה של המשתמש שרוצים למחוק, לוחצים על פעולות ().

  5. בתפריט שמופיע, לוחצים על הסרת משתמש.

  6. בתיבת הדו-שיח Delete user?‎, מזינים את מזהה המשתמש ולוחצים על Delete. ‫Memorystore for Redis Cluster מוחק את המשתמש ואת כל אסימוני האימות שמשויכים אליו.

  7. אופציונלי: ב-Memorystore for Redis Cluster, החיבורים הקיימים של המשתמש שנמחק לא מסתיימים. כדי לסיים את החיבורים האלה, מריצים את הפקודה הבאה בכל הצמתים באשכול:

    CLIENT KILL USER USERNAME

gcloud

כדי למחוק את המשתמש, משתמשים בפקודה gcloud beta redis clusters token-auth-users delete.

gcloud beta redis clusters token-auth-users delete USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

  • ‫USERNAME: שם המשתמש של המשתמש באימות הבסיסי שמבוסס על טוקן
  • ‫CLUSTER_ID: המזהה של האשכול שממנו רוצים למחוק את המשתמש
  • ‫REGION: האזור שבו נמצא האשכול

כשמוחקים משתמש ב-Memorystore for Redis Cluster, נמחקים גם כל אסימוני האימות שמשויכים אליו. בנוסף, Memorystore for Redis Cluster לא מסיים חיבורים קיימים. כדי לסיים את החיבורים האלה, מריצים את הפקודה הבאה בכל הצמתים באשכול:

CLIENT KILL USER USERNAME

ניהול אימות בסיסי מבוסס-אסימון למשתמשים

ב-Memorystore for Redis Cluster אפשר לבצע את הפעולות הבאות כדי לנהל אימות בסיסי מבוסס-טוקן למשתמשים:

יצירת אסימון אימות למשתמש

כשיוצרים משתמש בסיסי לאימות מבוסס-אסימון באשכול, Memorystore for Redis Cluster יוצר באופן אוטומטי אסימון אימות למשתמש. אבל אפשר ליצור אסימון אימות נוסף עבור המשתמש. כך תוכלו לשנות את האסימון הקיים של המשתמש בלי לגרום להשבתה של האפליקציות.

אפשר ליצור אסימון אימות למשתמש באמצעות מסוף Google Cloud או CLI של gcloud.

המסוף

  1. במסוף Google Cloud , עוברים לדף Memorystore for Redis Cluster.

    Memorystore for Redis Cluster

  2. לוחצים על האשכול שבו נמצא המשתמש שרוצים ליצור לו אסימון אימות.

  3. בחלונית הזזה לניווט, לוחצים על אפשרות בתפריט משתמשים.

    אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

  4. בדף משתמשים, ליד המזהה של המשתמש שעבורו רוצים ליצור אסימון אימות, לוחצים על פעולות ().

  5. בתפריט שמופיע, לוחצים על הוספת אסימון אימות.

  6. בתיבת הדו-שיח Add auth token, לוחצים על Add.

    אם למשתמש כבר יש שני אסימוני אימות, כדי ליצור עוד אסימון בשבילו צריך למחוק אסימון קיים.

gcloud

כדי ליצור את הטוקן, משתמשים בפקודה gcloud beta redis clusters token-auth-users create-auth-token.

gcloud beta redis clusters token-auth-users create-auth-token USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

  • ‫USERNAME: שם המשתמש של המשתמש שעבורו רוצים ליצור אסימון אימות
  • ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לגשת אליו באמצעות האסימון
  • ‫REGION: האזור שבו נמצא האשכול

אם למשתמש כבר יש שני אסימוני אימות, כדי ליצור עוד אסימון בשבילו צריך למחוק אסימון קיים.

הצגת רשימה של טוקנים לאימות של משתמש

אפשר לאחזר רשימה של טוקנים לאימות של משתמש באמצעות ה-CLI של gcloud.

כדי לראות את רשימת האסימונים, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens list.

gcloud beta redis clusters token-auth-users auth-tokens list \
--token-auth-user=USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

  • USERNAME: שם המשתמש של המשתמש שאליו שייכים אסימוני האימות
  • ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לגשת אליו באמצעות אסימוני האימות
  • ‫REGION: האזור שבו נמצא האשכול

הצגת מידע על אסימוני אימות של משתמש

אפשר לראות מידע על טוקנים לאימות של משתמש באמצעות מסוף Google Cloud או CLI של gcloud.

המסוף

  1. במסוף Google Cloud , עוברים לדף Memorystore for Redis Cluster.

    Memorystore for Redis Cluster

  2. לוחצים על האשכול שכולל את טוקני האימות של המשתמש שרוצים לראות מידע לגביו.

  3. בחלונית הזזה לניווט, לוחצים על אפשרות בתפריט משתמשים.

    אם פריט התפריט לא מופיע בחלונית, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-טוקן לאשכול.

  4. בדף משתמשים, ליד המזהה של המשתמש, לוחצים על פעולות ().

  5. בתפריט שמופיע, לוחצים על הצגת אסימוני אימות. בתיבת הדו-שיח Auth tokens מוצג המידע הבא:

    • מזהה המשתמש.
    • מספר טוקני האימות שיש למשתמש (אחד או שניים).
    • הגרסה של כל אסימון אימות, יחד עם התאריך והשעה שבהם נוצרה כל גרסה ב-Memorystore for Redis Cluster. בכל פעם שיוצרים אסימון אימות למשתמש, Memorystore for Redis Cluster יוצר גרסה מצטברת של האסימון.
    • אסימוני האימות.

  6. אופציונלי: כדי לקבל אסימון אימות של משתמש ולהשתמש בו כדי להתחבר לאשכול, לוחצים על Copy () ליד האסימון ומדביקים אותו בכלי לעריכת טקסט.

  7. לוחצים על סיום.

gcloud

כדי לראות את המידע, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens describe.

gcloud beta redis clusters token-auth-users auth-tokens describe AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

  • ‫AUTH_TOKEN: השם של אסימון האימות שרוצים לראות מידע לגביו
  • ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לגשת אליו באמצעות האסימון
  • ‫REGION: האזור שבו נמצא האשכול
  • ‫USERNAME: שם המשתמש של המשתמש שאליו שייך אסימון האימות

מחיקת אסימון אימות של משתמש

מחיקת אסימון אימות ממשתמש היא פעולת אבטחה קריטית שגורמת לאסימון להיות לא תקף.

אתם יכולים למחוק אסימון אימות של משתמש באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

  1. במסוף Google Cloud , עוברים לדף Memorystore for Redis Cluster.

    Memorystore for Redis Cluster

  2. לוחצים על האשכול שכולל משתמש שרוצים למחוק ממנו אסימון אימות.

  3. בחלונית הזזה לניווט, לוחצים על אפשרות בתפריט משתמשים.

    אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

  4. בדף משתמשים, ליד המזהה של המשתמש שממנו רוצים למחוק אסימון אימות, לוחצים על פעולות ().

  5. בתפריט שמופיע, לוחצים על מחיקת אסימון אימות.

  6. בתיבת הדו-שיח Delete Auth Token? (למחוק את אסימון האימות?), מבצעים את הפעולות הבאות:

    1. בתפריט Auth token (אסימון אימות), בוחרים את אסימון האימות שרוצים למחוק.
    2. בשדה Auth token ID, מזינים את מספר הגרסה של מזהה הטוקן (לדוגמה, version-1).
    3. לוחצים על Delete.

gcloud

כדי למחוק את האסימון, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens delete.

gcloud beta redis clusters token-auth-users auth-tokens delete AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

  • ‫AUTH_TOKEN: השם של אסימון האימות שרוצים למחוק מהמשתמש
  • ‫CLUSTER_ID: המזהה של האשכול שרוצים למנוע מהמשתמש לגשת אליו על ידי מחיקת האסימון
  • ‫REGION: האזור שבו נמצא האשכול
  • ‫USERNAME: שם המשתמש של המשתמש שיש לו אסימון שרוצים למחוק

התחברות לאשכול באמצעות אימות בסיסי מבוסס-אסימון

כדי להתחבר לאשכול באמצעות אימות בסיסי מבוסס-אסימון, אפשר להשתמש בשיטות הבאות:

  • מחרוזת של מזהה משאב אחיד (URI): המחרוזת המעוצבת הזו משמשת לנוחותכם כי היא מכילה את כל פרטי החיבור הנדרשים (לדוגמה, שם המשתמש והאסימון של המשתמש, וכתובת ה-IP ושם המארח של האשכול).
  • Flags: השיטה הזו מתאימה יותר לשימוש בכלי שורת פקודה ספציפי, לסקריפטים או לסביבות שבהן ההגדרה מחולקת למשתני סביבה נפרדים באמצעות כמה ארגומנטים נפרדים.

בקטעים הבאים מוסברות כל שיטות הקישור.

שימוש במחרוזת URI

כדי להתחבר ממכונה וירטואלית של Compute Engine או מסביבה נתמכת באמצעות מחרוזת URI, משתמשים בפקודה הבאה:

redis-cli -c -u
redis://USERNAME:TOKEN@IP_ADDRESS:PORT

מחליפים את הפרטים הבאים:

  • ‫USERNAME: שם המשתמש של המשתמש שמנסה להתחבר לאשכול
  • ‫TOKEN: אסימון האימות של המשתמש
  • ‫IP_ADDRESS: כתובת ה-IP של האשכול
  • ‫PORT: מספר היציאה ששמור לאשכול

אם מפעילים הצפנה במעבר באשכול, צריך להשתמש בפרוטוקול Redis המאובטח (rediss://) ולצרף את דגלי ה-TLS. לדוגמה:

redis-cli -c -u
rediss://USERNAME:TOKEN@IP_ADDRESS:PORT --cacert /tmp/server_ca.pem

שימוש בדגלים

כדי להתחבר ממכונה וירטואלית ב-Compute Engine או מסביבה נתמכת באמצעות דגלים, משתמשים בפקודה הבאה:

redis-cli -c --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT

מחליפים את הפרטים הבאים:

  • ‫USERNAME: שם המשתמש של המשתמש שמנסה להתחבר לאשכול
  • ‫TOKEN: אסימון האימות של המשתמש
  • ‫IP_ADDRESS: כתובת ה-IP של האשכול
  • ‫PORT: מספר היציאה ששמור לאשכול

אם מפעילים הצפנה במעבר באשכול, צריך לצרף את דגלי ה-TLS. לדוגמה:

redis-cli -c --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT --tls --cacert /tmp/server_ca.pem

החלפת אסימון האימות של המשתמש בלי זמן השבתה

כדי להחליף את אסימון האימות של משתמש בלי לגרום להשבתה של האפליקציות, מבצעים את הפעולות הבאות:

  1. יצירת אסימון אימות נוסף למשתמש: שירות Memorystore for Redis Cluster יוצר אסימון שני ותקין. שני הטוקנים תקפים.
  2. עדכון האפליקציות: צריך לעדכן את האפליקציות כדי להשתמש באסימון החדש.
  3. מחיקת אסימון האימות של המשתמש: המערכת של Memorystore for Redis Cluster מסירה את האסימון הראשון. המשתמש יכול להשתמש רק בטוקן השני כדי לאמת את הזהות שלו באפליקציות שלכם.

יומני גישה לאימות בסיסי מבוסס-טוקן

ב-Memorystore for Redis Cluster נוצרים יומני ביקורת של פעילות אדמין וגישה לנתונים עבור פעולות שמשויכות לטוקנים של אימות ולמשתמשים. מידע נוסף על יומני הביקורת האלה זמין במאמר מעקב אחרי הגישה באמצעות יומני ביקורת.