使用以權杖為依據的基本驗證機制，確保叢集存取安全

除了身分與存取權管理 (IAM) 驗證，您也可以使用基本的權杖型驗證機制，確保 Memorystore for Redis Cluster 叢集的存取安全。基本權杖型驗證機制是一種輕量型解決方案，可讓用戶端在應用程式中透過權杖驗證身分。

基本權杖式驗證的資源需求極低，資源負擔也很小。此外，如果您目前在 Memorystore for Redis 或地端應用程式上的工作負載已使用基本權杖式驗證，當您遷移至 Memorystore for Redis Cluster 時，這項功能可協助您順利轉換。

優點

使用基本的權杖型驗證機制可享有下列優點：

  • 彈性：無論是新叢集還是現有叢集，隨時都能啟用驗證。啟用基本的權杖型驗證機制後，叢集就會受到保護。對於所有新連線，使用者必須提供權杖，才能驗證叢集。
  • 零停機時間輪換：輪換使用者權杖，不會造成應用程式停機。
  • 相容性：default 超級使用者會保留授予這位使用者的權限。以權杖為基礎的基本驗證可多添一層保護。這可確保您將工作負載從 Memorystore for Redis 遷移至 Memorystore for Redis Cluster 時，能維持回溯相容性。

驗證模式

基本權杖驗證支援兩種主要驗證模式：

  • 簡單驗證：使用者傳送驗證權杖，將自己驗證為 default 使用者的簡單方法
  • 多使用者驗證：管理多位使用者，驗證叢集存取權

最佳做法

為確保安全，建議您採用下列最佳做法，進行基本權杖式驗證：

  • 輪替使用者權杖：使用使用者權杖的輪替政策。

  • 使用 Secret Manager：請勿在應用程式程式碼中，以硬式編碼方式加入使用者的基本權杖式驗證憑證。請改為將這些值儲存在 Secret Manager，並在執行階段擷取。

    Secret Manager 提供集中式加密保管庫，可存放使用者憑證，因此不會有密鑰散亂的問題，也能減少手動管理憑證的作業負擔。這項服務會使用 IAM 強制執行存取控管，並自動產生稽核記錄。確保符合規定，並防止憑證外洩。

  • 將基本權杖型驗證機制與傳輸層安全標準 (TLS) 結合使用： 使用基本權杖型驗證機制時，建議您啟用傳輸中加密。這樣可確保使用者名稱和權杖不會透過網路以純文字傳送。

事前準備

開始使用基本的權杖型驗證機制保護叢集安全之前，請先完成本節中的必備條件。

確認用戶端支援基本的權杖型驗證

如要確認用戶端應用程式是否支援基本的權杖型驗證，請確認應用程式可以使用 AUTH 指令。

default 使用者會透過下列指令，向用戶端應用程式進行驗證：

AUTH TOKEN

這個指令的 TOKEN 是預設使用者的驗證權杖。

其他使用者則使用下列指令進行驗證：

AUTH USERNAME TOKEN

在這個指令中，USERNAME 和 TOKEN 分別是使用者的使用者名稱和驗證權杖。

如要進一步瞭解 AUTH 指令，請參閱 Redis 說明文件中的「AUTH」。

使用 Google Cloud 控制台、Google Cloud CLI 和 API

如要使用 Google Cloud 控制台、gcloud CLI 和 API，請按照下列步驟操作：

  1. 在 Google Cloud 控制台的專案選擇器頁面中，選取或建立 Google Cloud 專案。

    前往專案選取器

  2. 請確認您已為專案啟用計費功能。瞭解如何檢查專案是否已啟用計費功能。

  3. 安裝並初始化 Google Cloud CLI (gcloud CLI)。

    注意：如果您已安裝 gcloud CLI，請執行 gcloud components update，確認目前使用的是最新版本。如要存取 Memorystore for Redis Cluster gcloud CLI 指令，您至少需要 gcloud CLI 489.0.0 版。

  4. 啟用 Memorystore for Redis Cluster API。
    Memorystore for Redis Cluster API
  5. 啟用 Network Connectivity API。
    Network Connectivity API
  6. 啟用 Service Consumer Management API。
    Service Consumer Management API

指派角色

如要為叢集設定以權杖為依據的基本驗證機制，您必須在 Google Cloud 專案中具備下列其中一個 IAM 角色：

  • roles/redis.admin (Redis 管理員角色)
  • roles/owner (擁有者角色)
  • roles/editor (編輯者角色)

管理叢集的基本權杖型驗證

Memorystore for Redis Cluster 支援下列動作，可管理叢集的基本權杖式驗證：

建立具有基本權杖型驗證機制的叢集

建立叢集時，您可以採用基本的權杖型驗證機制，以輕量且廣泛支援的方法，限制使用者存取叢集。

您可以使用 Google Cloud 控制台或 gcloud CLI 建立叢集。

控制台

如要建立叢集並為其啟用基本權杖式驗證，請參閱「建立執行個體」。

gcloud

如要建立叢集並為其啟用基本的權杖型驗證機制，請使用 gcloud beta redis clusters create 指令。

gcloud beta redis clusters create CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

請將下列項目改為對應的值：

  • CLUSTER_ID：您要建立的叢集 ID，用於基本權杖式驗證
  • REGION：叢集所在的區域

為叢集啟用基本的權杖型驗證

為叢集啟用基本的權杖型驗證機制後，您就能透過輕量級且廣泛支援的方法，限制使用者存取叢集。

default使用者只要使用權杖，即可向叢集進行驗證。其他所有使用者則透過標準使用者名稱和權杖進行驗證。詳情請參閱「確認用戶端支援以權杖為基礎的基本驗證」。

啟用基本權杖式驗證後，嘗試建立新連線的應用程式可能會發生停機情形，因為 Memorystore for Redis Cluster 需要經過驗證的要求。現有連線不會受到影響，但如要對後續的叢集連線嘗試使用基本的權杖型驗證機制，就必須更新應用程式。詳情請參閱「使用基本權杖驗證連線至叢集」。

您可以使用 Google Cloud 控制台或 gcloud CLI，為叢集啟用基本權杖型驗證。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下要啟用基本權杖型驗證的叢集。

  3. 在「叢集一覽」頁面中，捲動至「安全性」資訊卡。

  4. 按一下「Auth Mode」欄位旁的「Edit」圖示 ()。

    如果欄位旁顯示「IAM Auth」或「Token Auth」，表示您已為叢集啟用 IAM 驗證或基本權杖型驗證。

  5. 在「Auth Mode」對話方塊中，選取「Token Auth」選項，然後按一下「Update cluster」。

gcloud

如要啟用基本的權杖型驗證機制，請使用 gcloud beta redis clusters update 指令。

gcloud beta redis clusters update CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

請將下列項目改為對應的值：

  • CLUSTER_ID：要啟用基本權杖型驗證機制的叢集 ID
  • REGION：叢集所在的區域

為叢集建立基本的權杖型驗證使用者

為叢集建立基本的權杖型驗證使用者，即可設定叢集允許多使用者驗證。使用者首次登入後，這種驗證模式會做為新連線的安全且可撤銷憑證。使用者可以繼續使用驗證權杖，直到刪除權杖或使用者遭移除為止。

您可以使用 Google Cloud 控制台或 gcloud CLI 建立基本權杖型驗證使用者。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下要為其建立基本權杖型驗證使用者的叢集。

  3. 在導覽匣中，按一下「使用者」選單項目。

    如果導覽匣中未顯示這個選單項目，表示您尚未建立啟用基本驗證的叢集，或為叢集啟用基本的權杖型驗證。

  4. 在「使用者」頁面中，按一下「新增使用者」。

  5. 在「新增使用者」對話方塊中，輸入使用者 ID，然後按一下「新增」。

gcloud

如要建立使用者，請使用 gcloud beta redis clusters create-token-auth-user 指令。

gcloud beta redis clusters create-token-auth-user CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

請將下列項目改為對應的值：

  • CLUSTER_ID：您要為哪個叢集建立基本權杖型驗證使用者
  • REGION：叢集所在的區域
  • USERNAME：使用者的使用者名稱

列出叢集的基本權杖型驗證使用者

如要擷取叢集的基本權杖型驗證使用者清單，可以使用 Google Cloud 控制台或 gcloud CLI。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下要擷取基本權杖型驗證使用者清單的叢集。

  3. 在導覽匣中，按一下「使用者」選單項目。「使用者」頁面會顯示基本權杖式驗證使用者清單。

    如果導覽匣中沒有顯示「使用者」選單項目，表示您尚未建立具有基本驗證機制的叢集，或為叢集啟用基本的權杖型驗證機制。

gcloud

如要列出使用者，請使用 gcloud beta redis clusters token-auth-users list 指令。

gcloud beta redis clusters token-auth-users list \
--cluster=CLUSTER_ID \
--region=REGION

請將下列項目改為對應的值：

  • CLUSTER_ID：要擷取基本權杖型驗證使用者清單的叢集 ID。
  • REGION：叢集所在的區域

查看基本權杖型驗證使用者的相關資訊

您可以使用 gcloud CLI 查看基本權杖型驗證使用者的相關資訊。

如要查看使用者資訊，請使用 gcloud beta redis clusters token-auth-users describe 指令。

gcloud beta redis clusters token-auth-users describe USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

請將下列項目改為對應的值：

  • USERNAME：您要查看資訊的基本權杖式驗證使用者名稱
  • CLUSTER_ID：使用者可驗證的叢集 ID
  • REGION：叢集所在的區域

從叢集刪除基本權杖型驗證使用者

從叢集刪除基本權杖型驗證使用者後，系統會撤銷該使用者的叢集存取權。

您可以使用 Google Cloud 控制台或 gcloud CLI，從叢集中刪除基本權杖型驗證使用者。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下要刪除基本權杖型驗證使用者的叢集。

  3. 在導覽匣中，按一下「使用者」選單項目。

    如果導覽匣中未顯示這個選單項目，表示您尚未建立啟用基本驗證的叢集，或為叢集啟用基本的權杖型驗證。

  4. 在「使用者」頁面中，找出要刪除的使用者 ID，然後按一下旁邊的「動作」圖示 ()。

  5. 在隨即顯示的選單中，選取「移除使用者」。

  6. 在「Delete user?」(刪除使用者？) 對話方塊中，輸入使用者 ID，然後按一下「Delete」(刪除)。Memorystore for Redis Cluster 會刪除使用者，以及與該使用者相關聯的所有驗證權杖。

  7. 選用：針對要刪除的使用者，Memorystore for Redis Cluster 不會終止現有連線。如要終止這些連線，請在叢集中的所有節點上執行下列指令：

    CLIENT KILL USER USERNAME

gcloud

如要刪除使用者，請使用 gcloud beta redis clusters token-auth-users delete 指令。

gcloud beta redis clusters token-auth-users delete USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

請將下列項目改為對應的值：

  • USERNAME：以基本權杖為基礎的驗證使用者名稱
  • CLUSTER_ID：要從中刪除使用者的叢集 ID
  • REGION：叢集所在的區域

針對要刪除的使用者，Memorystore for Redis Cluster 也會刪除與該使用者相關聯的所有驗證權杖。此外，Memorystore for Redis Cluster 不會終止現有連線。如要終止這些連線，請在叢集中的所有節點上執行下列指令：

CLIENT KILL USER USERNAME

管理使用者的基本權杖型驗證

Memorystore for Redis Cluster 支援下列動作，可管理使用者的基本權杖式驗證：

為使用者建立驗證權杖

當您為叢集建立基本權杖式驗證使用者時，Memorystore for Redis Cluster 會自動為使用者建立驗證權杖。不過，您可以為使用者建立額外的驗證權杖。這樣做即可輪替使用者現有的權杖，不會造成應用程式停機。

您可以使用 Google Cloud 控制台或 gcloud CLI，為使用者建立驗證權杖。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下要為使用者建立驗證權杖的叢集。

  3. 在導覽匣中，按一下「使用者」選單項目。

    如果導覽匣中未顯示這個選單項目，表示您尚未建立啟用基本驗證的叢集，或為叢集啟用基本的權杖型驗證。

  4. 在「使用者」頁面中，找出要建立驗證權杖的使用者 ID，然後按一下旁邊的「動作」()。

  5. 在隨即顯示的選單中，選取「新增驗證權杖」。

  6. 在「新增驗證權杖」對話方塊中，按一下「新增」。

    如果使用者已有兩個驗證權杖，您必須先刪除現有權杖，才能為該使用者建立其他權杖。

gcloud

如要建立權杖，請使用 gcloud beta redis clusters token-auth-users create-auth-token 指令。

gcloud beta redis clusters token-auth-users create-auth-token USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

請將下列項目改為對應的值：

  • USERNAME：要建立驗證權杖的使用者名稱
  • CLUSTER_ID：使用者可透過權杖存取的叢集 ID
  • REGION：叢集所在的區域

如果使用者已有兩個驗證權杖，您必須先刪除現有權杖，才能為該使用者建立另一個權杖。

列出使用者的驗證權杖

您可以使用 gcloud CLI 擷取使用者的驗證權杖清單。

如要列出權杖，請使用 gcloud beta redis clusters token-auth-users auth-tokens list 指令。

gcloud beta redis clusters token-auth-users auth-tokens list \
--token-auth-user=USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

請將下列項目改為對應的值：

  • USERNAME：驗證權杖所屬使用者的使用者名稱
  • CLUSTER_ID：使用者可透過驗證權杖存取的叢集 ID
  • REGION：叢集所在的區域

查看使用者的驗證權杖相關資訊

您可以使用 Google Cloud 控制台或 gcloud CLI，查看使用者的驗證權杖相關資訊。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下含有使用者驗證權杖的叢集，即可查看相關資訊。

  3. 在導覽匣中，按一下「使用者」選單項目。

    如果導覽匣中未顯示該選單項目，表示您尚未建立啟用基本驗證的叢集，或為叢集啟用基本權杖型驗證。

  4. 在「使用者」頁面中，按一下使用者 ID 旁的「動作」()。

  5. 在隨即顯示的選單中，選取「查看驗證權杖」。「Auth tokens」(驗證權杖) 對話方塊會顯示下列資訊：

    • 使用者的 ID。
    • 使用者擁有的驗證權杖數量 (一或兩個)。
    • 每個驗證權杖的版本，以及 Memorystore for Redis Cluster 建立各個版本的日期和時間。每當您為使用者建立驗證權杖時，Memorystore for Redis Cluster 就會建立權杖的遞增版本。
    • 驗證權杖。

  6. 選用：如要取得使用者的驗證權杖，以便連線至叢集，請按一下權杖旁邊的「複製」圖示 ()，然後將權杖貼到文字編輯器。

  7. 按一下「完成」。

gcloud

如要查看資訊，請使用 gcloud beta redis clusters token-auth-users auth-tokens describe 指令。

gcloud beta redis clusters token-auth-users auth-tokens describe AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

請將下列項目改為對應的值：

  • AUTH_TOKEN：要查看資訊的驗證權杖名稱
  • CLUSTER_ID：使用者可透過權杖存取的叢集 ID
  • REGION：叢集所在的區域
  • USERNAME：驗證權杖所屬使用者的使用者名稱

刪除使用者的驗證權杖

從使用者刪除驗證權杖是重要的安全措施，可讓權杖失效。

您可以使用 Google Cloud 控制台或 gcloud CLI 刪除使用者的驗證權杖。

控制台

  1. 前往 Google Cloud 控制台的「Memorystore for Redis Cluster」頁面。

    Memorystore for Redis Cluster

  2. 按一下含有要刪除驗證權杖的使用者的叢集。

  3. 在導覽匣中，按一下「使用者」選單項目。

    如果導覽匣中未顯示這個選單項目，表示您尚未建立啟用基本驗證的叢集，或為叢集啟用基本的權杖型驗證。

  4. 在「使用者」頁面中，找出要刪除驗證權杖的使用者 ID，然後按一下旁邊的「動作」圖示 ()。

  5. 在隨即顯示的選單中，選取「刪除驗證權杖」。

  6. 在「Delete Auth Token?」(要刪除驗證權杖嗎？) 對話方塊中，執行下列操作：

    1. 從「驗證權杖」選單中，選取要刪除的驗證權杖。
    2. 在「Auth token ID」(授權權杖 ID) 欄位中，輸入權杖的版本號碼 (例如 version-1)。
    3. 點選「刪除」。

gcloud

如要刪除權杖，請使用 gcloud beta redis clusters token-auth-users auth-tokens delete 指令。

gcloud beta redis clusters token-auth-users auth-tokens delete AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

請將下列項目改為對應的值：

  • AUTH_TOKEN：要從使用者刪除的驗證權杖名稱
  • CLUSTER_ID：要刪除權杖，防止使用者存取的叢集 ID
  • REGION：叢集所在的區域
  • USERNAME：要刪除權杖的使用者名稱

使用基本的權杖型驗證機制連線至叢集

您可以使用下列方法，透過基本權杖式驗證連線至叢集：

  • 統一資源識別碼 (URI) 字串：這個格式化字串可用於連線，因為所有必要連線資訊 (例如使用者的使用者名稱和權杖，以及叢集的 IP 位址和主機名稱) 都包含在一個字串中。
  • 旗標：這個方法較適合用於個別指令列工具、指令碼，或使用多個獨立引數將設定分成獨立環境變數的環境。

以下各節將說明每種連線方法。

使用 URI 字串

如要從 Compute Engine VM 或支援的環境使用 URI 字串連線，請使用下列指令：

redis-cli -u
redis://USERNAME:TOKEN@IP_ADDRESS:PORT

請將下列項目改為對應的值：

  • USERNAME：嘗試連線至叢集的使用者名稱
  • TOKEN：使用者的驗證權杖
  • IP_ADDRESS：叢集的 IP 位址
  • PORT：為叢集保留的通訊埠編號

使用旗標

如要從 Compute Engine VM 或支援的環境使用旗標連線，請執行下列指令：

redis-cli --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT

請將下列項目改為對應的值：

  • USERNAME：嘗試連線至叢集的使用者名稱
  • TOKEN：使用者的驗證權杖
  • IP_ADDRESS：叢集的 IP 位址
  • PORT：為叢集保留的通訊埠編號

在不停機的狀態下輪換使用者的驗證權杖

如要輪換使用者的驗證權杖，同時避免應用程式停機，請按照下列步驟操作：

  1. 為使用者建立額外的驗證權杖： Memorystore for Redis Cluster 會產生第二個有效權杖。兩個權杖都有效。
  2. 更新應用程式：更新應用程式，改用新權杖。
  3. 刪除使用者的驗證權杖： Memorystore for Redis Cluster 會移除第一個權杖。使用者只能使用第二個權杖驗證應用程式。

基本權杖型驗證的存取記錄

Memorystore for Redis Cluster 會針對與驗證權杖和使用者相關聯的作業，產生管理員活動和資料存取稽核記錄。如要進一步瞭解這些稽核記錄，請參閱「使用稽核記錄監控存取權」。