基本的なトークンベースの認証を使用してクラスタへのアクセスを保護する

Identity and Access Management（IAM）認証に加えて、基本的なトークンベースの認証を使用して、Memorystore for Redis Cluster のクラスタへのアクセスを保護できます。軽量ソリューションとして、基本的なトークンベースの認証を使用すると、クライアントはトークンを使用してアプリケーション内で身元を確認できます。

基本的なトークンベースの認証は、リソース要件が最小限で、リソース オーバーヘッドが低くなります。また、Memorystore for Redis またはオンプレミス アプリケーションの現在のワークロードですでに基本的なトークンベースの認証を使用している場合、この機能を使用すると、Memorystore for Redis Cluster に移行する際にスムーズに移行できます。

利点

基本的なトークンベースの認証を使用すると、次のメリットがあります。

  • 柔軟性: 新しいクラスタと既存のクラスタで、いつでも認証を有効にできます。基本的なトークンベースの認証を有効にすると、クラスタが保護されます。新しい接続では、クラスタへの認証にトークンを指定する必要があります。
  • ダウンタイムなしのローテーション: アプリケーションのダウンタイムを発生させることなく、ユーザー トークンをローテーションします。
  • 互換性: default スーパーユーザーは、このユーザーに付与された権限を維持します。基本的なトークンベースの認証により、保護が強化されます。これにより、ワークロードを Memorystore for Redis から Memorystore for Redis Cluster に移行する際の下位互換性が確保されます。

認証モード

基本的なトークンベースの認証では、次の 2 つの主な認証モードがサポートされています。

  • シンプルな認証: ユーザーが認証トークンを送信して default ユーザーとして認証する簡単な方法
  • マルチユーザー認証: 複数のユーザーを管理して、クラスタへのアクセスを認証します。

ベスト プラクティス

セキュリティ上の理由から、基本トークンベース認証には次のベスト プラクティスを使用することをおすすめします。

  • ユーザー トークンをローテーションする: ユーザー トークンにローテーション ポリシーを使用します。

  • Secret Manager を使用する: ユーザーの基本的なトークンベースの認証情報をアプリケーション コードにハードコードしないでください。代わりに、Secret Manager に保存し、実行時に取得します。

    Secret Manager は、ユーザー認証情報用の一元化された暗号化された Vault を提供します。これにより、シークレット スプロールが解消され、認証情報を手動で管理する運用オーバーヘッドが軽減されます。IAM を使用してアクセス制御を適用し、監査ログを自動的に生成します。これにより、コンプライアンスが確保され、認証情報の漏洩を防ぐことができます。

  • 基本的なトークンベースの認証と Transport Layer Security（TLS）を組み合わせる: 基本的なトークンベースの認証を使用する場合は、転送中の暗号化を有効にすることをおすすめします。これにより、ユーザー名とトークンがネットワーク経由でプレーン テキストで送信されることがなくなります。

始める前に

基本的なトークンベースの認証を使用してクラスタの保護を開始する前に、このセクションの前提条件を満たしてください。

基本的なトークンベースの認証に対するクライアントのサポートを確認する

クライアント アプリケーションが基本的なトークンベースの認証をサポートしていることを確認するには、アプリケーションが AUTH コマンドを使用できることを確認します。

default ユーザーは、次のコマンドを使用してクライアント アプリケーションに対して認証を行います。

AUTH TOKEN

このコマンドでは、TOKEN はデフォルト ユーザーの認証トークンです。

他のすべてのユーザーは、次のコマンドを使用して認証します。

AUTH USERNAME TOKEN

このコマンドでは、USERNAME と TOKEN はユーザーのユーザー名と認証トークンです。

AUTH コマンドの詳細については、Redis ドキュメントの AUTH をご覧ください。

Google Cloud コンソール、Google Cloud CLI、API を使用する

Google Cloud コンソール、gcloud CLI、API を使用するには、次の操作を行います。

  1. Google Cloud コンソールのプロジェクト セレクタ ページで、 Google Cloud プロジェクトを選択または作成します。

    プロジェクトの選択に移動

  2. プロジェクトに対して課金が有効になっていることを確認します。プロジェクトで課金が有効になっているかどうかを確認する方法をご覧ください。

  3. Google Cloud CLI（gcloud CLI）をインストールして初期化します。

    注: gcloud CLI をインストールした場合は、gcloud components update を実行して、最新バージョンがインストールされていることを確認してください。Memorystore for Redis Cluster の gcloud CLI コマンドを利用するには、少なくとも gcloud CLI バージョン 489.0.0 が必要です。

  4. Memorystore for Redis Cluster API を有効にします。
    Memorystore for Redis Cluster API
  5. Network Connectivity API を有効にします。
    Network Connectivity API
  6. Service Consumer Management API を有効にします。
    Service Consumer Management API

ロールを割り当てる

クラスタの基本トークンベース認証を構成するには、 Google Cloud プロジェクトに次のいずれかの IAM ロールが必要です。

  • roles/redis.admin（Redis 管理者のロール）
  • roles/owner（オーナーのロール）
  • roles/editor（編集者のロール）

クラスタの基本的なトークンベースの認証を管理する

Memorystore for Redis Cluster は、クラスタの基本的なトークンベースの認証を管理するために次のアクションをサポートしています。

基本トークンベースの認証を使用してクラスタを作成する

基本的なトークンベースの認証を使用してクラスタを作成すると、ユーザーのクラスタへのアクセスを制限するための軽量で広くサポートされている方法を利用できます。

クラスタは、 Google Cloud コンソールまたは gcloud CLI を使用して作成できます。

コンソール

クラスタを作成し、そのクラスタで基本的なトークンベースの認証を有効にするには、インスタンスを作成するをご覧ください。

gcloud

クラスタを作成して、そのクラスタの基本的なトークンベースの認証を有効にするには、gcloud beta redis clusters create コマンドを使用します。

gcloud beta redis clusters create CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

次のように置き換えます。

  • CLUSTER_ID: 基本トークンベースの認証に使用するクラスタの ID
  • REGION: クラスタを配置するリージョン

クラスタの基本トークンベースの認証を有効にする

クラスタの基本トークンベース認証を有効にすると、ユーザーのクラスタへのアクセスを制限するための軽量で広くサポートされている方法を利用できます。

default ユーザーは、トークンのみを使用してクラスタに対して認証できます。他のすべてのユーザーは、標準のユーザー名とトークンを使用して認証します。詳細については、基本トークンベースの認証に対するクライアントのサポートを確認するをご覧ください。

Memorystore for Redis Cluster では認証済みリクエストが必要になるため、新しい接続を作成しようとするアプリケーションでダウンタイムが発生する可能性があります。既存の接続は影響を受けませんが、クラスタへの後続の接続試行で基本的なトークンベースの認証を利用するには、アプリケーションを更新する必要があります。詳細については、基本トークンベースの認証を使用してクラスタに接続するをご覧ください。

クラスタの基本トークンベース認証は、 Google Cloud コンソールまたは gcloud CLI を使用して有効にできます。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 基本的なトークンベースの認証を有効にするクラスタをクリックします。

  3. [クラスタの概要] ページで、[セキュリティ] カードまでスクロールします。

  4. [認証モード] フィールドの横にある [編集]（）をクリックします。

    フィールドの横に [IAM Auth] または [Token Auth] が表示されている場合は、クラスタに対して IAM 認証または基本トークンベースの認証がすでに有効になっています。

  5. [認証モード] ダイアログで [トークン認証] オプションを選択し、[クラスタを更新] をクリックします。

gcloud

基本トークンベースの認証を有効にするには、gcloud beta redis clusters update コマンドを使用します。

gcloud beta redis clusters update CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

次のように置き換えます。

  • CLUSTER_ID: 基本トークンベースの認証を有効にするクラスタの ID
  • REGION: クラスタが配置されているリージョン

クラスタの基本的なトークンベースの認証ユーザーを作成する

クラスタの基本的なトークンベースの認証ユーザーを作成すると、マルチユーザー認証を許可するようにクラスタが構成されます。ユーザーが最初にログインした後、この認証モードは新しい接続の安全で取り消し可能な認証情報として機能します。ユーザーは、認証トークンを削除するか、ユーザーが削除されるまで、認証トークンを引き続き使用できます。

基本的なトークンベースの認証ユーザーは、 Google Cloud コンソールまたは gcloud CLI を使用して作成できます。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 基本的なトークンベースの認証ユーザーを作成するクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。

    このメニュー項目がドロワーに表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本トークンベース認証を有効にしていません。

  4. [ユーザー] ページで、[ユーザーを追加] をクリックします。

  5. [ユーザーを追加] ダイアログで、ユーザーの ID を入力し、[追加] をクリックします。

gcloud

ユーザーを作成するには、gcloud beta redis clusters create-token-auth-user コマンドを使用します。

gcloud beta redis clusters create-token-auth-user CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

次のように置き換えます。

  • CLUSTER_ID: 基本トークンベースの認証ユーザーを作成するクラスタの ID
  • REGION: クラスタが配置されているリージョン
  • USERNAME: ユーザーのユーザー名

クラスタの基本的なトークンベースの認証ユーザーを一覧表示する

クラスタの基本トークンベースの認証ユーザーのリストを取得するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 基本的なトークンベースの認証ユーザーのリストを取得するクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。[ユーザー] ページに、基本トークンベースの認証ユーザーのリストが表示されます。

    ナビゲーション ドロワーに [ユーザー] メニュー項目が表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本的なトークンベースの認証を有効にしていません。

gcloud

ユーザーを一覧表示するには、gcloud beta redis clusters token-auth-users list コマンドを使用します。

gcloud beta redis clusters token-auth-users list \
--cluster=CLUSTER_ID \
--region=REGION

次のように置き換えます。

  • CLUSTER_ID: 基本トークンベースの認証ユーザーのリストを取得するクラスタの ID。
  • REGION: クラスタが配置されているリージョン

基本トークンベースの認証ユーザーに関する情報を表示する

gcloud CLI を使用して、基本トークンベースの認証ユーザーに関する情報を表示できます。

ユーザーに関する情報を表示するには、gcloud beta redis clusters token-auth-users describe コマンドを使用します。

gcloud beta redis clusters token-auth-users describe USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

次のように置き換えます。

  • USERNAME: 情報を表示する基本トークンベースの認証ユーザーのユーザー名
  • CLUSTER_ID: ユーザーが認証できるクラスタの ID
  • REGION: クラスタが配置されているリージョン

クラスタから基本トークン ベースの認証ユーザーを削除する

クラスタから基本トークンベースの認証ユーザーを削除すると、クラスタに対するユーザーのアクセス権が取り消されます。

Google Cloud コンソールまたは gcloud CLI を使用して、クラスタから基本トークンベースの認証ユーザーを削除できます。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 基本的なトークンベースの認証ユーザーを削除するクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。

    このメニュー項目がドロワーに表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本トークンベース認証を有効にしていません。

  4. [ユーザー] ページで、削除するユーザーの ID の横にある [操作]（）をクリックします。

  5. 表示されたメニューから [ユーザーを削除] を選択します。

  6. [ユーザーを削除しますか？] ダイアログで、ユーザーの ID を入力し、[削除] をクリックします。Memorystore for Redis Cluster は、ユーザーと、そのユーザーに関連付けられているすべての認証トークンを削除します。

  7. 省略可: 削除するユーザーに対して、Memorystore for Redis Cluster は既存の接続を終了しません。これらの接続を終了するには、クラスタ内のすべてのノードで次のコマンドを実行します。

    CLIENT KILL USER USERNAME

gcloud

ユーザーを削除するには、gcloud beta redis clusters token-auth-users delete コマンドを使用します。

gcloud beta redis clusters token-auth-users delete USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

次のように置き換えます。

  • USERNAME: 基本トークンベースの認証ユーザーのユーザー名
  • CLUSTER_ID: ユーザーを削除するクラスタの ID
  • REGION: クラスタが配置されているリージョン

削除するユーザーについては、Memorystore for Redis Cluster は、そのユーザーに関連付けられているすべての認証トークンも削除します。また、Memorystore for Redis Cluster は既存の接続を終了しません。これらの接続を終了するには、クラスタ内のすべてのノードで次のコマンドを実行します。

CLIENT KILL USER USERNAME

ユーザーの基本トークンベースの認証を管理する

Memorystore for Redis Cluster は、ユーザーの基本的なトークンベースの認証を管理するために次のアクションをサポートしています。

ユーザーの認証トークンを作成する

クラスタの基本的なトークンベースの認証ユーザーを作成すると、Memorystore for Redis Cluster はユーザーの認証トークンを自動的に作成します。ただし、ユーザーの追加の認証トークンを作成することはできます。これにより、アプリケーションのダウンタイムを発生させることなく、ユーザーの既存のトークンをローテーションできます。

ユーザーの認証トークンは、 Google Cloud コンソールまたは gcloud CLI を使用して作成できます。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 認証トークンを作成するユーザーがいるクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。

    このメニュー項目がドロワーに表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本トークンベース認証を有効にしていません。

  4. [ユーザー] ページで、認証トークンを作成するユーザーの ID の横にある [アクション]（）をクリックします。

  5. 表示されたメニューから [認証トークンを追加] を選択します。

  6. [認証トークンを追加] ダイアログで、[追加] をクリックします。

    ユーザーがすでに 2 つの認証トークンを持っている場合は、そのユーザーの別のトークンを作成する前に、既存のトークンを削除する必要があります。

gcloud

トークンを作成するには、gcloud beta redis clusters token-auth-users create-auth-token コマンドを使用します。

gcloud beta redis clusters token-auth-users create-auth-token USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

次のように置き換えます。

  • USERNAME: 認証トークンを作成するユーザーのユーザー名
  • CLUSTER_ID: ユーザーがトークンを使用してアクセスできるクラスタの ID
  • REGION: クラスタが配置されているリージョン

ユーザーがすでに 2 つの認証トークンを持っている場合は、そのユーザーの別のトークンを作成する前に、既存のトークンを削除する必要があります。

ユーザーの認証トークンを一覧表示する

ユーザーの認証トークンのリストを取得するには、gcloud CLI を使用します。

トークンを一覧表示するには、gcloud beta redis clusters token-auth-users auth-tokens list コマンドを使用します。

gcloud beta redis clusters token-auth-users auth-tokens list \
--token-auth-user=USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

次のように置き換えます。

  • USERNAME: 認証トークンが属するユーザーのユーザー名
  • CLUSTER_ID: 認証トークンを使用してユーザーがアクセスできるクラスタの ID
  • REGION: クラスタが配置されているリージョン

ユーザーの認証トークンに関する情報を表示する

ユーザーの認証トークンに関する情報は、 Google Cloud コンソールまたは gcloud CLI を使用して表示できます。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 情報を表示するユーザーの認証トークンがあるクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。

    メニュー項目がドロワーに表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本トークンベースの認証を有効にしていません。

  4. [ユーザー] ページで、ユーザーの ID の横にある [アクション]（）をクリックします。

  5. 表示されたメニューから [認証トークンを表示] を選択します。[認証トークン] ダイアログに、次の情報が表示されます。

    • ユーザーの ID。
    • ユーザーが所有している認証トークンの数（1 つまたは 2 つ）。
    • 各認証トークンのバージョンと、Memorystore for Redis Cluster が各バージョンを作成した日時。ユーザーの認証トークンを作成するたびに、Memorystore for Redis Cluster はトークンの増分バージョンを作成します。
    • 認証トークン。

  6. 省略可: ユーザーの認証トークンを取得して クラスタに接続できるようにするには、トークンの横にある [コピー]（）をクリックし、トークンをテキスト エディタに貼り付けます。

  7. [完了] をクリックします。

gcloud

この情報を表示するには、gcloud beta redis clusters token-auth-users auth-tokens describe コマンドを使用します。

gcloud beta redis clusters token-auth-users auth-tokens describe AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

次のように置き換えます。

  • AUTH_TOKEN: 情報を表示する認証トークンの名前
  • CLUSTER_ID: ユーザーがトークンを使用してアクセスできるクラスタの ID
  • REGION: クラスタが配置されているリージョン
  • USERNAME: 認証トークンが属するユーザーのユーザー名

ユーザーから認証トークンを削除する

ユーザーから認証トークンを削除することは、トークンを無効にする重要なセキュリティ アクションです。

ユーザーから認証トークンを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

  1. Google Cloud コンソールで、[Memorystore for Redis Cluster] ページに移動します。

    Memorystore for Redis Cluster

  2. 認証トークンを削除するユーザーがいるクラスタをクリックします。

  3. ナビゲーション ドロワーで、[ユーザー] メニュー項目をクリックします。

    このメニュー項目がドロワーに表示されない場合は、基本認証でクラスタを作成していないか、クラスタの基本トークンベース認証を有効にしていません。

  4. [ユーザー] ページで、認証トークンを削除するユーザーの ID の横にある [アクション]（）をクリックします。

  5. 表示されたメニューから [認証トークンを削除] を選択します。

  6. [認証トークンを削除しますか？] ダイアログで、次の操作を行います。

    1. [認証トークン] メニューから、削除する認証トークンを選択します。
    2. [認証トークン ID] フィールドに、トークンのバージョン番号（version-1 など）を入力します。
    3. [削除] をクリックします。

gcloud

トークンを削除するには、gcloud beta redis clusters token-auth-users auth-tokens delete コマンドを使用します。

gcloud beta redis clusters token-auth-users auth-tokens delete AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

次のように置き換えます。

  • AUTH_TOKEN: ユーザーから削除する認証トークンの名前
  • CLUSTER_ID: トークンを削除してユーザーがアクセスできないようにするクラスタの ID
  • REGION: クラスタが配置されているリージョン
  • USERNAME: 削除するトークンを持つユーザーのユーザー名

基本的なトークンベースの認証を使用してクラスタに接続する

次の方法を使用して、基本トークンベースの認証を使用してクラスタに接続できます。

  • Uniform Resource Identifier（URI）文字列: この単一の形式設定済み文字列は、必要な接続情報（ユーザーのユーザー名とトークン、クラスタの IP アドレスとホスト名など）が 1 つの文字列に含まれているため、便宜上使用されます。
  • フラグ: この方法は、個々のコマンドライン ツールの使用、スクリプト、または複数の個別の引数を使用して構成が個別の環境変数に分割される環境に適しています。

以降のセクションでは、各接続方法について説明します。

URI 文字列を使用する

URI 文字列を使用して Compute Engine VM またはサポートされている環境から接続するには、次のコマンドを使用します。

redis-cli -u
redis://USERNAME:TOKEN@IP_ADDRESS:PORT

次のように置き換えます。

  • USERNAME: クラスタへの接続を試行しているユーザーのユーザー名
  • TOKEN: ユーザーの認証トークン
  • IP_ADDRESS: クラスタの IP アドレス
  • PORT: クラスタ用に予約されているポート番号

フラグを使用する

フラグを使用して Compute Engine VM またはサポートされている環境から接続するには、次のコマンドを使用します。

redis-cli --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT

次のように置き換えます。

  • USERNAME: クラスタへの接続を試行しているユーザーのユーザー名
  • TOKEN: ユーザーの認証トークン
  • IP_ADDRESS: クラスタの IP アドレス
  • PORT: クラスタ用に予約されているポート番号

ゼロ ダウンタイムでユーザーの認証トークンをローテーションする

アプリケーションのダウンタイムを発生させることなくユーザーの認証トークンをローテーションするには、次の操作を行います。

  1. ユーザーの追加の認証トークンを作成する: Memorystore for Redis Cluster は、2 つ目の有効なトークンを生成します。どちらのトークンも有効です。
  2. アプリケーションを更新する: 新しいトークンを使用するようにアプリケーションを更新します。
  3. ユーザーの認証トークンを削除する: Memorystore for Redis Cluster は最初のトークンを削除します。ユーザーは 2 つ目のトークンのみを使用してアプリケーションに認証できます。

基本トークンベースの認証のアクセスログ

Memorystore for Redis Cluster は、認証トークンとユーザーに関連付けられたオペレーションの管理アクティビティ監査ログとデータアクセス監査ログを生成します。これらの監査ログの詳細については、監査ログを使用してアクセスをモニタリングするをご覧ください。