גישה מאובטחת לאשכולות באמצעות אימות בסיסי מבוסס-אסימון

בנוסף לאימות באמצעות ניהול זהויות והרשאות גישה (IAM), אתם יכולים להשתמש באימות בסיסי שמבוסס על טוקנים כדי לאבטח את הגישה לאשכולות ב-Memorystore for Redis Cluster. אימות בסיסי שמבוסס על טוקנים הוא פתרון קל שמאפשר ללקוחות לאמת את הזהות שלהם באפליקציות באמצעות הטוקנים שלהם.

אימות בסיסי מבוסס-אסימון דורש משאבים מינימליים ועלות תקורה נמוכה. בנוסף, אם עומסי העבודה הנוכחיים שלכם ב-Memorystore for Redis או באפליקציות המקומיות כבר משתמשים באימות בסיסי שמבוסס על טוקנים, התכונה הזו מאפשרת מעבר חלק כשאתם עוברים ל-Memorystore for Redis Cluster.

יתרונות

היתרונות של שימוש באימות בסיסי מבוסס-אסימון:

• גמישות: אפשר להפעיל אימות בכל שלב, גם באשכולות חדשים וגם באשכולות קיימים. כשמפעילים אימות בסיסי מבוסס-אסימון, האשכולות מאובטחים. בכל החיבורים החדשים, המשתמשים צריכים לספק אסימון כדי לאמת את האשכולות.
• רוטציה ללא זמן השבתה: רוטציה של אסימוני משתמשים בלי לגרום לזמן השבתה של האפליקציות.
• תאימות: למשתמש-העל default יש את אותן הרשאות שניתנו למשתמש הזה. אימות בסיסי מבוסס-אסימון מוסיף עוד שכבת הגנה. כך אפשר להבטיח תאימות לדורות קודמים כשמעבירים את עומסי העבודה מ-Memorystore for Redis ל-Memorystore for Redis Cluster.

מצבי אימות

אימות בסיסי מבוסס-אסימון תומך בשני מצבי אימות עיקריים:

• אימות פשוט: שיטה פשוטה שבה המשתמש שולח טוקן אימות כדי לאמת את עצמו כמשתמש default
• אימות של כמה משתמשים: ניהול של כמה משתמשים כדי לאמת את הגישה לאשכולות

שיטות מומלצות

מטעמי אבטחה, מומלץ להשתמש בשיטות המומלצות הבאות לאימות בסיסי מבוסס-אסימון:

• החלפת טוקנים של משתמשים: משתמשים במדיניות החלפה לטוקנים של משתמשים.

• שימוש ב-Secret Manager: אל תטמיעו בקוד האפליקציה את פרטי הכניסה הבסיסיים של המשתמש לאימות מבוסס-אסימון. במקום זאת, אחסנו אותם ב-Secret Manager ואחזרו אותם בזמן הריצה.

  הכלי Secret Manager מספק כספת מוצפנת ומרכזית לפרטי הכניסה של המשתמשים, וכך מונע את התפשטות הסודות ומצמצם את התקורה התפעולית של ניהול פרטי הכניסה באופן ידני. הוא אוכף את אמצעי בקרת הגישה באמצעות IAM ויוצר יומני ביקורת באופן אוטומטי. כך אפשר לוודא שהכל תקין ולמנוע חשיפה של פרטי הכניסה.

• שילוב של אימות בסיסי מבוסס-אסימון עם Transport Layer Security‏ (TLS): כשמשתמשים באימות בסיסי מבוסס-אסימון, מומלץ להפעיל הצפנה במעבר. כך שמות המשתמשים והאסימונים לא נשלחים כטקסט פשוט ברשת.

לפני שמתחילים

לפני שמתחילים לאבטח את האשכולות באמצעות אימות בסיסי מבוסס-אסימון, צריך להשלים את הדרישות המוקדמות שמפורטות בקטע הזה.

אימות תמיכת לקוח לאימות בסיסי מבוסס-אסימון

כדי לוודא שאפליקציות הלקוח יכולות לתמוך באימות בסיסי מבוסס-אסימון, צריך לוודא שהאפליקציות יכולות להשתמש בפקודה AUTH.

המשתמש default מאמת את אפליקציות הלקוח באמצעות הפקודה הבאה:

AUTH TOKEN

בפקודה הזו, TOKEN הוא אסימון האימות של משתמש ברירת המחדל.

כל שאר המשתמשים מבצעים אימות באמצעות הפקודה הבאה:

AUTH USERNAME TOKEN

בפקודה הזו, USERNAME ו-TOKEN הם שם המשתמש ואסימון האימות של המשתמש.

מידע נוסף על הפקודה AUTH זמין במאמר AUTH במסמכי התיעוד של Redis.

שימוש במסוף Google Cloud , ב-Google Cloud CLI ובממשקי API

כדי להשתמש במסוף Google Cloud , ב-CLI של gcloud ובממשקי ה-API, מבצעים את הפעולות הבאות:

1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים פרויקט ב- Google Cloud או יוצרים אותו.

   כניסה לדף לבחירת הפרויקט

2. מוודאים שהחיוב מופעל בפרויקט. כך בודקים אם החיוב מופעל בפרויקט

3. מתקינים ומפעילים את ה-CLI של gcloud.

   הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת. כדי לגשת לפקודות של ה-CLI של gcloud ב-Memorystore for Redis Cluster, צריך לפחות את גרסה 489.0.0 של ה-CLI של gcloud.

4. מפעילים את Memorystore for Redis Cluster API.
   Memorystore for Redis Cluster API
5. מפעילים את Network Connectivity API.
   Network Connectivity API
6. מפעילים את Service Consumer Management API.
   Service Consumer Management API

הקצאת תפקידים

כדי להגדיר אימות בסיסי מבוסס-אסימון או להציג אסימוני אימות לאשכולות, צריך את תפקיד ה-IAM "אדמין של Redis" (roles/redis.admin) בפרויקט Google Cloud . מידע נוסף על הקצאת התפקיד הזה מופיע במאמר בקרת גישה באמצעות IAM.

ניהול אימות בסיסי מבוסס-אסימון לאשכולות

ב-Memorystore for Redis Cluster אפשר לבצע את הפעולות הבאות כדי לנהל אימות בסיסי מבוסס-אסימון לאשכולות:

• יצירת אשכול עם אימות בסיסי מבוסס-אסימון
• הפעלת אימות בסיסי מבוסס-אסימון לאשכול
• יצירת משתמש בסיסי לאימות מבוסס-אסימון באשכול
• הצגת רשימה של משתמשים עם אימות בסיסי מבוסס-אסימון באשכול
• הצגת מידע על משתמש בסיסי עם אימות מבוסס-אסימון
• מחיקת משתמש עם אימות בסיסי מבוסס-אסימון מאשכול

יצירת אשכול עם אימות בסיסי מבוסס-אסימון

כשיוצרים אשכול עם אימות בסיסי מבוסס-אסימון, יש לכם שיטה קלה ונתמכת באופן נרחב להגבלת הגישה של המשתמש לאשכול.

אפשר ליצור את האשכול באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

כדי ליצור אשכול ולהפעיל בו אימות בסיסי מבוסס-אסימון, ראו יצירת מכונות.

חשוב: אחרי שמפעילים אימות בסיסי מבוסס-אסימון באשכול, חלים התנאים הבאים:

• אתם יכולים לנהל עד 1,000 משתמשים מקומיים.
• אי אפשר להשבית או לשנות את מצב האימות הזה.
• ‫Memorystore for Redis Cluster יוצר את המשתמש default ומפיק לו אסימון אימות באופן אוטומטי.

gcloud

כדי ליצור אשכול ולהפעיל בו אימות בסיסי מבוסס-אסימון, משתמשים בפקודה gcloud beta redis clusters create.

gcloud beta redis clusters create CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

מחליפים את הפרטים הבאים:

• ‫CLUSTER_ID: המזהה של האשכול שרוצים ליצור כדי להשתמש באימות בסיסי מבוסס-אסימון
• ‫REGION: האזור שבו רוצים למקם את האשכול

חשוב: אחרי שמפעילים אימות בסיסי מבוסס-אסימון באשכול, חלים התנאים הבאים:

• אתם יכולים לנהל עד 1,000 משתמשים מקומיים.
• אי אפשר להשבית או לשנות את מצב האימות הזה.
• ‫Memorystore for Redis Cluster יוצר את המשתמש default ומפיק לו אסימון אימות באופן אוטומטי.

הפעלת אימות בסיסי מבוסס-אסימון לאשכול

הפעלת אימות בסיסי מבוסס-אסימון באשכול מאפשרת להגביל את הגישה של המשתמש לאשכול בשיטה קלה ונתמכת באופן נרחב.

המשתמש default יכול לבצע אימות באשכול באמצעות הטוקן שלו בלבד. כל שאר המשתמשים מאמתים את הזהות שלהם באמצעות שם משתמש וטוקן רגילים. מידע נוסף זמין במאמר אימות תמיכת לקוח לאימות בסיסי מבוסס-אסימון.

הפעלת אימות בסיסי מבוסס-אסימון עלולה לגרום לזמן השבתה של אפליקציות שמנסות ליצור חיבורים חדשים, כי Memorystore for Redis Cluster דורש בקשות מאומתות. החיבורים הקיימים לא יושפעו, אבל כדי להשתמש באימות בסיסי מבוסס-אסימון בכל ניסיונות החיבור הבאים לאשכול, תצטרכו לעדכן את האפליקציות. מידע נוסף זמין במאמר התחברות לאשכול באמצעות אימות בסיסי מבוסס-אסימון.

כדי להפעיל אימות בסיסי מבוסס-אסימון לאשכול, אתם יכולים להשתמש במסוף Google Cloud או ב-ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שבו רוצים להפעיל אימות בסיסי מבוסס-אסימון.

3. בדף Cluster at a glance, גוללים לכרטיס Security.

4. ליד השדה Auth Mode, לוחצים על Edit ().

   אם מופיע IAM Auth או Token Auth ליד השדה, סימן שכבר הפעלתם באשכול אימות IAM או אימות בסיסי מבוסס-אסימון.

5. בתיבת הדו-שיח Auth Mode, בוחרים באפשרות Token Auth ולוחצים על Update cluster.

חשוב: אחרי שמפעילים אימות בסיסי מבוסס-אסימון באשכול, חלים התנאים הבאים:

• ‫Memorystore for Redis Cluster יוצר את המשתמש default ומפיק לו טוקן אימות באופן אוטומטי.
• החיבורים הקיימים לא יושפעו. עם זאת, חיבורים חדשים של לקוחות מחייבים את המשתמשים לבצע אימות כדי לגשת לאפליקציות שלכם.
• אתם יכולים לנהל עד 1,000 משתמשים מקומיים.
• אי אפשר להשבית או לשנות את מצב האימות הזה.

gcloud

כדי להפעיל אימות בסיסי מבוסס-אסימון, משתמשים בפקודה gcloud beta redis clusters update.

gcloud beta redis clusters update CLUSTER_ID \
--region=REGION \
--auth-mode=token-auth

מחליפים את הפרטים הבאים:

• ‫CLUSTER_ID: מזהה האשכול שבו רוצים להפעיל אימות בסיסי מבוסס-אסימון
• ‫REGION: האזור שבו נמצא האשכול

חשוב: אחרי שמפעילים אימות בסיסי מבוסס-אסימון באשכול, חלים התנאים הבאים:

• ‫Memorystore for Redis Cluster יוצר את המשתמש default ומפיק לו טוקן אימות באופן אוטומטי.
• החיבורים הקיימים לא יושפעו. עם זאת, חיבורים חדשים של לקוחות מחייבים את המשתמשים לבצע אימות כדי לגשת לאפליקציות שלכם.
• אתם יכולים לנהל עד 1,000 משתמשים מקומיים.
• אי אפשר להשבית או לשנות את מצב האימות הזה.

יצירת משתמש בסיסי לאימות מבוסס-אסימון באשכול

כשיוצרים משתמש בסיסי לאימות מבוסס-אסימון לאשכול, מגדירים את האשכול כך שיאפשר אימות של משתמשים מרובים. אחרי שהמשתמש מתחבר בפעם הראשונה, מצב האימות הזה פועל כפרטי כניסה מאובטחים שאפשר לבטל לחיבורים חדשים. המשתמש יכול להמשיך להשתמש באסימון האימות עד שהוא מוחק אותו או עד שהמשתמש מוסר.

אתם יכולים ליצור משתמש בסיסי לאימות מבוסס-אסימון באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שבו רוצים ליצור משתמש בסיסי לאימות מבוסס-אסימון.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים.

   אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

4. בדף משתמשים, לוחצים על הוספת משתמש.

5. בתיבת הדו-שיח Add user, מזינים מזהה למשתמש ולוחצים על Add.

חשוב: אי אפשר למחוק את המשתמש default. כשיוצרים אשכול עם אימות בסיסי מבוסס-אסימון או מפעילים אימות בסיסי מבוסס-אסימון לאשכול, Memorystore for Redis Cluster יוצר את המשתמש הזה באופן אוטומטי.

כשיוצרים משתמש בסיסי לאימות מבוסס-אסימון (כולל המשתמש default), המערכת של Memorystore for Redis Cluster יוצרת באופן אוטומטי אסימון אימות למשתמש.

gcloud

כדי ליצור את המשתמש, משתמשים בפקודה gcloud beta redis clusters create-token-auth-user.

gcloud beta redis clusters create-token-auth-user CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

• ‫CLUSTER_ID: מזהה האשכול שבו רוצים ליצור משתמש בסיסי לאימות מבוסס-אסימון
• ‫REGION: האזור שבו נמצא האשכול
• ‫USERNAME: שם המשתמש של המשתמש

חשוב: אי אפשר למחוק את המשתמש default. כשיוצרים אשכול עם אימות בסיסי מבוסס-אסימון או מפעילים אימות בסיסי מבוסס-אסימון לאשכול, המערכת של Memorystore for Redis Cluster יוצרת את המשתמש הזה באופן אוטומטי.

כשיוצרים משתמש בסיסי לאימות מבוסס-אסימון (כולל המשתמש default), המערכת של Memorystore for Redis Cluster יוצרת באופן אוטומטי אסימון אימות למשתמש.

הצגת רשימה של משתמשים בסיסיים עם אימות מבוסס-אסימון באשכול

כדי לאחזר רשימה של משתמשים באשכול עם אימות בסיסי מבוסס-אסימון, אתם יכולים להשתמש במסוף Google Cloud או ב-ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שרוצים לאחזר את רשימת המשתמשים שלו עם אימות בסיסי מבוסס-אסימון.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים. בדף Users מוצגת רשימה של משתמשים עם אימות בסיסי מבוסס-אסימון.

   אם האפשרות Users לא מופיעה בחלונית ההזזה לניווט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

gcloud

כדי להציג את רשימת המשתמשים, משתמשים בפקודה gcloud beta redis clusters token-auth-users list.

gcloud beta redis clusters token-auth-users list \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

• ‫CLUSTER_ID: מזהה האשכול שרוצים לאחזר את רשימת המשתמשים שלו עם אימות בסיסי מבוסס-אסימון.
• ‫REGION: האזור שבו נמצא האשכול

הצגת מידע על משתמש בסיסי עם אימות מבוסס-אסימון

אתם יכולים להציג מידע על משתמש בסיסי עם אימות מבוסס-אסימון באמצעות ה-CLI של gcloud.

כדי להציג מידע על המשתמש, משתמשים בפקודה gcloud beta redis clusters token-auth-users describe.

gcloud beta redis clusters token-auth-users describe USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

• ‫USERNAME: שם המשתמש של המשתמש באימות הבסיסי מבוסס-האסימון שאתם רוצים לראות את המידע שלו.
• ‫CLUSTER_ID: מזהה האשכול שהמשתמש יכול לאמת את הזהות שלו בו
• ‫REGION: האזור שבו נמצא האשכול

מחיקת משתמש עם אימות בסיסי מבוסס-אסימון מאשכול

כשמוחקים מאשכול משתמש עם אימות בסיסי מבוסס-אסימון, מבטלים את זכויות הגישה של המשתמש לאשכול.

חשוב: אי אפשר למחוק את המשתמש default מהאשכול.

אתם יכולים למחוק מאשכול משתמש בסיסי עם אימות מבוסס-אסימון באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שממנו רוצים למחוק משתמש עם אימות בסיסי מבוסס-אסימון.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים.

   אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

4. בדף Users, לצד המזהה של המשתמש שרוצים למחוק, לוחצים על Actions ().

5. בתפריט שמופיע, לוחצים על הסרת המשתמש.

6. בתיבת הדו-שיח Delete user?‎, מזינים את מזהה המשתמש ולוחצים על Delete. ‫Memorystore for Redis Cluster מוחק את המשתמש ואת כל אסימוני האימות שמשויכים אליו.

7. אופציונלי: כשמוחקים משתמש, החיבורים הקיימים שלו ל-Memorystore for Redis Cluster לא נסגרים. כדי לסיים את החיבורים האלה, מריצים את הפקודה הבאה בכל הצמתים באשכול:

   CLIENT KILL USER USERNAME
   

gcloud

כדי למחוק את המשתמש, משתמשים בפקודה gcloud beta redis clusters token-auth-users delete.

gcloud beta redis clusters token-auth-users delete USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

• ‫USERNAME: שם המשתמש של המשתמש באימות הבסיסי שמבוסס על טוקן
• ‫CLUSTER_ID: המזהה של האשכול שממנו רוצים למחוק את המשתמש
• ‫REGION: האזור שבו נמצא האשכול

כשמוחקים משתמש, ב-Memorystore for Redis Cluster נמחקים גם כל אסימוני האימות שמשויכים למשתמש. בנוסף, Memorystore for Redis Cluster לא מסיים חיבורים קיימים. כדי לסיים את החיבורים האלה, מריצים את הפקודה הבאה בכל הצמתים באשכול:

CLIENT KILL USER USERNAME

ניהול אימות בסיסי מבוסס-אסימון למשתמשים

ב-Memorystore for Redis Cluster אפשר לבצע את הפעולות הבאות כדי לנהל אימות בסיסי מבוסס-אסימון למשתמשים:

• יצירת אסימון אימות למשתמש
• הצגת רשימה של אסימוני אימות של משתמש
• הצגת מידע על אסימוני אימות של משתמש
• מחיקת אסימון אימות של משתמש

יצירת אסימון אימות למשתמש

כשיוצרים משתמש בסיסי לאימות מבוסס-אסימון באשכול, Memorystore for Redis Cluster יוצר באופן אוטומטי אסימון אימות למשתמש. עם זאת, אתם יכולים ליצור אסימון אימות נוסף למשתמש. כך תוכלו לשנות את הטוקן הקיים של המשתמש בלי לגרום להשבתה של האפליקציות.

חשוב: למשתמשים יכולים להיות עד שני אסימוני אימות. כשיש שני טוקנים, אפשר להחליף בין הטוקנים של המשתמשים באפליקציות בלי זמן השבתה.

אתם יכולים ליצור אסימון אימות למשתמש באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שבו נמצא המשתמש שרוצים ליצור לו אסימון אימות.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים.

   אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

4. בדף Users, לצד המזהה של המשתמש שרוצים ליצור לו אסימון אימות, לוחצים על Actions ().

5. בתפריט שמופיע, לוחצים על הוספת אסימון אימות.

6. בתיבת הדו-שיח Add auth token, לוחצים על Add.

   אם למשתמש כבר יש שני אסימוני אימות, צריך למחוק אסימון קיים לפני שיוצרים אסימון נוסף למשתמש.

gcloud

כדי ליצור את הטוקן, משתמשים בפקודה gcloud beta redis clusters token-auth-users create-auth-token.

gcloud beta redis clusters token-auth-users create-auth-token USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

• ‫USERNAME: שם המשתמש של המשתמש שעבורו רוצים ליצור אסימון אימות
• ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לגשת אליו באמצעות האסימון
• ‫REGION: האזור שבו נמצא האשכול

אם למשתמש כבר יש שני אסימוני אימות, צריך למחוק אסימון קיים לפני שיוצרים אסימון נוסף למשתמש.

הצגת רשימה של אסימוני אימות של משתמש

אתם יכולים לאחזר רשימה של אסימוני אימות של משתמש באמצעות ה-CLI של gcloud.

כדי להציג את רשימת הטוקנים, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens list.

gcloud beta redis clusters token-auth-users auth-tokens list \
--token-auth-user=USERNAME \
--cluster=CLUSTER_ID \
--region=REGION

מחליפים את הפרטים הבאים:

• USERNAME: שם המשתמש של המשתמש שאליו שייכים אסימוני האימות
• ‫CLUSTER_ID: מזהה האשכול שהמשתמש יכול לגשת אליו באמצעות אסימוני האימות
• ‫REGION: האזור שבו נמצא האשכול

הצגת מידע על אסימוני אימות של משתמש

אתם יכולים לראות מידע על אסימוני אימות של משתמש באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שבו נמצאים אסימוני האימות של המשתמש שרוצים לראות את המידע שלו.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים.

   אם האפשרות לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

4. בדף משתמשים, לצד מזהה המשתמש, לוחצים על פעולות ().

5. בתפריט שמופיע, לוחצים על הצגת אסימוני אימות. בתיבת הדו-שיח Auth tokens מוצג המידע הבא:

   • מזהה המשתמש.
   • מספר אסימוני האימות שיש למשתמש (אחד או שניים).
   • הגרסה של כל אסימון אימות, יחד עם התאריך והשעה שבהם Memorystore for Redis Cluster יצר כל גרסה. בכל פעם שיוצרים אסימון אימות למשתמש, Memorystore for Redis Cluster יוצר גרסה מצטברת של האסימון.
   • טוקני האימות.

6. אופציונלי: כדי לקבל אסימון אימות של משתמש ולהשתמש בו כדי להתחבר לאשכול, לוחצים על Copy () ליד האסימון ומדביקים אותו בכלי לעריכת טקסט.

7. לוחצים על סיום.

gcloud

כדי להציג את המידע, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens describe.

gcloud beta redis clusters token-auth-users auth-tokens describe AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

• ‫AUTH_TOKEN: השם של אסימון האימות שרוצים לראות מידע לגביו.
• ‫CLUSTER_ID: המזהה של האשכול שהמשתמש יכול לגשת אליו באמצעות האסימון
• ‫REGION: האזור שבו נמצא האשכול
• ‫USERNAME: שם המשתמש של המשתמש שאליו שייך אסימון האימות

מחיקת טוקן אימות של משתמש

מחיקת אסימון אימות של משתמש היא פעולת אבטחה קריטית שמבטלת את תוקף האסימון.

חשוב: אם זהו אסימון האימות היחיד של המשתמש, אי אפשר למחוק אותו. אם רוצים להחליף את האסימון, צריך ליצור אסימון נוסף למשתמש לפני שמוחקים את האסימון המקורי.

אתם יכולים למחוק אסימון אימות של משתמש באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Redis Cluster במסוף Google Cloud .

   Memorystore for Redis Cluster

2. לוחצים על האשכול שבו נמצא המשתמש שרוצים למחוק את אסימון האימות שלו.

3. בחלונית ההזזה לניווט, לוחצים על פריט התפריט משתמשים.

   אם האפשרות הזו לא מופיעה בתפריט, סימן שלא יצרתם אשכול עם אימות בסיסי או שלא הפעלתם אימות בסיסי מבוסס-אסימון לאשכול.

4. בדף Users, ליד המזהה של המשתמש שרוצים למחוק את אסימון האימות שלו, לוחצים על Actions ().

5. בתפריט שמופיע, לוחצים על מחיקת אסימון האימות.

6. בתיבת הדו-שיח Delete Auth Token?‎, מבצעים את הפעולות הבאות:

   1. בתפריט Auth token, בוחרים את אסימון האימות שרוצים למחוק.
   2. בשדה מזהה טוקן אימות, מזינים את מספר הגרסה של הטוקן (לדוגמה, version-1).
   3. לוחצים על Delete.

gcloud

כדי למחוק את הטוקן, משתמשים בפקודה gcloud beta redis clusters token-auth-users auth-tokens delete.

gcloud beta redis clusters token-auth-users auth-tokens delete AUTH_TOKEN \
--cluster=CLUSTER_ID \
--region=REGION \
--token-auth-user=USERNAME

מחליפים את הפרטים הבאים:

• ‫AUTH_TOKEN: השם של אסימון האימות שרוצים למחוק מהמשתמש
• ‫CLUSTER_ID: המזהה של האשכול שרוצים למנוע מהמשתמש לגשת אליו באמצעות מחיקת האסימון
• ‫REGION: האזור שבו נמצא האשכול
• ‫USERNAME: שם המשתמש של המשתמש שיש לו אסימון שרוצים למחוק

התחברות לאשכול באמצעות אימות בסיסי מבוסס-אסימון

כדי להתחבר לאשכול באמצעות אימות בסיסי מבוסס-אסימון, אפשר להשתמש בשיטות הבאות:

• מחרוזת Uniform Resource Identifier ‏ (URI): המחרוזת היחידה והמעוצבת הזו משמשת לנוחות, כי כל פרטי החיבור הנדרשים (לדוגמה, שם המשתמש והאסימון של המשתמש, וכתובת ה-IP ושם המארח של האשכול) כלולים במחרוזת אחת.
• דגלים: השיטה הזו מתאימה יותר לשימוש בכלי שורת פקודה ספציפי, לסקריפטים או לסביבות שבהן ההגדרות מפוצלות למשתני סביבה נפרדים באמצעות כמה ארגומנטים נפרדים.

בקטעים הבאים מוסבר על כל שיטת חיבור.

שימוש במחרוזת URI

כדי להתחבר ממכונה וירטואלית של Compute Engine או מסביבה נתמכת באמצעות מחרוזת URI, משתמשים בפקודה הבאה:

redis-cli -c -u
redis://USERNAME:TOKEN@IP_ADDRESS:PORT

מחליפים את הפרטים הבאים:

• USERNAME: שם המשתמש של המשתמש שמנסה להתחבר לאשכול.

• ‫TOKEN: אסימון האימות של המשתמש.

  אם תספקו אסימון שגוי או לא חוקי, לא תוכלו להתחבר לאשכול. ב-Memorystore for Redis Cluster נוצרת רשומה לפעולה הזו ביומן הביקורת של הגישה לנתונים. אתם יכולים לעיין ביומן כדי לזהות איומי אבטחה או לפתור בעיות בחיבור שנגרמו בגלל טוקן שפג תוקפו או שהפורמט שלו לא תקין. מידע נוסף על הצגת יומן הביקורת של הגישה לנתונים זמין במאמר הצגת יומנים.

• ‫IP_ADDRESS: כתובת ה-IP של האשכול.

• ‫PORT: מספר היציאה ששמור לאשכול.

אם מפעילים הצפנה במעבר באשכול, צריך להשתמש בפרוטוקול Redis המאובטח (rediss://) ולהוסיף את דגלי ה-TLS. לדוגמה:

redis-cli -c -u
rediss://USERNAME:TOKEN@IP_ADDRESS:PORT --cacert /tmp/server_ca.pem

שימוש בדגלים

כדי להתחבר ממכונה וירטואלית של Compute Engine או מסביבה נתמכת באמצעות דגלים, משתמשים בפקודה הבאה:

redis-cli -c --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT

מחליפים את הפרטים הבאים:

• USERNAME: שם המשתמש של המשתמש שמנסה להתחבר לאשכול.

• ‫TOKEN: אסימון האימות של המשתמש.

  אם תספקו אסימון שגוי או לא חוקי, לא תוכלו להתחבר לאשכול. ב-Memorystore for Redis Cluster נוצרת רשומה לפעולה הזו ביומן הביקורת של הגישה לנתונים. אתם יכולים לעיין ביומן כדי לזהות איומי אבטחה או לפתור בעיות בחיבור שנגרמו בגלל טוקן שפג תוקפו או שהפורמט שלו לא תקין. מידע נוסף על הצגת יומן הביקורת של הגישה לנתונים זמין במאמר הצגת יומנים.

• ‫IP_ADDRESS: כתובת ה-IP של האשכול.

• ‫PORT: מספר היציאה ששמור לאשכול.

אם מפעילים הצפנה במעבר באשכול, צריך להוסיף את הדגלים של TLS. לדוגמה:

redis-cli -c --user USERNAME -a TOKEN -h IP_ADDRESS -p PORT --tls --cacert /tmp/server_ca.pem

החלפת אסימון אימות של משתמש בלי זמן השבתה

כדי להחליף את אסימון האימות של המשתמש בלי לגרום להשבתה של האפליקציות:

1. יוצרים אסימון אימות נוסף למשתמש: Memorystore for Redis Cluster יוצר אסימון תקין שני. שני האסימונים תקינים.
2. עדכון האפליקציות: מעדכנים את האפליקציות כך שישתמשו באסימון החדש.
3. מוחקים את אסימון האימות של המשתמש: ‫Memorystore for Redis Cluster מסיר את האסימון הראשון. המשתמש יכול להשתמש רק בטוקן השני כדי לאמת את הזהות שלו באפליקציות שלכם.

יומני גישה לאימות בסיסי מבוסס-טוקן

ב-Memorystore for Redis Cluster נוצרים יומני ביקורת של פעילות אדמין ושל גישה לנתונים, לפעולות שמשויכות לאסימוני אימות ולמשתמשים. מידע נוסף על יומני הביקורת האלה זמין במאמר מעקב אחרי הגישה באמצעות יומני ביקורת.