גישה מאובטחת למופעים באמצעות כללי מדיניות של ACL

באמצעות מדיניות של רשימות בקרת גישה (ACL) ב-Memorystore for Valkey, אתם יכולים לאבטח את הגישה למופעים. כדי להפעיל אבטחה ברמת פירוט גבוהה, אתם יכולים להגביל את הגישה של המשתמשים והשירותים למפתחות, לפקודות ולערוצי Pub/Sub ספציפיים.

אלה דוגמאות לתרחישי שימוש שבהם אפשר להשתמש בכללי מדיניות של רשימות ACL כדי לאבטח את הגישה למכונות:

• לספק בקרת גישה מבוססת-תפקידים (RBAC): יצירת פרופילי משתמשים נפרדים לרכיבים שונים של האפליקציות. לדוגמה, לממשק אינטרנט יכולה להיות גישת קריאה בלבד, ולשירות של קובץ שירות (service worker) ברקע יכולה להיות גישת קריאה וכתיבה. כך אפשר למנוע דליפות נתונים או שינויים לא רצויים.
• מניעת פקודות הרסניות: הגבילו פקודות מסוכנות כמו FLUSHALL,‏ FLUSHDB או CONFIG לאדמינים ברמה גבוהה בלבד. כך אפשר להגן על תקינות הנתונים מפני באגים בתוכנה או שגיאות ידניות.

• אבטחת אפליקציות מרובות דיירים: שימוש במשתמשי ACL נפרדים למיקרו-שירותים שונים או לשותפים חיצוניים. כך מוודאים שמשתמשים בשירות אחד לא יוכלו לקרוא או לשנות מפתחות שבבעלות שירות אחר.

  ב-Memorystore for Valkey אין אפשרות להשתמש בגישה מרובת דיירים ברמת המשאב. למרות שמרחבי המפתחות מחולקים, יכול להיות ששירות אחד יצרוך כמות לא פרופורציונלית של זיכרון או של CPU.

• ביצוע ניתוח נתונים ומעקב לקריאה בלבד: הקצאת משתמש ייעודי שיכול להשתמש רק ב-GET או בפקודות אחרות לקריאה בלבד (לדוגמה, SCAN או TYPE) למנועי לניתוח נתונים או לאפליקציות של לוחות בקרה. כך נמנעת כתיבה או מחיקה של נתונים בטעות.

• אבטחת מפתחות של מסד נתונים: הגבלת האפשרות של אפליקציות ליצור אינטראקציה רק עם מפתחות שתואמים לדפוסים ספציפיים (לדוגמה, app1:*). כך מתבצע הפרדה לוגית של נתונים בתוך מופע.

• השבתת סקריפטים של Lua: משתמשים בכללי מדיניות של ACL כדי לנהל את יכולות הסקריפטים של Lua במכונות. השבתה או הגבלה של סקריפטים של Lua יכולה להיות שימושית לשיפור הביצועים, לפשט את הפונקציונליות של המופעים או לפעול בהתאם להנחיות האבטחה של הארגון.

חשוב: אם אתם משתמשים ברפליקציה בין אזורים כדי ליצור מכונות משניות ממכונה ראשית, אתם צריכים לנהל את מדיניות ה-ACL של המכונות הראשיות והמשניות בנפרד. ‫Memorystore for Valkey לא מעביר את כללי המדיניות של רשימות ACL ממכונות ראשיות למכונות משניות.

לפני שמתחילים

לפני שמתחילים להשתמש בכללי מדיניות ACL, צריך לבצע את ההוראות שבקטע הזה.

שימוש במסוף Google Cloud , ב-Google Cloud CLI ובממשקי API

כדי להשתמש במסוף Google Cloud , ב-Google Cloud CLI ובממשקי ה-API:

1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים פרויקט ב- Google Cloud או יוצרים אותו.
   

   הערה: אם אתם לא מתכננים לשמור את המשאבים שתיצרו בתהליך הזה, תוכלו ליצור פרויקט חדש במקום לבחור באחד מהפרויקטים הקיימים. בסיום התהליך תוכלו למחוק את הפרויקט ולהסיר את כל המשאבים שקשורים אליו.

   
   כניסה לדף לבחירת הפרויקט
2. מוודאים שהחיוב מופעל בפרויקט. כך בודקים אם החיוב מופעל בפרויקט

3. מתקינים ומפעילים את Google Cloud CLI.

   הערה: אם התקנתם את ה-CLI של gcloud בעבר, ודאו שיש לכם את הגרסה העדכנית ביותר על ידי הפעלת gcloud components update. כדי לגשת לפקודות ה-CLI של gcloud של Memorystore for Valkey, אתם צריכים לפחות את גרסה 489.0.0 של ה-CLI של gcloud.

4. מפעילים את Memorystore for Valkey API.
   Memorystore for Valkey
5. מפעילים את Network Connectivity API.
   Network Connectivity API
6. מפעילים את Service Consumer Management API.
   Service Consumer Management API

הקצאת תפקידים ב-Memorystore for Valkey

צריך לוודא שלכם או לחשבון המשתמש שבו אתם משתמשים יש את ההרשאות הנדרשות לפעולה שאתם רוצים לבצע.

כדי לבצע את כל הפעולות של מדיניות ה-ACL, צריך להשתמש בתפקידים אדמין של Memorystore (roles/memorystore.admin) ועריכה של Memorystore (roles/memorystore.editor). כדי לראות רק את מדיניות ה-ACL, צריך להשתמש בתפקיד צפייה ב-Memorystore (roles/memorystore.viewer).

הקצאת הרשאות ל-Memorystore for Valkey

בנוסף לתפקידים "אדמין של Memorystore", "עריכה ב-Memorystore" ו"צפייה ב-Memorystore", כדי להשתמש בכללי מדיניות של רשימות ACL ב-Memorystore for Valkey, אתם צריכים את ההרשאות הבאות:

פעולה	הרשאה
יצירת מדיניות ACL	memorystore.aclPolicies.create
הקצאת מדיניות ACL למכונה	memorystore.instances.update
מידע על כללי המדיניות של רשימות ACL	memorystore.aclPolicies.list
צפייה במידע על מדיניות ACL	memorystore.aclPolicies.get
הצגת מידע על גרסאות של מדיניות ACL	memorystore.aclPolicyRevisions.list
הצגת מידע על גרסה של מדיניות ACL	memorystore.aclPolicyRevisions.get
שינוי מדיניות ACL	memorystore.aclPolicies.update
הסרת מדיניות ACL ממופע	memorystore.instances.update
מחיקת מדיניות ACL	memorystore.aclPolicies.delete

יצירת מדיניות ACL

יצירת מדיניות ACL ב-Memorystore for Valkey משפרת את האבטחה של המכונות, כי היא מגבילה את הגישה של המשתמשים למפתחות, לפקודות ולערוצי Pub/Sub ספציפיים.

אפשר ליצור מדיניות ACL באמצעות מסוף Google Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies.

3. בדף ACL policies (מדיניות ACL), לוחצים על Create policy (יצירת מדיניות).

4. בחלון Create policy:

   1. בשדה Policy name, כותבים את השם של מדיניות ACL. שם המדיניות יכול להכיל רק אותיות קטנות, מספרים ומקפים. הוא חייב להתחיל באות ולהיות ייחודי באזור שלו.

   2. בתפריט Region, בוחרים את האזור שבו רוצים ש-Memorystore for Valkey ייצור את מדיניות ה-ACL.

      חשוב: אחרי שיוצרים את מדיניות ה-ACL, אי אפשר לשנות את השם או את האזור של המדיניות. בנוסף, אפשר להקצות את המדיניות הזו רק למכונות שנמצאות באותו אזור כמו המדיניות.

      לדוגמה, אם בוחרים באזור us-central1 למדיניות, אפשר להקצות את המדיניות רק למכונות שנמצאות גם הן באזור us-central1.

   3. לוחצים על הוספת כלל.

   4. בשדה User ID (מזהה משתמש), מזינים את שם המשתמש שאליו רוצים להחיל את מדיניות ACL.

   5. בשדה מחרוזת הגישה, מזינים את מחרוזת הגישה של המדיניות. מחרוזת הגישה היא כלל קריא לאנשים שמגדיר את ההרשאות הספציפיות של המשתמש.

      לדוגמה, אם רוצים לתת למשתמש העל default הרשאות קריאה וכתיבה לכל מפתחות ה-ACL של המופע, צריך למלא את השדות User ID ו-Access string באופן הבא:

      מזהה משתמש	מחרוזת גישה
      default	on ~* &* +@all

      הכלל הזה מעניק את ההרשאות הבאות למשתמש default:

      • ‫on: המשתמש פעיל ויכול לבצע אימות
      • ‫~*: למשתמש יש גישת קריאה וגישת כתיבה לכל המפתחות האפשריים
      • ‫&*: למשתמש יש גישה לכל הערוצים של Pub/Sub
      • ‫+@all: המשתמש יכול להריץ את כל הפקודות הזמינות
      חשוב: אם לא כוללים במדיניות ה-ACL כלל שמגביל או חוסם את הגישה של המשתמש default, המשתמש הזה שומר על הרשאות הגישה המלאות שלו.

      מידע נוסף על כללי ACL אחרים וכללי מדיניות שאפשר ליצור זמין בקטע ACL במסמכי התיעוד של Valkey.

   6. חוזרים על שלבים ג' עד ה' כדי ליצור עוד כללי ACL במדיניות.

   7. לוחצים על יצירה.

gcloud

כדי ליצור מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies create.

gcloud memorystore acl-policies create ACL_POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all",username="lucian" \
--rules=rule="on +get",username="taylor"

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שאתם יוצרים. שם המדיניות יכול להכיל רק אותיות קטנות, מספרים ומקפים. הוא חייב להתחיל באות ולהיות ייחודי באזור שלו.
• ‫REGION: האזור שבו רוצים למקם את מדיניות ה-ACL.

המדיניות הזו משתמשת באימות בסיסי שמבוסס על טוקנים, ויש בה כללים שמבצעים את הפעולות הבאות:

• הכלל הראשון נותן ל-lucian את ההרשאה ~* +@all. ההרשאה הזו מאפשרת למשתמש לגשת לכל המפתחות ולהפעיל את כל הפקודות.
• הכלל השני מעניק את ההרשאה get ל-taylor. ההרשאה הזו מאפשרת למשתמש לאחזר את הערכים שמשויכים למפתחות. ההרשאה הזו מגבילה את הגישה של המשתמש לפעולות של נתונים לקריאה בלבד, ומונעת מהמשתמש לשנות מפתחות.

כדי ליצור כללים למדיניות ACL שמשתמשת באימות של ניהול זהויות והרשאות גישה (IAM), מומלץ להשתמש בנציגי IAM לשמות המשתמשים (למשל, כתובות האימייל של המשתמשים).

gcloud memorystore acl-policies create ACL_POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all",username="[e-mail]" \
--rules=rule="on +get",username="[e-mail]"

חשוב: אם חשבון משתמש ב-IAM מאומת אבל אין לו כלל ACL תואם, הוא מקבל את ההרשאות של המשתמש default. כך לחשבון המשתמש תהיה גישה מלאה, אלא אם תגבילו את המשתמש.

כדי ליצור כלל למדיניות ACL שלא משתמשת באימות, המשתמש צריך להיות משתמש default.

gcloud memorystore acl-policies create ACL_POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all",username="default"

מידע נוסף על אימות בסיסי מבוסס-טוקן ועל אימות IAM זמין במאמרים גישה מאובטחת למופעים באמצעות אימות בסיסי מבוסס-טוקן ומידע על אימות IAM.

חשוב: אלא אם תכללו במדיניות ה-ACL כלל שמגביל או חוסם את הגישה של המשתמש default, המשתמש הזה ישמור על הרשאות הגישה המלאות שלו.

אחרי שיוצרים את מדיניות ACL, אי אפשר לשנות את השם או האזור של המדיניות. בנוסף, אפשר להקצות את המדיניות הזו רק למופעים שנמצאים באותו אזור כמו המדיניות.

לדוגמה, אם מציינים את us-central1 כאזור של המדיניות, אפשר להקצות את המדיניות רק למופעים שנמצאים גם באזור us-central1.

מידע נוסף על כללי ACL ומדיניות אחרים שאפשר ליצור זמין במאמר ACL במסמכי התיעוד של Valkey.

הקצאת מדיניות ACL למכונה

כשמקצים מדיניות ACL למכונה, או כשמחליפים מדיניות שהוקצתה, מאפשרים ל-Memorystore for Valkey להחיל את כללי המדיניות על המכונה. כתוצאה מכך, אתם מגבילים את הגישה של המשתמשים למפתחות, לפקודות ולערוצי Pub/Sub ספציפיים.

אפשר להקצות מדיניות ACL למכונה באמצעותGoogle Cloud המסוף או ה-CLI של gcloud.

חשוב: אם רוצים להקצות מדיניות ACL למכונה קיימת, גרסת התחזוקה צריכה להיות MEMORYSTORE_20260627_00_02 ואילך. מידע נוסף על עדכון גרסת התחזוקה של מופע זמין במאמר בנושא תחזוקה בשירות עצמי.

אם מקצים מדיניות שמגבילה פעולות של משתמש, והמשתמש מנסה לבצע את הפעולות האלה, הוא יקבל הודעת שגיאה והפעילות תופיע ביומני בקרת הרשאות גישה לנתונים. מידע נוסף על היומנים האלה זמין במאמר מעקב אחרי הגישה באמצעות יומני ביקורת.

אם לא מפעילים אימות של ניהול זהויות והרשאות גישה (IAM) או אימות בסיסי מבוסס-אסימון למכונה, כל משתמש שמתחבר למכונה עושה זאת כמשתמש default. לכן, כל מדיניות ACL שתקצו למופע חייבת להכיל כללים שמתייחסים רק למשתמש הזה. למידע נוסף על סוגי האימות האלה, קראו את המאמרים ניהול אימות IAM וגישה מאובטחת למכונות באמצעות אימות בסיסי מבוסס-אסימון.

הקצאת מדיניות למופע חדש

כדי ליצור מכונה ולהקצות לה מדיניות ACL, קראו את המאמר יצירת מכונות.

הקצאת מדיניות למכונה קיימת

כדי לשפר את האבטחה של מכונה קיימת, אפשר להקצות לה מדיניות ACL.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. לוחצים על המזהה של המכונה שרוצים להקצות לה מדיניות ACL.

3. בדף Instance at a glance (סקירה מהירה של המופע), גוללים לכרטיס Security (אבטחה).

4. לצד השדה ACL policy (מדיניות ACL), לוחצים על Edit (עריכה) ().

5. בחלון Edit ACL policy (עריכת מדיניות ACL), מבצעים את הפעולות הבאות:

   1. בתפריט Policy, בוחרים את המדיניות שרוצים להקצות למכונה.

   2. לוחצים על Update instance.

gcloud

כדי להקצות מדיניות ACL למכונה קיימת, משתמשים בפקודה gcloud memorystore instances update.

gcloud memorystore instances update INSTANCE_ID \
--update_mask=acl_policy \
--acl-policy=ACL_POLICY_NAME \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫INSTANCE_ID: המזהה של המכונה שאליה מקצים את מדיניות ה-ACL
• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו נמצאת המכונה

מידע על מדיניות ACL

הצגת מידע על מדיניות ACL ב-Memorystore for Valkey עוזרת לכם לשמור על האבטחה, מבטיחה את היציבות התפעולית של הסביבה ומאפשרת לכם לבדוק נתונים בזיכרון. כללי המדיניות האלה מגדירים אילו משתמשים יכולים לקרוא או לשנות תבניות מפתח מסוימות, להריץ פקודות ספציפיות או לגשת לערוצי Pub/Sub ספציפיים.

אפשר לראות מידע על כללי מדיניות של רשימות ACL באמצעות מסוףGoogle Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies.

   בדף ACL policies, אפשר לראות את הפרטים הבאים לגבי כל מדיניות ACL:

   • מזהה המדיניות: המזהה הייחודי של המדיניות
   • מיקום: האזור שבו נמצאת המדיניות
   • נוצר בתאריך: התאריך והשעה שבהם נוצרה המדיניות
   • עודכן בתאריך: התאריך והשעה שבהם המדיניות עודכנה בפעם האחרונה
   • מספר הכללים: המספר הכולל של הכללים במדיניות
   • בשימוש על ידי מכונות: המכונות שהוקצו למדיניות

gcloud

כדי לראות מידע על מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies list.

gcloud memorystore acl-policies list
--location=REGION

מחליפים את REGION באזור שבו נמצאת מדיניות ה-ACL.

הצגת מידע על מדיניות ACL

כשאתם צופים במידע על מדיניות ACL ב-Memorystore for Valkey, אתם יכולים לבצע ביקורות אבטחה, לפתור שגיאות גישה ולאכוף את העיקרון של הרשאות מינימליות על ידי אימות פקודות של משתמשים, הרשאות מפתח וגישה לערוצי Pub/Sub. בנוסף, אדמינים יכולים להציג מדיניות ACL כדי לוודא שלאפליקציות יש גישה מתאימה ולזהות כללים מתירניים מדי.

אפשר לראות מידע על מדיניות ACL באמצעות ה-CLI של gcloud. כדי להציג את המידע הזה, משתמשים בפקודה gcloud memorystore acl-policies describe.

gcloud memorystore acl-policies describe ACL_POLICY_NAME \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שרוצים לראות מידע לגביה.
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

הצגת מידע על גרסאות של מדיניות ACL

כשיוצרים מדיניות ACL, ‏ Memorystore for Valkey יוצר גרסה (תיקון) של המדיניות. בכל פעם שמשנים את המדיניות,‏ Memorystore for Valkey יוצר גרסה מתוקנת של המדיניות.

מכיוון ש-Memorystore for Valkey יוצר את הגרסאות האלה באופן אוטומטי, אתם יכולים להשתמש בהן למטרות מעקב וביקורת פנימיים. בנוסף, אפשר לראות את התוכן המדויק של מדיניות ה-ACL בכל גרסה היסטורית.

באמצעות גרסאות של מדיניות ACL, אתם יכולים לעקוב אחרי המכונות שמשתמשות בכל גרסה של מדיניות. כך תוכלו לשמור על הנראות ולוודא שהמופעים נמצאים בגרסה הנכונה בתקופות של מודל עקביות הדרגתי אחרי עדכון מדיניות.

אפשר לראות מידע על גרסאות של מדיניות ACL באמצעותGoogle Cloud מסוף Google Cloud או ה-CLI של gcloud.

חשוב: אי אפשר להחזיר מכונה לגרסה ישנה יותר של מדיניות ACL, כי Memorystore for Valkey מעדכן באופן אוטומטי את המכונות כך שישתמשו בגרסאות התואמות העדכניות ביותר של כללי המדיניות שהוקצו להן. אם אתם צריכים להחזיר מופע להגדרה קודמת, אתם צריכים ליצור מדיניות עם הגדרות התצורה האלה או לשנות את המדיניות הקיימת כדי לשכפל את הגרסה הקודמת.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies (מדיניות ACL).

3. בדף ACL policies, לוחצים על המזהה של מדיניות ה-ACL שכוללת גרסאות שרוצים לראות. בדף ACL policy revisions מופיע המידע הבא:

   • ‫Revision ID: המזהה של כל גרסה של מדיניות ACL
   • מספר הגרסה: המספר של כל גרסה של מדיניות ACL
   • מיקום: האזור שבו נמצאת כל גרסה של מדיניות ACL
   • תאריך יצירה: התאריך והשעה שבהם נוצרה כל גרסה של מדיניות ACL
   • מופעים מצורפים: המופעים שהוקצו לכל עדכון של מדיניות ACL
   • תמונת מצב: מידע מפורט על כל עדכון של מדיניות ACL

gcloud

כדי להציג מידע על גרסאות של מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies revisions list.

gcloud memorystore acl-policies revisions list \
--acl-policy=ACL_POLICY_NAME \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שמכילה את הגרסאות שרוצים לראות מידע לגביהן
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

בפלט, רושמים את מזהי הגרסאות. מזהי ה-ACL האלה נדרשים כדי להציג מידע על גרסאות ספציפיות של מדיניות ACL.

צפייה במידע על עדכון של מדיניות ACL

כשמציגים גרסה של מדיניות ACL, אפשר לראות את הכללים, המטא-נתונים ורשימה של כל המכונות שמצורפות אליה. אפשר לראות מידע על עדכון של מדיניות ACL באמצעות מסוף Google Cloud או CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies (מדיניות ACL).

3. בדף ACL policies, לוחצים על המזהה של מדיניות ה-ACL שרוצים לראות את העדכון שלה.

4. בדף ACL policy revisions, לוחצים על הקישור Snapshot לצד גרסת מדיניות ה-ACL שאת המידע שלה רוצים לראות.

gcloud

כדי להציג מידע על גרסה של מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies revisions describe.

gcloud memorystore acl-policies revisions describe ACL_POLICY_REVISION_ID \
--acl-policy=ACL_POLICY_NAME \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_REVISION_ID: המזהה של גרסת מדיניות ה-ACL שרוצים לראות מידע לגביה. המזהה הזה מופיע כשמעיינים במידע על עדכונים במדיניות ACL.
• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שמכילה את הגרסה.
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL.

שינוי מדיניות ACL

שינוי של מדיניות ACL ב-Memorystore for Valkey מאפשר לשפר את האבטחה, לאכוף גישה עם הרשאות מינימליות ולנהל את בטיחות התפעול. אפשר לשנות מדיניות באמצעות Google Cloud המסוף או ה-CLI של gcloud.

חשוב: אחרי שיוצרים מדיניות, אי אפשר לשנות את השם או את האזור שלה.

הוספת כלל למדיניות ACL

כדי להגביר את האבטחה של מדיניות ACL, מוסיפים לה כלל.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies (מדיניות ACL).

3. ליד מדיניות ה-ACL שרוצים להוסיף לה כלל, לוחצים על More actions () ואז על Edit.

4. בחלון עריכת המדיניות, לוחצים על הוספת כלל.

5. בשדה User ID (מזהה משתמש), מזינים את שם המשתמש שאליו רוצים להחיל את מדיניות ACL.

6. בשדה מחרוזת הגישה, מזינים את מחרוזת הגישה של המדיניות. איך יוצרים מדיניות ACL?

7. חוזרים על שלבים 4 עד 6 כדי להוסיף עוד כללי ACL למדיניות.

8. לוחצים על Save.

gcloud

כדי להוסיף כלל למדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update ACL_POLICY_NAME \
--location=REGION \
--add-rules=rule="on ~list:*",username="lucian"

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שרוצים להוסיף לה כלל ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

הכלל הזה נותן ל-lucian גישה לכל המפתחות שמתחילים ב-list:.

שינוי כלל במדיניות ACL

שינוי של כלל ACL במדיניות ACL מספק אבטחה הדוקה יותר, משפר את בטיחות התפעול ומאפשר בקרת גישה פרטנית יותר למשתמשים. לדוגמה, אתם יכולים לבטל הרשאות במהלך תגובה לאירוע או להפעיל גישה זמנית למטרות ניפוי באגים.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies.

3. לצד מדיניות ACL שרוצים לשנות בה כלל, לוחצים על סמל האפשרויות הנוספות () ואז בוחרים באפשרות עריכה.

4. בחלון עריכת המדיניות, לוחצים על הוספת כלל.

5. בשדות User ID (מזהה משתמש) ו-Access string (מחרוזת גישה), משנים את מזהה המשתמש או את מחרוזת הגישה של המדיניות. מידע נוסף על מחרוזות גישה למדיניות ACL זמין במאמר יצירת מדיניות ACL.

6. חוזרים על שלבים 4 ו-5 לכל כלל ACL נוסף שרוצים לשנות במדיניות.

7. לוחצים על Save.

החלפת הכללים של מדיניות ACL

בדומה לשינוי כלל במדיניות, החלפת הכללים של מדיניות מספקת אבטחה הדוקה יותר, בטיחות תפעולית משופרת ובקרת גישה מפורטת יותר למשתמשים.

gcloud

כדי להחליף את הכללים של מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update ACL_POLICY_NAME \
--location=REGION \
--rules=rule="on ~c*che",username="lucian"

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שבה רוצים להחליף את כללי ה-ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

הכלל שאתם מחליפים במדיניות מעניק ל-lucian גישה לכל המפתחות שתואמים לתבנית c*che. לדוגמה: cache, caache ו-ceche.

הסרת כלל ממדיניות ACL

אם כלל ACL כבר לא רלוונטי למדיניות ACL, אתם יכולים להסיר אותו.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies.

3. ליד מדיניות ה-ACL שממנה רוצים להסיר כלל, לוחצים על More actions () ובוחרים באפשרות Edit.

4. בחלון Edit policy, ליד הכלל שרוצים להסיר מהמדיניות, לוחצים על Delete rule ().

5. חוזרים על שלב 4 לכל כלל ACL נוסף שרוצים להסיר מהמדיניות.

6. לוחצים על Save.

gcloud

כדי להסיר כלל ממדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update ACL_POLICY_NAME \
--location=REGION \
--remove-rules=rule="on ~set",username="lucian"

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שממנה רוצים להסיר כלל ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

הסרת הכלל הזה מבטלת את ההרשאות שמשויכות אליו ב-lucian. כדי לגשת למופע, lucian צריך להתחבר כמשתמש default, והוא כפוף להרשאות של המשתמש הזה.

חשוב: כדי להשתמש בפרמטר remove-rules, צריך לספק התאמה מדויקת גם לכלל וגם למשתמש. אם מציינים רק את המשתמש, Memorystore for Valkey לא מסיר ממדיניות ה-ACL את הכלל שמשויך למשתמש.

הסרת מדיניות ACL ממכונה

אם מדיניות ACL כבר לא חלה על מכונה של Memorystore for Valkey, אתם יכולים להסיר אותה. אפשר להסיר מדיניות באמצעות מסוףGoogle Cloud או ה-CLI של gcloud.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. לוחצים על המזהה של המכונה שממנה רוצים להסיר מדיניות ACL.

3. בדף Instance at a glance, גוללים לכרטיס Security.

4. לצד השדה ACL policy (מדיניות ACL), לוחצים על Edit (עריכה) ().

5. בחלון Edit ACL policy (עריכת מדיניות ACL), מבצעים את הפעולות הבאות:

   1. בתפריט מדיניות, בוחרים באפשרות אין מדיניות.

   2. לוחצים על Update instance.

gcloud

כדי להסיר מדיניות ACL ממכונה, משתמשים בפקודה gcloud memorystore instances update.

gcloud memorystore instances update INSTANCE_ID \
--clear-acl-policy \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫INSTANCE_ID: המזהה של המכונה שממנה מסירים את מדיניות ה-ACL
• ‫REGION: האזור שבו נמצאת המכונה

מחיקת מדיניות ACL

אם אתם לא צריכים יותר מדיניות ACL, אתם יכולים למחוק אותה. אפשר למחוק מדיניות באמצעות מסוף Google Cloud או ה-CLI של gcloud.

חשוב: לפני שמוחקים מדיניות ACL, צריך להסיר אותה מכל המכונות שהיא מוקצית להן. כדי לדעת אילו מכונות מוקצות למדיניות, קראו את המאמר הצגת מידע על כללי מדיניות של רשימות ACL.

המסוף

1. נכנסים לדף Memorystore for Valkey במסוף Google Cloud .

   Memorystore for Valkey

2. בחלונית הניווט הצדדית, לוחצים על ACL policies.

3. לצד מדיניות ה-ACL שרוצים למחוק, לוחצים על More actions () ואז על Delete.

   אם פריט התפריט מחיקה מושבת, המדיניות מוקצית למופעים. כדי למחוק את המדיניות, צריך להסיר אותה מכל מופע.

4. בחלון Delete policy, מבצעים את הפעולות הבאות:

   1. בשדה הטקסט, מזינים את שם המדיניות.

   2. לוחצים על מחיקה.

gcloud

כדי למחוק מדיניות ACL, משתמשים בפקודה gcloud memorystore acl-policies delete.

gcloud memorystore acl-policies delete ACL_POLICY_NAME \
--location=REGION

מחליפים את הפרטים הבאים:

• ‫ACL_POLICY_NAME: השם של מדיניות ה-ACL שרוצים למחוק
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

השבתת סקריפטים של Lua

אתם יכולים להשתמש בכללי מדיניות של ACL כדי לנהל את יכולות הסקריפטים של Lua במכונות שלכם. השבתה או הגבלה של סקריפטים ב-Lua יכולה לעזור לכם לשפר את הביצועים, לפשט את הפונקציונליות של המכונות או לפעול בהתאם להנחיות האבטחה של הארגון.

השבתת פקודות סקריפטים למשתמשים

כדי להשבית סקריפטים של Lua כך שמשתמשים לא יוכלו להריץ אותם, צריך להשתמש בכללי מדיניות של ACL ולהסיר את ההרשאות לפקודות הסקריפטים ממחרוזת כללי ה-ACL של המשתמש.

ב-Valkey, הפקודות מחולקות לקבוצות. כתיבת סקריפטים ב-Lua נכללת בקטגוריה @scripting. הפקודות העיקריות שצריך להסיר מהן את הרשאות המשתמשים הן:

• ‫EVAL: הפעלת סקריפט Lua שסופק כמחרוזת
• ‫EVALSHA: הפעלת סקריפט Lua שנשמר במטמון באמצעות הפקודה SCRIPT LOAD

• ‫SCRIPT : ניהול של מטמון הסקריפטים (לדוגמה, LOAD,‏ FLUSH,‏ EXISTS ו-KILL)

  הפקודה SCRIPT כוללת את פקודות המשנה הבאות:

  • DEBUG
  • EXISTS
  • FLUSH
  • HELP
  • KILL
  • LOAD
  • SHOW

אתם יכולים להשבית את כל פקודות הסקריפטים או פקודה ספציפית למשתמשים. כדי להשבית פקודות של סקריפטים, משתמשים ב-CLI של gcloud ומוסיפים סימן מינוס (-) לפני הפקודה או הקטגוריה.

השבתת כל פקודות הסקריפטים למשתמש

כדי להשבית את כל פקודות הסקריפטים למשתמש, צריך ליצור מדיניות ACL ולהקצות אותה למכונה, או לשנות מדיניות ACL שמוקצית למכונה.

הוספה של כלל מדיניות

כדי ליצור מדיניות ACL שמשביתה את כל פקודות הסקריפטים למשתמש בשם lucian, משתמשים בפקודה gcloud memorystore acl-policies create.

gcloud memorystore acl-policies create POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all -@scripting",username=lucian

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו רוצים שמדיניות ה-ACL תמוקם

אחרי שיוצרים את המדיניות, צריך להקצות אותה למופע חדש או קיים.

שינוי מדיניות

כדי לשנות מדיניות ACL ולהשבית את כל פקודות הסקריפטים עבור lucian, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all -@scripting",username=lucian

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

אם רוצים להעניק רק הרשאות ספציפיות שמשתמש צריך, משנים את הערך של +@all. לדוגמה, אם רוצים שלמשתמש תהיה גישה רק לפקודות לקריאה בלבד, צריך לשנות את +@all ל-+@read. מידע נוסף על הרשאות המשתמשים שאפשר להגדיר זמין במסמכי התיעוד של Valkey ACL.

השבתת פקודת סקריפט למשתמש

אתם יכולים להשבית פקודות ספציפיות למשתמש. לדוגמה, אתם יכולים לאפשר למשתמש להריץ את כל פקודות הסקריפטים, חוץ מהפקודה SCRIPT FLUSH. כדי להשבית פקודת סקריפט עבור משתמש, צריך ליצור מדיניות ACL ולהקצות אותה למופע, או לשנות מדיניות ACL שמוקצית למופע.

אתם יכולים להשבית כל פקודת סקריפט. בדוגמאות שבקטע הזה, משביתים את הפקודה SCRIPT FLUSH למשתמש. רשימה של פקודות סקריפטים מופיעה במאמר השבתת פקודות סקריפטים למשתמשים.

הוספה של כלל מדיניות

כדי ליצור מדיניות ACL להשבתת פקודת הסקריפטים SCRIPT FLUSH עבור lucian, משתמשים בפקודה gcloud memorystore acl-policies create.

gcloud memorystore acl-policies create POLICY_NAME \
--location=REGION \
--rules=rule="on ~* -script|flush",username=lucian

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו רוצים למקם את מדיניות ה-ACL

אחרי שיוצרים את המדיניות, צריך להקצות אותה למופע חדש או קיים.

שינוי מדיניות

כדי לשנות מדיניות ACL ולהשבית את כל פקודות הסקריפטים של lucian, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update POLICY_NAME \
--location=REGION \
--rules=rule="on ~* -script|flush",username=lucian

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

אם רוצים להעניק רק הרשאות ספציפיות שמשתמש צריך, משנים את הערך של +@all. לדוגמה, אם רוצים שלמשתמש תהיה גישה רק לפקודות לקריאה בלבד, צריך לשנות את +@all ל-+@read. למידע נוסף על הרשאות המשתמשים שאפשר להגדיר, קראו את המאמר בנושא Valkey ACL.

אבטחת משתמש ברירת המחדל

כדי להשבית את הרשאות הסקריפטים של משתמש-העל default, צריך ליצור מדיניות ACL ולהקצות אותה למכונה, או לשנות מדיניות ACL שמוקצית למכונה.

חשוב: אם האפליקציות שלכם מסתמכות על פונקציות פנימיות של Valkey שמשתמשות בסקריפטים של Lua, הסרת הרשאות הסקריפטים מהמשתמש default עלולה לגרום לשגיאות באפליקציות. לכן, לפני שמחילים את ההגבלות האלה בסביבת ייצור, מומלץ לאמת את דרישות האפליקציה.

הוספה של כלל מדיניות

כדי ליצור מדיניות ACL שתשבית את כל פקודות הסקריפטים למשתמש default, משתמשים בפקודה gcloud memorystore acl-policies create.

gcloud memorystore acl-policies create POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all -@scripting",username=default

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו רוצים למקם את מדיניות ה-ACL

אחרי שיוצרים את המדיניות, צריך להקצות אותה למכונה חדשה או קיימת.

שינוי מדיניות

כדי לשנות מדיניות ACL ולהשבית את כל פקודות הסקריפטים של המשתמש default, משתמשים בפקודה gcloud memorystore acl-policies update.

gcloud memorystore acl-policies update POLICY_NAME \
--location=REGION \
--rules=rule="on ~* +@all -@scripting",username=default

מחליפים את הפרטים הבאים:

• ‫POLICY_NAME: השם של מדיניות ה-ACL
• ‫REGION: האזור שבו נמצאת מדיניות ה-ACL

אם רוצים להעניק רק הרשאות ספציפיות שמשתמש default צריך, צריך לשנות את הערך של +@all. לדוגמה, אם רוצים שלמשתמש תהיה גישה לפקודות לקריאה בלבד, משנים את +@all ל-+@read. מידע נוסף על הרשאות המשתמשים שאפשר להגדיר זמין במסמכי ה-ACL של Valkey.

פתרון בעיות

בקטע הזה מפורטות הודעות השגיאה שעשויות להופיע כשמשתמשים בכללי מדיניות של רשימות ACL, הסיבות להודעות האלה וטיפים לפתרון הבעיות שקשורות להודעות.

הודעת השגיאה	מטרה	פתרון בעיות
username cannot be empty	הגדרתם מחרוזת ריקה או מחרוזת שמכילה רק רווחים לבנים לשם משתמש במדיניות ACL.	השתמשו בשם משתמש שמכיל תווים אלפאנומריים או תווים מיוחדים. לאחר מכן, יוצרים שוב את מדיניות ה-ACL.
duplicate username found in ACL policy	יש לכם שמות משתמשים כפולים במדיניות ACL.	משתמשים ביומני השגיאות כדי למצוא את שם המשתמש הכפול. משנים את הבקשה ליצירת מדיניות ACL כך שתציין בדיוק כלל אחד לשם המשתמש. ואז יוצרים מחדש את מדיניות ה-ACL.
ACL rule token cannot contain token. use either IAM or Basic Auth features to enable authentication	אי אפשר להשתמש בתווים של סיסמאות (לדוגמה, <, >, # ו-!) או בפקודות שקשורות אליהם (לדוגמה, nopass, resetpass ו-reset) במדיניות של רשימת בקרת גישה (ACL).	מסירים את כל התווים של הסיסמה והפקודות שקשורות אליה מהכללים של מדיניות ה-ACL. לאחר מכן, יוצרים מחדש את מדיניות ה-ACL. כדי להגדיר אימות, מפעילים אימות בסיסי או אימות מבוסס-IAM.
passwords not allowed in ACL rules (token starts with char). use either IAM or Basic Auth features to enable authentication	אי אפשר להשתמש בתווים של סיסמה (לדוגמה, <, >, # ו-!) או בפקודות קשורות (לדוגמה, nopass, resetpass ו-reset) במדיניות ACL.	מסירים את כל התווים של הסיסמה והפקודות שקשורות אליה מהכללים של מדיניות ה-ACL. לאחר מכן, יוצרים מחדש את מדיניות ה-ACL. כדי להגדיר אימות, צריך להפעיל אימות בסיסי או אימות מבוסס-IAM.
invalid ACL rule syntax	לא הגדרתם את הפורמט של מחרוזת גישה באחד או יותר מהכללים של מדיניות ה-ACL בצורה נכונה.	הפורמט של מחרוזת הגישה צריך להיות תקין.
ACL policy is in DELETING state and cannot be used	אתם מנסים להקצות מדיניות ACL למכונה, אבל המדיניות נמצאת בסטטוס DELETING.	להקצות למכונה מדיניות ACL אחרת.
ACL_POLICY_IN_USE: ACL policy is in use by 1 or more instances	ניסיתם למחוק מדיניות ACL שמוקצית למכונה אחת לפחות.	כדי למחוק מדיניות ACL, צריך קודם להסיר אותה מכל המופעים שהיא הוקצתה להם. כדי לראות אילו מכונות מוקצות למדיניות, קראו את המאמר הצגת מידע על כללי מדיניות של רשימות ACL.
fast-failing the workflow as the resource is in DELETING state	ניסית לשנות מדיניות ACL בסטטוס DELETING.	אם למדיניות ACL יש סטטוס DELETING, אי אפשר לשנות את המדיניות.