百度360必应搜狗淘宝本站头条
php redisredis 命令oracle位图索引redis 锁redis 主从
当前位置：网站首页 > 技术教程 > 正文

Redis权限管理体系二):终于等来了Redis权限控制体系ACL

mhr18 2024-11-13 11:08 20 浏览 0 评论

#头条创作挑战赛#

Redis在存储系统界的使用排名一直遥遥领先，但Redis6版本之前，一直没有一套较为全面的权限控制体系。而随着Redis6版本被更多人使用后，权限控制系统也逐渐广泛应用起来了，本文就探索一下Redis ACL的主要内容。

1. 用户管理

Redis用户的创建、查看、修改、删除等主要操作可以按照如下实例进行

1.1 创建用户

只创建用户，暂时不添加其他权限

127.0.0.1:6479> ACL SETUSER  user1 on >pwd_u1
OK

另外，上例中，设置的是明文密码，也可以设置加密的hash密码，例如：

#先获取对于密码的hash值
[redis@VM-4-14-centos ~]$ echo -n "pwd_u1" | shasum -a 256
21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544  -


#以密文的方式创建密码
127.0.0.1:6479> ACL SETUSER u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544
OK


1.2 查看用户

Redis中查看用户时可以看到对应的用户信息及权限；另外也可以选择查看全部用户信息、指定用户信息及当前登录的用户是谁。具体示例如下：

列出所有用户：

127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user user1 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 &* -@all"
127.0.0.1:6479>

查看指定用户：

查看单个用户可以用 "ACL GETUSER 用户名"的方式查看,例如：

127.0.0.1:6479> ACL GETUSER user1
 1) "flags"
 2) 1) "on"
    2) "allchannels"
 3) "passwords"
 4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
 5) "commands"
 6) "-@all"
 7) "keys"
 8) (empty array)
 9) "channels"
10) 1) "*"

查看当前登录用户：

127.0.0.1:6479> ACL WHOAMI
"default"

1.3 创建多密码

Redis中一个用户可以有多个密码，这是与其他数据库有所不同的地方。示例如下：

127.0.0.1:6479> ACL SETUSER u3 on >pwd_u3
OK
127.0.0.1:6479> ACL SETUSER u3 on >pwd_u33
OK
127.0.0.1:6479> ACL GETUSER u3
 1) "flags"
 2) 1) "on"
    2) "allchannels"
 3) "passwords"
 4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
    2) "d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1"
 5) "commands"
 6) "-@all"
 7) "keys"
 8) (empty array)
 9) "channels"
10) 1) "*"

尝试用2个不同的密码登录一下：

# 使用第一个密码登录
127.0.0.1:6479> AUTH u3 pwd_u3
OK
# 使用第二个密码登录
127.0.0.1:6479> AUTH u3 pwd_u33
OK
# 使用错误密码登录
127.0.0.1:6479> AUTH u3 pwd_u4444
(error) WRONGPASS invalid username-password pair or user is disabled.
127.0.0.1:6479>

可见，2个正确的密码都可以登录，这个有个优点在于如果忘记之前的密码，可以在新增一个密码，而不影响原密码的使用。

1.4 删除用户

如需删除指定的用户，可以使用ACL DELUSER命令操作，例如

127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 #47843fd456370690f6c7897a73c1e2f0d563981aa3cad13e475bc3e72ca14656 &* -@all"
4) "user u3 on #8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179 #d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1 &* -@all"
5) "user user1 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 &* -@all"
127.0.0.1:6479> ACL DELUSER user1
(integer) 1
127.0.0.1:6479> ACL LIST
1) "user default on #515c217eb413b6aaf09de74bf42c85a6edc09ee7008c6ebedc2981b44bbc0fd3 ~* &* +@all"
2) "user testuser1 on #b6d18faf7ebcfdce9f8782a0aad13c14e2662fcc08072e2738bcb27d04b96188 &* -@all"
3) "user u2 on #21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544 #47843fd456370690f6c7897a73c1e2f0d563981aa3cad13e475bc3e72ca14656 &* -@all"
4) "user u3 on #8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179 #d190fe553fa81919050af3f9c482bb70ea19619e64e5c26c9b95e3f61de557c1 &* -@all"
127.0.0.1:6479>

1.5 重置用户

可以将用户重置，重置后的用户无法登录，例如

127.0.0.1:6479> ACL SETUSER testuser1 reset
OK
127.0.0.1:6479> ACL GETUSER testuser1
 1) "flags"
 2) 1) "off"
    2) "allchannels"
    3) "sanitize-payload"
 3) "passwords"
 4) (empty array)
 5) "commands"
 6) "-@all"
 7) "keys"
 8) (empty array)
 9) "channels"
10) 1) "*"
127.0.0.1:6479>

2. 权限控制

通过ACL方式添加权限，可以按需添加读写等操作权限，也可以针对对应的规则（如指定类型的key,指定开头的key等）添加权限。

2.1 查看权限

ACL中的操作权限可以通过ACL CAT命令查看

127.0.0.1:6479> ACL CAT
 1) "keyspace"
 2) "read"
 3) "write"
 4) "set"
 5) "sortedset"
 6) "list"
 7) "hash"
 8) "string"
 9) "bitmap"
10) "hyperloglog"
11) "geo"
12) "stream"
13) "pubsub"
14) "admin"
15) "fast"
16) "slow"
17) "blocking"
18) "dangerous"
19) "connection"
20) "transaction"
21) "scripting"

其中每个类型的具体内容可以继续查看，例如查看dangerous操作的具体内容：

127.0.0.1:6479> ACL CAT dangerous
 1) "debug"
 2) "config"
 3) "restore"
 4) "swapdb"
 5) "failover"
 6) "slaveof"
 7) "client"
 8) "migrate"
 9) "latency"
10) "sync"
11) "psync"
12) "lastsave"
13) "acl"
14) "role"
15) "flushdb"
16) "replconf"
17) "info"
18) "keys"
19) "bgsave"
20) "replicaof"
21) "sort"
22) "cluster"
23) "save"
24) "restore-asking"
25) "module"
26) "monitor"
27) "bgrewriteaof"
28) "pfselftest"
29) "pfdebug"
30) "slowlog"
31) "shutdown"
32) "flushall"
127.0.0.1:6479>


2.2 添加权限
之前创建用户u2，仅有登录权限，现在对其添加权限。

127.0.0.1:6479>  ACL SETUSER u2 allkeys +@read +@write
OK


以上是对所有key（allkeys，是 ~*的同义词）添加读写权限。加权限就是使用+@对应权限。
下面验证一下结果：

127.0.0.1:6479> AUTH u2 pwd_u2
OK
127.0.0.1:6479> set k1  1
OK
127.0.0.1:6479> get k1
"1"
127.0.0.1:6479> info
NOPERM this user has no permissions to run the 'info' command or its subcommand

2.3 回收权限
再对u2用户回收写权限，回收权限使用-@权限即可
ACL SETUSER u2 allkeys -@write

回收后再使用u2用户登录，则可以发现可以查看,但不能写入了

2.4 对指定类型的key进行权限管理

创建u1用户，然后对其添加string及hash类型的key的操作权限

127.0.0.1:6479> ACL SETUSER u1 on >pwd_u1
OK
127.0.0.1:6479> ACL GETUSER u1
 1) "flags"
 2) 1) "on"
    2) "allchannels"
 3) "passwords"
 4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
 5) "commands"
 6) "-@all"
 7) "keys"
 8) (empty array)
 9) "channels"
10) 1) "*"
127.0.0.1:6479> ACL SETUSER u1 allkeys +@string +@hash
OK
127.0.0.1:6479> ACL GETUSER u1
 1) "flags"
 2) 1) "on"
    2) "allkeys"
    3) "allchannels"
 3) "passwords"
 4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
 5) "commands"
 6) "-@all +@string +@hash"
 7) "keys"
 8) 1) "*"
 9) "channels"
10) 1) "*"
127.0.0.1:6479>

验证权限

127.0.0.1:6479> ACL GETUSER u1
 1) "flags"
 2) 1) "on"
    2) "allkeys"
    3) "allchannels"
 3) "passwords"
 4) 1) "21a1bbcd2c36cb07cd8779b3cba6ab183ecfd8b2a86e11f6dc1f674b90634544"
 5) "commands"
 6) "-@all +@string +@hash"
 7) "keys"
 8) 1) "*"
 9) "channels"
10) 1) "*"
127.0.0.1:6479> AUTH u1 pwd_u1
OK
127.0.0.1:6479> set s1 1
OK
127.0.0.1:6479> get s1
"1"
127.0.0.1:6479> hset h1 f1 'a'
(integer) 1
127.0.0.1:6479> hgetall h1
1) "f1"
2) "a"
127.0.0.1:6479> info
NOPERM this user has no permissions to run the 'info' command or its subcommand
127.0.0.1:6479> SMEMBERS set1
(error) NOPERM this user has no permissions to run the 'smembers' command or its subcommand

2.5 对指定key进行授权

对指定开头的key添加所有操作权限，例如

127.0.0.1:6479> ACL GETUSER u3
 1) "flags"
 2) 1) "on"
    2) "allchannels"
 3) "passwords"
 4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
 5) "commands"
 6) "-@all"
 7) "keys"
 8) (empty array)
 9) "channels"
10) 1) "*"
127.0.0.1:6479> ACL SETUSER u3 ~a* +@all 
OK
127.0.0.1:6479> ACL GETUSER u3
 1) "flags"
 2) 1) "on"
    2) "allchannels"
    3) "allcommands"
 3) "passwords"
 4) 1) "8064ac564c2512d07af567e7de8714bc194abe6afefef26370f44e33593d6179"
 5) "commands"
 6) "+@all"
 7) "keys"
 8) 1) "a*"
 9) "channels"
10) 1) "*"
127.0.0.1:6479>


验证结果：

127.0.0.1:6479> set s2 222
(error) NOPERM this user has no permissions to access one of the keys used as arguments
127.0.0.1:6479> set a2 222
OK
127.0.0.1:6479> hset set2 f2 222
(error) NOPERM this user has no permissions to access one of the keys used as arguments
127.0.0.1:6479> hset aset2 f2 222
(integer) 1
127.0.0.1:6479> 5

3. 结语

通过创建用户及配置相应的权限，可以起到隔离用户操作，避免风险操作等，从而降低Redis被误操作或风险操作的概率，提升安全性及稳定性。大家也可以多多组合测试，配置适合自己使用的权限组合。


扫码关注


相关推荐

Dubai's AI Boom Lures Global Tech as Emirate Reinvents Itself as Middle East's Silicon Gateway

AI-generatedimageAsianFin--Dubaiisrapidlytransformingitselffromadesertoilhubintoaglob...

OpenAI Releases o3-pro, Cuts o3 Prices by 80% as Deal with Google Cloud Reported to Make for Compute Needs

TMTPOST--OpenAIisescalatingthepricewarinlargelanguagemodel(LLM)whileseekingpartnershi...

黄仁勋说AI Agent才是未来!但究竟有些啥影响?

，抓住风口（iOS用户请用电脑端打开小程序）本期要点：详解2025年大热点你好，我是王煜全，这里是王煜全要闻评论。最近，有个词被各个科技大佬反复提及——AIAgent，智能体。黄仁勋在CES展的发布...

商城微服务项目组件搭建(五)——Kafka、Tomcat等安装部署

1、本文属于mini商城系列文档的第0章，由于篇幅原因，这篇文章拆成了6部分，本文属于第5部分2、mini商城项目详细文档及代码见CSDN：https://blog.csdn.net/Eclipse_...

Python+Appium环境搭建与自动化教程

以下是保姆级教程，手把手教你搭建Python+Appium环境并实现简单的APP自动化测试：一、环境搭建（Windows系统）1.安装Python访问Python官网下载最新版（建议...

零配置入门:用VSCode写Java代码的正确姿

一、环境准备：安装JDK，让电脑“听懂”Java目标：安装Java开发工具包（JDK），配置环境变量下载JDKJava程序需要JDK（JavaDevelopmentKit）才能运行和编译。以下是两...

Mycat的搭建以及配置与启动（mycat2）

1、首先开启服务器相关端口firewall-cmd--permanent--add-port=9066/tcpfirewall-cmd--permanent--add-port=80...

kubernetes 部署mysql应用（k8s mysql部署）

这边仅用于测试环境，一般生产环境mysql不建议使用容器部署。这里假设安装mysql版本为mysql8.0.33一、创建MySQL配置（ConfigMap）#mysql-config.yaml...

Spring Data Jpa 介绍和详细入门案例搭建

1.SpringDataJPA的概念在介绍SpringDataJPA的时候，我们首先认识下Hibernate。Hibernate是数据访问解决技术的绝对霸主，使用O/R映射（Object-Re...

量子点格棋上线!“天衍”邀您执子入局

你是否能在策略上战胜量子智能？这不仅是一场博弈更是一次量子智力的较量——量子点格棋正式上线！试试你能否赢下这场量子智局！游戏玩法详解一笔一画间的策略博弈游戏目标：封闭格子、争夺领地点格棋的基本目标是利...

美国将与阿联酋合作建立海外最大的人工智能数据中心

当地时间5月15日，美国白宫宣布与阿联酋合作建立人工智能数据中心园区，据称这是美国以外最大的人工智能园区。阿布扎比政府支持的阿联酋公司G42及多家美国公司将在阿布扎比合作建造容量为5GW的数据中心，占...

盘后股价大涨近8%!甲骨文的业绩及指引超预期?

近期，美股的AI概念股迎来了一波上升行情，微软（MSFT.US）频创新高，英伟达（NVDA.US）、台积电（TSM.US）、博通（AVGO.US）、甲骨文（ORCL.US）等多股亦出现显著上涨。而从基...

甲骨文预计新财年云基础设施营收将涨超70%，盘后一度涨8% | 财报见闻

甲骨文（Oracle）周三盘后公布财报显示，该公司第四财季业绩超预期，虽然云基建略微逊于预期，但管理层预计2026财年云基础设施营收预计将增长超过70%，同时资本支出继上年猛增三倍后，新财年将继续增至...

Springboot数据访问(整合MongoDB)

SpringBoot整合MongoDB基本概念MongoDB与我们之前熟知的关系型数据库（MySQL、Oracle）不同，MongoDB是一个文档数据库，它具有所需的可伸缩性和灵活性，以及所需的查询和...

Linux环境下，Jmeter压力测试的搭建及报错解决方法

概述　　Jmeter最早是为了测试Tomcat的前身JServ的执行效率而诞生的。到目前为止，它的最新版本是5.3，其测试能力也不再仅仅只局限于对于Web服务器的测试，而是涵盖了数据库、JM...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表