ACL安全策略

    Redis6之前的版本，我们只能使用requirepass参数给default用户配置登录密码，同一个redis集群的所有开发都共享default用户，难免会出现误操作把别人的key删掉或者数据泄露的情况。

				

					
				
				

					
				
				

					
				
				

					
				
			

    因此Redis6版本推出了ACL(Access Controller List)访问控制权限的功能，基于此功能，我们可以设置多个用户，并且给每个用户单独设置命令权限和数据权限。为了保证向下兼容，Redis6保留了default用户和使用requirepass的方式给default用户设置密码，默认情况下default用户拥有Redis最大权限，我们使用redis-cli连接时如果没有指定用户名，用户也是默认default。

				

					
				
				

					
				
				

					
				
				

					
				
			

一、ACL两种配置方式

    配置ACL的方式有两种，一种是在config文件中直接配置，另一种是在外部aclfile中配置。配置的命令是一样的，但是两种方式只能选择其中一种，我们之前使用requirepass给default用户设置密码 默认就是使用config的方式，执行config rewrite重写配置后会自动在config文件最下面新增一行记录配置default的密码和权限。

				

					
				
				

					
				
				

					
				
				

					
				
			

二、conf文件模式

在Redis 6.0之前，Redis只有一个default用户也是Redis中的超级管理员用户，如果要将其设置密码，需要修改Redis配置文件，具体修改如下：

1、修改配置文件

[root@xiaowu ~]# vim /usr/local/redis/conf/redis.conf
...
requirepass 123
...

				

					
				
				

					
				
				

					
				
				

					
				
			

2、重启Redis

[root@xiaowu ~]# systemctl restart redis.service 

				

					
				
				

					
				
				

					
				
				

					
				
			

3、未登录测试

[root@xiaowu ~]# redis-cli --raw
127.0.0.1:6379> KEYS *
NOAUTH Authentication required.

				

					
				
				

					
				
				

					
				
				

					
				
			

4、使用密码登陆

方法一：不推荐

[root@xiaowu ~]# redis-cli --raw -a 123
Warning: Using a password with '-a' or '-u' option on the command line interface may not be safe.
127.0.0.1:6379> KEYS *
 
127.0.0.1:6379> set a b
OK
127.0.0.1:6379> KEYS *
a
127.0.0.1:6379> GET a
b

				

					
				
				

					
				
				

					
				
				

					
				
			

方法二：

[root@xiaowu ~]# redis-cli --raw
127.0.0.1:6379> AUTH 123
OK
## 或
127.0.0.1:6379> AUTH default 123
OK
 
127.0.0.1:6379> KEYS *
a
127.0.0.1:6379> GET a
b

				

					
				
				

					
				
				

					
				
				

					
				
			

5、将当前配置写入配置文件

127.0.0.1:6379> CONFIG REWRITE

				

					
				
				

					
				
				

					
				
				

					
				
			

6、查看default用户的ACL是否生成

[root@xiaowu ~]# cat /usr/local/redis/conf/redis.conf |grep "user default"
user default on #a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3 ~* +@all

				

					
				
				

					
				
				

					
				
				

					
				
			

三、外部ACL模式

我们可以直接在config配置文件中使用上面default用户ACL这行DSL命令设置用户权限，或者我们也可以配置外部aclfile配置权限。配置aclfile需要先将config中配置的DSL注释或删除，因为Redis不允许两种ACL管理方式同时使用，否则在启动redis的时候会报下面的错误

# Configuring Redis with users defined in redis.conf and at the same setting an ACL file path is invalid. This setup is very likely to lead to configuration errors and security holes, please define either an ACL file or declare users directly in your redis.conf, but not both.

				

					
				
				

					
				
				

					
				
				

					
				
			

1、开启ACL模式

1.注释配置文件中已授权的ACL命令

[root@xiaowu ~]# vim /usr/local/redis/conf/redis.conf
 
...
# Generated by CONFIG REWRITE
# user default on #a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3 ~* +@all

				

					
				
				

					
				
				

					
				
				

					
				
			

2.注释requirepass

在config文件中注释default用户的密码，因为开启aclfile之后，requirepass的密码就失效了

[root@xiaowu ~]# vim /usr/local/redis/conf/redis.conf
 
...
# requirepass 123
...

				

					
				
				

					
				
				

					
				
				

					
				
			

3.配置aclfile路径

创建aclfile文件路径,然后在config文件中配置aclfile的路径

##创建文件
[root@xiaowu ~]# cd /usr/local/redis/conf/
[root@xiaowu /usr/local/redis/conf]# touch users.acl
 
## 修改配置文件
[root@xiaowu ~]# vim /usr/local/redis/conf/redis.conf
...
aclfile /usr/local/redis/conf/users.acl
...

				

					
				
				

					
				
				

					
				
				

					
				
			

4.重启redis

systemctl restart redis

				

					
				
				

					
				
				

					
				
				

					
				
			

5.登录测试

由于配置文件的修改，现在是无密码状态

[root@xiaowu ~]# redis-cli --raw
127.0.0.1:6379> KEYS *
a
127.0.0.1:6379> ACL LIST
user default on nopass ~* +@all
127.0.0.1:6379> 

				

					
				
				

					
				
				

					
				
				

					
				
			

2、对比conf和aclfile模式

1.登录方式不同

    开启aclfile之后不再推荐在redis.conf文件中通过requirepass配置default的密码，因为它不再生效，同时开启aclfile之后也不能使用redis-cli -a xxx登陆，必须使用redis-cli --user xxx  --pass yyy来登陆。在没设置密码的时候也可以无密码登录

				

					
				
				

					
				
				

					
				
				

					
				
			

2.重载及持久化方式不同

在redis.conf和aclfile模式中配置DSL 官方更推荐使用aclfile，因为如果在redis,conf中配置了权限之后需要重启redis服务才能将配置的权限加载至redis服务中来，但如果使用aclfile模式，可以调用acl load命令将aclfile中配置的ACL权限热加载进环境中，类似于Mysql中的flush privileges。

	redis.conf	users.acl
配置方式	DSL	DSL
加载ACL配置	重启Redis服务	ACL LOAD命令
持久化ACL配置	CONFIG REWRITE命令	ACL SAVE命令

# 如果使用config模式，将ACL权限持久化到redis.conf文件中使用下面的命令：
config rewrite
 
# 如果使用aclfile模式，将ACL权限持久化到users.acl文件中使用下面的命令：
acl save

				

					
				
				

					
				
				

					
				
				

					
				
			

3、ACL命令行使用

1.ACL规则

ACL是使用DSL（Domain specific language）定义的，该DSL描述了用户能够执行的操作。该规则始终从上到下，从左到右应用，因为规则的顺序对于理解用户的实际权限很重要。ACL规则可以在redis.conf文件以及users.acl文件中配置DSL，也可以在命令行中通过ACL命令配置。

2.创建用户

127.0.0.1:6379> ACL SETUSER usera
OK
127.0.0.1:6379> ACL LIST
user default on nopass ~* +@all
user usera off -@all

				

					
				
				

					
				
				

					
				
				

					
				
			

3.用户的启用和禁用

on：启用用户：可以以该用户身份进行认证。

off：禁用用户：不再可以使用此用户进行身份验证，但是已经通过身份验证的连接仍然可以使用。

# 查看当前用户状态，新建用户默认未激活状态
127.0.0.1:6379> ACL LIST
user default on nopass ~* +@all
user usera off -@all
 
# 给usera用户激活
127.0.0.1:6379> ACL SETUSER usera on
OK
127.0.0.1:6379> ACL LIST
user default on nopass ~* +@all
user usera on -@all

				

					
				
				

					
				
				

					
				
				

					
				
			

4.为用户设置密码

命令	解释
>	将此密码添加到用户的有效密码列表中。例如，>mypass将“mypass”添加到有效密码列表中。该命令会清除用户的nopass标记。每个用户可以有任意数量的有效密码。
<	从有效密码列表中删除此密码。若该用户的有效密码列表中没有此密码则会返回错误信息。
#	将此SHA-256哈希值添加到用户的有效密码列表中。该哈希值将与为ACL用户输入的密码的哈希值进行比较。允许用户将哈希存储在users.acl文件中，而不是存储明文密码。仅接受SHA-256哈希值，因为密码哈希必须为64个字符且小写的十六进制字符。
!	从有效密码列表中删除该哈希值。当不知道哈希值对应的明文是什么时很有用。
nopass	移除该用户已设置的所有密码，并将该用户标记为nopass无密码状态：任何密码都可以登录。resetpass命令可以清除nopass这种状态。
resetpass	情况该用户的所有密码列表。而且移除nopass状态。resetpass之后用户没有关联的密码同时也无法使用无密码登录，因此resetpass之后必须添加密码或改为nopass状态才能正常登录。
reset	重置用户状态为初始状态。执行以下操作resetpass，resetkeys，off，-@all。

127.0.0.1:6379> ACL SETUSER usera >123
OK
127.0.0.1:6379> ACL SETUSER default >123
OK
 
127.0.0.1:6379> ACL LIST
user default on #a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3 ~* +@all
user usera on #a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3 -@all

				

					
				
				

					
				
				

					
				
				

					
				
			

验证

127.0.0.1:6379> AUTH default 123
OK
127.0.0.1:6379> ACL WHOAMI
default

				

					
				
				

					
				
				

					
				
				

					
				
			

6.权限设置

1）命令调用权限

*命令*	*解释*
+	将命令添加到用户可以调用的命令列表中。
–	将命令从用户可以调用的命令列表中移除。
+@	允许用户调用 类别中的所有命令，有效类别为@admin，@set，@sortedset等，可通过调用ACL CAT命令查看完整列表。特殊类别@all表示所有命令，包括当前和未来版本中存在的所有命令。
-@	禁止用户调用 类别中的所有命令。
+|subcommand	允许使用已禁用命令的特定子命令。
allcommands	+@all的别名。包括当前存在的命令以及将来通过模块加载的所有命令。
nocommands	-@all的别名，禁止调用所有命令。

2）key的访问权限

命令	解释
~	添加可以在命令中提及的键模式。例如~和 allkeys 允许所有键。
* resetkeys	使用当前模式覆盖所有允许的模式。如： ~foo: ~bar: resetkeys ~objects: ，客户端只能访问匹配 object: 模式的 KEY。

3）使用

①查看可以修改的权限