Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Control de acceso basado en roles (RBAC)

Con el comando AUTH OSS de Valkey y Redis, tal como se describe en, Autenticación con el comando AUTH de Valkey o Redis OSS puede utilizar el control de acceso basado en roles (RBAC). El RBAC también es la única forma de controlar el acceso a las cachés sin servidor. Está disponible para Valkey 7.2 y versiones posteriores, y para Redis OSS 6.0 a 7.2.

RBAC le permite:

A diferencia de la autenticación OSS AUTH de Valkey y Redis, en la que todos los clientes autenticados tienen acceso total a la caché si su token está autenticado, RBAC permite asignar los usuarios a conjuntos en función de las funciones que deseen los usuarios. Estos conjuntos están diseñados como una forma de organizar el acceso a las cachés.

Con el RBAC, puede crear usuarios y asignarles permisos específicos mediante una cadena de acceso, como se describe a continuación. Los usuarios se asignan a conjuntos alineados con una función específica (administradores, recursos humanos) que, a continuación, se despliegan en una o más ElastiCache cachés. De este modo, puede establecer límites de seguridad entre los clientes que utilizan la misma caché o cachés de OSS de Valkey o Redis e impedir que los clientes accedan a los datos de los demás.

RBAC se ha diseñado para facilitar la introducción de ACL en Redis OSS 6. Al utilizar RBAC con la caché de ElastiCache Valkey o Redis OSS, existen algunas limitaciones:

RBAC con Valkey

Cuando se utiliza el control de acceso basado en roles con Valkey, los usuarios y los grupos de usuarios se crean con el tipo de motor «VALKEY». Se recomienda esta opción, ya que, de forma predeterminada, Valkey con RBAC proporciona una mayor seguridad en comparación con Redis OSS. Tanto los clústeres de Valkey aprovisionados como los sin servidor admiten las asociaciones de usuarios y grupos de usuarios de VALKEY.

Las principales características de Valkey Access Control incluyen:

A continuación, encontrará más información sobre el uso del RBAC con ElastiCache Valkey y Redis OSS.

Especificación de permisos mediante una cadena de acceso

Para especificar los permisos para una caché de OSS de ElastiCache Valkey o Redis, debe crear una cadena de acceso y asignarla a un usuario mediante la tecla o. AWS CLI AWS Management Console

Las cadenas de acceso se definen como una lista de reglas delimitadas por espacios que se aplican al usuario. Definen qué comandos puede ejecutar un usuario y qué claves puede operar. Para ejecutar un comando, un usuario debe tener acceso al comando que se ejecuta y a todas las claves a las que accede el comando. Las reglas se aplican de izquierda a derecha de forma acumulativa y se puede utilizar una cadena más simple en lugar de la proporcionada si hay redundancias en la cadena proporcionada.

Para obtener más información sobre la sintaxis de las reglas de ACL, consulte ACL.

En el siguiente ejemplo, la cadena de acceso representa un usuario activo con acceso a todas las claves y comandos disponibles.

on ~* +@all

La sintaxis de la cadena de acceso se desglosa de la siguiente manera:

La configuración anterior es la menos restrictiva. Puede modificar esta configuración para hacerla más segura.

En el siguiente ejemplo, la cadena de acceso representa a un usuario con acceso restringido al acceso de lectura en claves que comienzan por el espacio de claves “app::”

on ~app::* -@all +@read

Puede refinar aún más estos permisos al enumerar comandos a los que el usuario tiene acceso:

+command1: el acceso del usuario a los comandos se encuentra limitado a command1.

+@category: el acceso del usuario a los comandos se encuentra limitado a la categoría de comandos.

Para obtener información sobre cómo asignar una cadena de acceso a un usuario, consulte Creación de usuarios y grupos de usuarios con la consola y la CLI.

Si va a migrar una carga de trabajo existente a ElastiCache, puede recuperar la cadena de acceso mediante una llamadaACL LIST, excluyendo los hashes de usuario y de contraseña.

Para la versión 6.2 y posteriores de Redis OSS, también se admite la siguiente sintaxis de cadena de acceso:

Para la versión 7.0 y posteriores de Redis OSS, también se admite la siguiente sintaxis de cadena de acceso:

Aplicar RBAC a una caché para Valkey o Redis ElastiCache OSS

Para usarlo ElastiCache para Valkey o Redis OSS RBAC, siga los siguientes pasos:

Estos pasos se describen en detalle a continuación.

Creación de usuarios y grupos de usuarios con la consola y la CLI

La información de usuario para los usuarios de RBAC es un ID de usuario, nombre de usuario y, opcionalmente, una contraseña y una cadena de acceso. La cadena de acceso proporciona el nivel de permisos en las claves y comandos. El ID de usuario es exclusivo del usuario y el nombre de usuario es lo que se pasa al motor.

Asegúrese de que los permisos de usuario que proporcione tengan sentido con el propósito previsto del grupo de usuarios. Por ejemplo, si crea un grupo de usuarios denominado Administrators, cualquier usuario que agregue a ese grupo debe tener su cadena de acceso establecida en el acceso completo a las claves y comandos. Para los usuarios de un grupo de usuarios e-commerce, puede establecer las cadenas de acceso en acceso de solo lectura.

ElastiCache configura automáticamente un usuario predeterminado con un ID de usuario y un nombre de usuario "default" y lo añade a todos los grupos de usuarios. No puede modificar ni eliminar este usuario. Este usuario se ha diseñado para ser compatible con el comportamiento predeterminado de las versiones anteriores de Redis OSS y tiene una cadena de acceso que permite llamar a todos los comandos y acceder a todas las claves.

Para agregar un control de acceso adecuado a una caché, reemplace este usuario predeterminado por uno nuevo que no se encuentre habilitado o utilice una contraseña segura. Para cambiar el usuario predeterminado, cree un usuario nuevo con el nombre de usuario establecido en default. A continuación, puede intercambiarlo con el usuario predeterminado original.

En los siguientes procedimientos se muestra cómo intercambiar el usuario default original con otro usuario default que tiene una cadena de acceso modificada.

Al crear un usuario, puede configurar hasta dos contraseñas. Al modificar una contraseña, se mantienen todas las conexiones existentes a las cachés.

En concreto, tenga en cuenta estas restricciones de contraseña de usuario cuando utilice RBAC ElastiCache para Valkey y Redis OSS:

Administración de usuarios con la consola y la CLI

Utilice el siguiente procedimiento para administrar usuarios en la consola.

Utilice los siguientes procedimientos para administrar usuarios con la AWS CLI.

Para ver una lista de usuarios, llame a la operación describe-users.

aws elasticache describe-users

Administración de grupos de usuarios con la consola y la CLI

Puede crear grupos de usuarios para organizar y controlar el acceso de los usuarios a una o más cachés, como se muestra a continuación.

Utilice el siguiente procedimiento para administrar grupos de usuarios en la consola.

Utilice el siguiente procedimiento para administrar grupos de usuarios en la CLI.

Para ver una lista de grupos de usuarios, puede llamar a la describe-user-groupsoperación.

aws elasticache describe-user-groups \
  --user-group-id test-group

Asignación de grupos de usuarios a cachés sin servidor

Después de crear un grupo de usuarios y agregar usuarios, el paso final para implementar el RBAC es asignar el grupo de usuarios a una caché sin servidor.

Asignación de grupos de usuarios a cachés sin servidor mediante la consola

Para añadir un grupo de usuarios a una caché sin servidor mediante el AWS Management Console, haga lo siguiente:

Asignación de grupos de usuarios a cachés sin servidor mediante AWS CLI

La siguiente AWS CLI operación crea una caché sin servidor mediante el user-group-id parámetro con el valor. my-user-group-id Reemplace el grupo de subredes sng-test por otro existente.

Para Linux, macOS o Unix:

aws elasticache create-serverless-cache \
    --serverless-cache-name "new-serverless-cache" \
    --description "new-serverless-cache" \
    --engine "VALKEY" \
    --user-group-id "new-group-1"

Para Windows:

aws elasticache create-serverless-cache ^
    --serverless-cache-name "new-serverless-cache" ^
    --description "new-serverless-cache" ^
    --engine "VALKEY" ^
    --user-group-id "new-group-1"

La siguiente AWS CLI operación modifica una caché sin servidor con el user-group-id parámetro con el valor. my-user-group-id

Para Linux, macOS o Unix:

aws elasticache modify-serverless-cache \
    --serverless-cache-name serverless-cache-1 \
    --user-group-id "new-group-2"

Para Windows:

aws elasticache modify-serverless-cache ^
    --serverless-cache-name serverless-cache-1 ^
    --user-group-id "new-group-2"

Tenga en cuenta que cualquier modificación que se haga en una caché se actualizará de forma asíncrona. Puede monitorear el progreso al visualizar los eventos. Para obtener más información, consulte Visualización de ElastiCache eventos.

Asignación de grupos de usuarios a grupos de reproducción

Después de crear un grupo de usuarios y agregar usuarios, el paso final para implementar el RBAC es asignar el grupo de usuarios a un grupo de reproducción.

Asignación de grupos de usuarios a grupos de reproducción mediante la consola

Para añadir un grupo de usuarios a una replicación mediante el AWS Management Console, haga lo siguiente:

Asignación de grupos de usuarios a grupos de replicación mediante el AWS CLI

La siguiente AWS CLI operación crea un grupo de replicación con el cifrado en tránsito (TLS) activado y el user-group-ids parámetro con el valor. my-user-group-id Reemplace el grupo de subredes sng-test por otro existente.

Para Linux, macOS o Unix:

aws elasticache create-replication-group \
    --replication-group-id "new-replication-group" \
    --replication-group-description "new-replication-group" \
    --engine "VALKEY" \
    --cache-node-type cache.m5.large \
    --transit-encryption-enabled \
    --user-group-ids "new-group-1" \
    --cache-subnet-group "cache-subnet-group"

Para Windows:

aws elasticache create-replication-group ^
    --replication-group-id "new-replication-group" ^
    --replication-group-description "new-replication-group" ^
    --engine "VALKEY" ^
    --cache-node-type cache.m5.large ^
    --transit-encryption-enabled ^
    --user-group-ids "new-group-1" ^
    --cache-subnet-group "cache-subnet-group"

La siguiente AWS CLI operación modifica un grupo de replicación con el cifrado en tránsito (TLS) habilitado y el user-group-ids parámetro con el valor. my-user-group-id

Para Linux, macOS o Unix:

aws elasticache modify-replication-group \
    --replication-group-id replication-group-1 \
    --user-group-ids-to-remove "new-group-1" \
    --user-group-ids-to-add "new-group-2"

Para Windows:

aws elasticache modify-replication-group ^
    --replication-group-id replication-group-1 ^
    --user-group-ids-to-remove "new-group-1" ^
    --user-group-ids-to-add "new-group-2"

Tenga en cuenta los PendingChanges en la respuesta. Las modificaciones que se hagan en una caché se actualizarán de forma asíncrona. Puede monitorear el progreso al visualizar los eventos. Para obtener más información, consulte Visualización de ElastiCache eventos.

Migración de AUTH a RBAC

Si se encuentra utilizando AUTH como se describe en Autenticación con el comando AUTH de Valkey o Redis OSS y desea migrar a RBAC, utilice los siguientes procedimientos.

Utilice el siguiente procedimiento para migrar de AUTH a RBAC con la consola.

Utilice el siguiente procedimiento para migrar de AUTH de Valkey o Redis OSS a RBAC con la CLI.

Migración de RBAC a AUTH

Si utiliza RBAC y desea migrar a Redis OSS AUTH, consulte. Migración de RBAC a AUTH