翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ロールベースのアクセスコントロール (RBAC)

の説明に従って Valkey および Redis OSS AUTH コマンドValkey および Redis OSS AUTH コマンドによる認証を使用すると、ロールベースのアクセスコントロール (RBAC) を使用できます。RBAC は、サーバーレスキャッシュへのアクセスを制御する唯一の手段でもあります。これは、Valkey 7.2 以降、および Redis OSS 6.0 から 7.2 で使用できます。

RBAC を使用すると、次のことが可能になります。

トークンが認証された場合、すべての認証済みクライアントがフルキャッシュアクセスを持つ Valkey および Redis OSS AUTH とは異なり、RBAC を使用すると、ユーザーの希望するロールに応じて にユーザーを割り当てることができます。これらのセットは、キャッシュへのアクセスを整理する方法として設計されています。

RBAC では、以下で説明されているように、アクセス文字列を使用してユーザーを作成し、ユーザーに特定のアクセス許可を割り当てます。1 つ以上の ElastiCache キャッシュにデプロイされる特定のロール (管理者、人事) に合わせて を設定するユーザーを割り当てます。これにより、同じ Valkey または Redis OSS キャッシュを使用してクライアント間のセキュリティ境界を確立し、クライアントが互いのデータにアクセスするのを防ぐことができます。

RBAC は、Redis OSS 6 の ACL の導入をサポートするように設計されています。ElastiCache Valkey または Redis OSS キャッシュで RBAC を使用する場合、いくつかの制限があります。

Valkey を使用した RBAC

Valkey でロールベースのアクセスコントロールを使用する場合、ユーザーとユーザーグループは「VALKEY」エンジンタイプで作成されます。デフォルトでは、RBAC を使用する Valkey は Redis OSS と比較してセキュリティを強化するため、これは推奨されます。プロビジョニングされた Valkey クラスターとサーバーレス Valkey クラスターはどちらも、VALKEY ユーザーとユーザーグループの関連付けをサポートしています。

Valkey Access Control の主な機能は次のとおりです。

ElastiCache for Valkey および Redis OSS での RBAC の使用の詳細については、以下を参照してください。

アクセス文字列を使用したアクセス許可の指定

ElastiCache Valkey または Redis OSS キャッシュへのアクセス許可を指定するには、アクセス文字列を作成し、 AWS CLI または を使用してユーザーに割り当てます AWS Management Console。

アクセス文字列は、ユーザーに適用されるスペース区切りルールのリストとして定義されます。それらは、ユーザーが実行できるコマンドと、ユーザーが操作できるキーを定義します。コマンドを実行するには、ユーザーは、実行されているコマンドと、そのコマンドによってアクセスされているすべてのキーにアクセスできる必要があります。ルールは左から右に累積的に適用され、提供された文字列に冗長性がある場合は、提供された文字列の代わりに、より単純な文字列を使用できます。

ACL ルールの構文の詳細については、「ACL」を参照してください。

次の例では、アクセス文字列は、使用可能なすべてのキーおよびコマンドにアクセスできるアクティブなユーザーを表します。

on ~* +@all

アクセス文字列の構文は、次のように分類されます。

上記の設定は、最も制限が緩い設定です。これらの設定を変更して、セキュリティを強化できます。

次の例では、アクセス文字列は「app::」キースペースで始まるキーに対する読み取りアクセスに制限されたアクセス権を持つユーザーを表します。

on ~app::* -@all +@read

ユーザーがアクセス権を持つコマンドを一覧表示することで、これらのアクセス許可をさらに絞り込むことができます。

+command1 — ユーザーのコマンドへのアクセスは command1 に制限されます。

+@category — ユーザーのアクセスは、コマンドのカテゴリーに制限されます。

アクセス文字列をユーザーに割り当てる方法については、「コンソールと CLI を使用したユーザーおよびユーザーグループの作成」を参照してください。

既存のワークロードを ElastiCache に移行する場合は、ACL LIST を呼び出すことでアクセス権を取得して、ユーザーおよびパスワードハッシュを除外できます。

Redis OSS バージョン 6.2 以降では、以下のアクセス文字列構文もサポートされています。

Redis OSS バージョン 7.0 以降では、以下のアクセス文字列構文もサポートされています。

ElastiCache for Valkey または Redis OSS のキャッシュに RBAC を適用する

ElastiCache for Valkey または Redis OSS RBAC を使用するには、次の手順を実行します。

これらのステップは、次のように詳細に説明されています。

コンソールと CLI を使用したユーザーおよびユーザーグループの作成

RBAC ユーザーのユーザー情報は、ユーザー ID、ユーザー名、およびオプションのパスワードとアクセス文字列です。アクセス文字列は、キーとコマンドでのアクセス許可レベルを提供します。ユーザー ID はユーザーに対して一意であり、ユーザー名はエンジンに渡されるものです。

指定するユーザー許可が、ユーザーグループの意図した目的に合っていることを確認してください。たとえば、Administrators という名前のユーザーグループを作成した場合、そのグループに追加するすべてのユーザーは、キーおよびコマンドへのフルアクセスに設定されたアクセス文字列を持つ必要があります。e-commerce ユーザーグループ内のユーザーでは、アクセス文字列を読み取り専用アクセスに設定できます。

ElastiCache は、ユーザー ID とユーザー名 "default" を使用してデフォルトユーザーを自動的に設定し、それをすべてのユーザーグループに追加します。このユーザーを変更または削除することはできません。このユーザーは、以前の Redis OSS バージョンのデフォルト動作との互換性を意図して作成されており、すべてのコマンドを呼び出してすべてのキーにアクセスできるようにするアクセス文字列を持っています。

適切なアクセスコントロールをキャッシュに追加するには、このデフォルトユーザーを、有効になっていない、または強力なパスワードを使用する新しいユーザーに置き換えます。デフォルトユーザーを変更するには、ユーザー名が default に設定された新しいユーザーを作成します。その後、元のデフォルトユーザーと入れ替えることができます。

次の手順では、元の default ユーザーを、変更されたアクセス文字列を持つ別の default ユーザーと入れ替える方法を示します。

ユーザーを作成するときは、最大 2 つのパスワードを設定できます。パスワードを変更しても、キャッシュへの既存の接続はすべて維持されます。

特に、ElastiCache for Valkey および Redis OSS で RBAC を使用する場合は、次のユーザーパスワードの制約に注意してください。

コンソールおよび CLI を使用したユーザーの管理

コンソール上でユーザーを管理するには、次の手順に従います。

AWS CLIでユーザーを管理するには、次の手順を使用します。

ユーザーのリストを表示するには、describe-users オペレーションを呼び出します。

aws elasticache describe-users

コンソールおよび CLI を使用したユーザーグループの管理

次に示すように、ユーザーグループを作成して、1 つまたは複数のレプリケーショングループに対するユーザーのアクセスを分類および制御できます。

コンソールを使用してユーザーグループを管理するには、次の手順に従います。

次の手順で、CLI を使用してユーザーグループを管理します。

ユーザーグループのリストを表示するには、describe-user-groups オペレーションを呼び出すことができます。

aws elasticache describe-user-groups \
  --user-group-id test-group

サーバーレスキャッシュへのユーザーグループの割り当て

ユーザーグループを作成してユーザーを追加した後、RBAC の実装手順の締めくくりとして、ユーザーグループをサーバーレスキャッシュに割り当てます。

コンソールを使用したサーバーレスキャッシュへのユーザーグループの割り当て

を使用してサーバーレスキャッシュにユーザーグループを追加するには AWS Management Console、次の手順を実行します。

を使用したサーバーレスキャッシュへのユーザーグループの割り当て AWS CLI

次の AWS CLI オペレーションでは、値 の user-group-idパラメータを使用してサーバーレスキャッシュを作成しますmy-user-group-id。サブネット グループ sng-test を、実存のサブネットグループに置き換えます。

Linux、macOS、Unix の場合:

aws elasticache create-serverless-cache \
    --serverless-cache-name "new-serverless-cache" \
    --description "new-serverless-cache" \
    --engine "VALKEY" \
    --user-group-id "new-group-1"

Windows の場合:

aws elasticache create-serverless-cache ^
    --serverless-cache-name "new-serverless-cache" ^
    --description "new-serverless-cache" ^
    --engine "VALKEY" ^
    --user-group-id "new-group-1"

次の AWS CLI オペレーションでは、値 の user-group-idパラメータを使用してサーバーレスキャッシュを変更しますmy-user-group-id。

Linux、macOS、Unix の場合:

aws elasticache modify-serverless-cache \
    --serverless-cache-name serverless-cache-1 \
    --user-group-id "new-group-2"

Windows の場合:

aws elasticache modify-serverless-cache ^
    --serverless-cache-name serverless-cache-1 ^
    --user-group-id "new-group-2"

キャッシュに加えられた変更は、非同期で更新されます。イベントを表示して、この進行状況をモニタリングできます。詳細については、「ElastiCache イベントの表示」を参照してください。

レプリケーショングループへのユーザーグループの割り当て

ユーザーグループを作成してユーザーを追加した後、RBAC を実装する最後の手順では、ユーザーグループをレプリケーショングループに割り当てます。

コンソールを使用したレプリケーショングループへのユーザーグループの割り当て

を使用してレプリケーションにユーザーグループを追加するには AWS Management Console、次の手順を実行します。

を使用したレプリケーショングループへのユーザーグループの割り当て AWS CLI

次の AWS CLI オペレーションでは、転送中の暗号化 (TLS) が有効になっているレプリケーショングループと、値 を持つ user-group-idsパラメータを作成しますmy-user-group-id。サブネット グループ sng-test を、実存のサブネットグループに置き換えます。

Linux、macOS、Unix の場合:

aws elasticache create-replication-group \
    --replication-group-id "new-replication-group" \
    --replication-group-description "new-replication-group" \
    --engine "VALKEY" \
    --cache-node-type cache.m5.large \
    --transit-encryption-enabled \
    --user-group-ids "new-group-1" \
    --cache-subnet-group "cache-subnet-group"

Windows の場合:

aws elasticache create-replication-group ^
    --replication-group-id "new-replication-group" ^
    --replication-group-description "new-replication-group" ^
    --engine "VALKEY" ^
    --cache-node-type cache.m5.large ^
    --transit-encryption-enabled ^
    --user-group-ids "new-group-1" ^
    --cache-subnet-group "cache-subnet-group"

次の AWS CLI オペレーションでは、転送中の暗号化 (TLS) が有効になっているレプリケーショングループと、値 を持つ user-group-idsパラメータを変更しますmy-user-group-id。

Linux、macOS、Unix の場合:

aws elasticache modify-replication-group \
    --replication-group-id replication-group-1 \
    --user-group-ids-to-remove "new-group-1" \
    --user-group-ids-to-add "new-group-2"

Windows の場合:

aws elasticache modify-replication-group ^
    --replication-group-id replication-group-1 ^
    --user-group-ids-to-remove "new-group-1" ^
    --user-group-ids-to-add "new-group-2"

レスポンス内の PendingChanges を書き留めます。キャッシュに加えられた変更は、非同期で更新されます。イベントを表示して、この進行状況をモニタリングできます。詳細については、「ElastiCache イベントの表示」を参照してください。

AUTH から RBAC への移行

「Valkey および Redis OSS AUTH コマンドによる認証」で説明されているように、AUTH を使用していて RBAC の使用に移行するには、次の手順を使用します。

次の手順で、コンソールを使用して AUTH から RBAC に移行します。

次の手順で、CLI を使用して Valkey または Redis OSS の AUTH から RBAC に移行します。

RBAC から AUTH への移行

RBAC を使用していて、Redis OSS AUTH に移行する場合は、「」を参照してくださいRBAC から AUTH への移行。