Regras de controle de acesso com base em função (RBAC)

Com o comando AUTH do Valkey e Redis OSS, conforme descrito em Autenticar com o comando AUTH do Valkey e Redis OSS, você pode usar o controle de acesso baseado em funções (RBAC). O RBAC também é a única maneira de controlar o acesso a caches sem servidor. Isso está disponível para o Valkey 7.2 e posterior e o Redis OSS 6.0 a 7.2 e posterior.

O RBAC permite que você:

Diferentemente do AUTH do Valkey e do Redis OSS, no qual todos os clientes autenticados têm acesso total ao cache em caso de autenticação do token, o RBAC permite atribuir usuários a sets dependendo das funções desejadas dos usuários. Esses sets foram projetados como uma maneira de organizar o acesso a caches.

Com o RBAC, você cria usuários e atribui a eles permissões específicas usando uma cadeia de acesso, conforme descrito a seguir. Você atribui os usuários a sets alinhados a uma função específica (administradores, recursos humanos) implantados em um ou mais caches do ElastiCache. Fazendo isso, você pode estabelecer limites de segurança entre clientes usando o mesmo cache ou caches do Valkey ou Redis OSS e impedir que os clientes acessem os dados uns dos outros.

O RBAC foi projetado para oferecer suporte à introdução da ACL no Redis OSS 6. Quando você usa o RBAC com o cache do ElastiCache Valkey ou Redis OSS, existem algumas limitações:

RBAC com Valkey

Ao usar o Controle de Acesso Baseado em Função com o Valkey, os usuários e grupos de usuários são criados com o tipo de mecanismo “VALKEY”. Isso é recomendado, pois, por padrão, o Valkey com RBAC oferece maior segurança em comparação com o Redis OSS. Os clusters Valkey provisionados e com tecnologia sem servidor oferecem suporte a associações de usuários e grupos de usuários do VALKEY.

Os principais atributos do Valkey Access Control incluem:

Veja a seguir mais informações sobre o uso do RBAC com o ElastiCache para Valkey e Redis OSS.

Especificação de permissões usando uma string de acesso

Para especificar permissões para um cache do ElastiCache para Valkey ou Redis OSS, você cria uma string de acesso e a atribui a um usuário, usando a AWS CLI ou o Console de gerenciamento da AWS.

As strings de acesso são definidas como uma lista de regras delimitadas por espaço que são aplicadas ao usuário. Eles definem quais comandos um usuário pode executar e em quais chaves um usuário pode operar. Para executar um comando, um usuário deve ter acesso ao comando que está sendo executado e todas as chaves que estão sendo acessadas pelo comando. Regras são aplicadas da esquerda para a direita cumulativamente, e uma string mais simples pode ser usada em vez da fornecida se houver redundâncias na string fornecida.

Para obter informações sobre a sintaxe das regras ACL, consulte ACL.

No exemplo a seguir, a string de acesso representa um usuário ativo com acesso a todas as chaves e comandos disponíveis.

on ~* +@all

A sintaxe da cadeia de acesso é dividida da seguinte forma:

As configurações anteriores são as menos restritivas. Você pode modificar essas configurações para torná-las mais seguras.

No exemplo a seguir, a string de acesso representa um usuário com acesso restrito ao acesso de leitura em chaves que começam com o keyspace "app::"

on ~app::* -@all +@read

Você pode refinar mais essas permissões listando comandos aos quais o usuário tem acesso:

+command1 – o acesso do usuário aos comandos é limitado a command1.

+@category: o acesso do usuário é limitado a uma categoria de comandos.

Para obter informações sobre como atribuir uma string de acesso a um usuário, consulte Criação de usuários e grupos de usuários com o console e a CLI.

Se você estiver migrando uma workload existente para o ElastiCache, poderá recuperar a string de acesso chamando ACL LIST, excluindo o usuário e quaisquer hashes de senha.

Para o Redis OSS versão 6.2 e posteriores, a seguinte sintaxe de string de acesso também tem suporte:

Para o Redis OSS versão 7.0 e posteriores, a seguinte sintaxe de string de acesso também tem suporte:

Aplicação do RBAC a um cache para ElastiCache para Valkey ou Redis OSS

Para usar o RBAC com o ElastiCache para Valkey ou Redis OSS, siga estas etapas:

Essas etapas estão descritas em detalhes a seguir.

Criação de usuários e grupos de usuários com o console e a CLI

As informações de usuário para usuários do RBAC são um ID de usuário, nome de usuário e, opcionalmente, uma senha e uma string de acesso. A string de acesso fornece o nível de permissão em chaves e comandos. O ID de usuário é exclusivo para o usuário e o nome de usuário é o que é passado para o mecanismo.

Certifique-se de que as permissões do usuário fornecidas fazem sentido com a finalidade pretendida do grupo de utilizadores. Por exemplo, se você criar um grupo de usuários chamado Administrators, qualquer usuário que você adicionar a esse grupo deve ter sua string de acesso definida para acesso total a chaves e comandos. Para usuários em um grupo de usuários e-commerce, você pode definir suas cadeias de acesso para acesso somente leitura.

O ElastiCache configura automaticamente um usuário padrão com ID de usuário e nome de usuário "default" e o adiciona a todos os grupos de usuários. Você não pode excluir ou modificar esse usuário. Esse usuário destina-se à compatibilidade com o comportamento padrão das versões anteriores do Redis OSS e tem uma string de acesso que permite chamar todos os comandos e acessar todas as chaves.

Para adicionar um controle de acesso indicado a um cache, substitua esse usuário padrão por um novo que não esteja habilitado ou use uma senha forte. Para alterar o usuário padrão, crie um novo usuário com o nome de usuário definido como default. Em seguida, você pode trocá-lo pelo usuário padrão original.

Os seguintes procedimentos mostram como trocar o usuário default original por outro usuário default que tem uma string de acesso modificada.

Ao criar um usuário, você pode configurar até duas senhas. Quando você modifica uma senha, todas as conexões existentes com os caches são mantidas.

Em particular, esteja ciente destas restrições de senha de usuário ao usar o RBAC com ElastiCache para Valkey e Redis OSS:

Gerenciamento de usuários com o console e a CLI

Use o procedimento a seguir para gerenciar usuários no console.

Use o procedimento a seguir para gerenciar usuários na AWS CLI.

Para ver uma lista de usuários, execute a operação describe-users.

aws elasticache describe-users

Gerenciamento de grupos de usuários com o console e a CLI

É possível criar grupos de usuários para organizar e controlar o acesso de usuários a um ou mais caches, conforme mostrado a seguir.

Use o procedimento a seguir para gerenciar grupos de usuários no console.

Use os procedimentos a seguir para gerenciar grupos de usuários na CLI.

Para ver uma lista de grupos de usuários, execute a operação describe-user-groups.

aws elasticache describe-user-groups \
  --user-group-id test-group

Atribuição de grupos de usuários a caches sem servidor

Depois que você tiver criado um grupo de usuários e adicionado usuários, a etapa final na implementação do RBAC será atribuir o grupo de usuários a um cache sem servidor.

Atribuição de grupos de usuários a caches sem servidor usando o console

Para adicionar um grupo de usuários a cache sem servidor usando o Console de gerenciamento da AWS, faça o seguinte:

Atribuição de grupos de usuários a caches sem servidor usando o console AWS CLI

A operação da AWS CLI a seguir cria um cache sem servidor usando o parâmetro user-group-id com o valor my-user-group-id. Substitua o grupo de sub-redes sng-test por um grupo de sub-redes que exista.

Para Linux, macOS ou Unix:

aws elasticache create-serverless-cache \
    --serverless-cache-name "new-serverless-cache" \
    --description "new-serverless-cache" \
    --engine "VALKEY" \
    --user-group-id "new-group-1"

Para Windows:

aws elasticache create-serverless-cache ^
    --serverless-cache-name "new-serverless-cache" ^
    --description "new-serverless-cache" ^
    --engine "VALKEY" ^
    --user-group-id "new-group-1"

A operação da AWS CLI a seguir modifica um cache sem servidor com o parâmetro user-group-id com o valor my-user-group-id.

Para Linux, macOS ou Unix:

aws elasticache modify-serverless-cache \
    --serverless-cache-name serverless-cache-1 \
    --user-group-id "new-group-2"

Para Windows:

aws elasticache modify-serverless-cache ^
    --serverless-cache-name serverless-cache-1 ^
    --user-group-id "new-group-2"

Eventuais modificações feitas em um cache são atualizadas de maneira assíncrona. Você pode monitorar este progresso visualizando os eventos. Para obter mais informações, consulte Visualização de eventos do ElastiCache.

Atribuição de grupos de usuários a grupos de replicação

Depois de criar um grupo de usuários e adicionar usuários, a etapa final na implementação do RBAC é atribuir o grupo de usuários a um grupo de replicação.

Atribuição de grupos de usuários a grupos de replicação usando o console

Para adicionar um grupo de usuários a uma replicação usando o Console de gerenciamento da AWS, faça o seguinte:

Atribuição de grupos de usuários a grupos de replicação usando a AWS CLI

A operação da AWS CLI a seguir cria um grupo de replicação com criptografia em trânsito (TLS) habilitada e o parâmetro user-group-ids com o valor my-user-group-id. Substitua o grupo de sub-redes sng-test por um grupo de sub-redes que exista.

Para Linux, macOS ou Unix:

aws elasticache create-replication-group \
    --replication-group-id "new-replication-group" \
    --replication-group-description "new-replication-group" \
    --engine "VALKEY" \
    --cache-node-type cache.m5.large \
    --transit-encryption-enabled \
    --user-group-ids "new-group-1" \
    --cache-subnet-group "cache-subnet-group"

Para Windows:

aws elasticache create-replication-group ^
    --replication-group-id "new-replication-group" ^
    --replication-group-description "new-replication-group" ^
    --engine "VALKEY" ^
    --cache-node-type cache.m5.large ^
    --transit-encryption-enabled ^
    --user-group-ids "new-group-1" ^
    --cache-subnet-group "cache-subnet-group"

A seguinte operação da AWS CLI modifica um grupo de replicação com criptografia em trânsito (TLS) habilitada e o parâmetro user-group-ids com o valor my-user-group-id.

Para Linux, macOS ou Unix:

aws elasticache modify-replication-group \
    --replication-group-id replication-group-1 \
    --user-group-ids-to-remove "new-group-1" \
    --user-group-ids-to-add "new-group-2"

Para Windows:

aws elasticache modify-replication-group ^
    --replication-group-id replication-group-1 ^
    --user-group-ids-to-remove "new-group-1" ^
    --user-group-ids-to-add "new-group-2"

Observe o PendingChanges na resposta. Eventuais modificações feitas em um cache são atualizadas de maneira assíncrona. Você pode monitorar este progresso visualizando os eventos. Para obter mais informações, consulte Visualização de eventos do ElastiCache.

Migração do AUTH para o RBAC

Se você estiver usando o AUTH conforme descrito em Autenticar com o comando AUTH do Valkey e Redis OSS e deseja migrar para usar o RBAC, use os seguintes procedimentos.

Use o procedimento a seguir para migrar do AUTH para o RBAC usando o console.

Use o procedimento a seguir para migrar do AUTH do Valkey ou Redis OSS para o RBAC usando a CLI.

Migração do RBAC para o AUTH

Se você estiver usando o RBAC e desejar migrar para o AUTH do Redis OSS, consulte Migração do RBAC para o AUTH.