Redis 认证：轻松学会设置与管理密码 – wiki基地

作者： /

Redis 认证：轻松学会设置与管理密码

Redis 是一款高性能的键值存储数据库，广泛应用于缓存、会话管理、消息队列等场景。然而，默认情况下，Redis 并没有启用密码认证，这意味着任何可以连接到 Redis 服务器的客户端都可以访问和操作您的数据，这在生产环境中构成了严重的安全隐患。本文将详细介绍如何轻松设置和管理 Redis 密码，确保您的数据安全。

1. 为何需要 Redis 认证？

  • 数据保护： 防止未经授权的用户访问、修改或删除敏感数据。
  • 安全合规： 满足企业或行业的安全规范要求。
  • 防止恶意攻击： 避免数据被恶意清空或篡改。

2. 通过修改配置文件设置密码 (推荐且持久)

这是设置 Redis 密码最常用、最推荐且最安全的方法。通过修改配置文件，密码将在 Redis 服务重启后依然生效。

步骤详解：

  1. 定位 Redis 配置文件：
    Redis 配置文件通常命名为 redis.conf。在 Linux 系统中，它可能位于 /etc/redis/redis.conf 或 /etc/redis.conf。您可以使用命令行工具（如 find / -name redis.conf）查找其具体位置。
    找到文件后，使用您喜欢的文本编辑器打开它。例如，使用 sudo nano /etc/redis/redis.conf。

  2. 设置 requirepass 参数：
    在配置文件中，您会找到一行通常被注释掉的 requirepass 参数。它可能看起来像 # requirepass foobared。

    • 取消该行的注释（删除行首的 # 字符）。
    • 将示例密码 foobared 替换为您自己创建的强密码。

    示例：
    requirepass your_strong_and_complex_password_here

    强密码的重要性： 请务必使用一个足够长、包含大小写字母、数字和特殊字符的随机密码。由于 Redis 处理请求的速度非常快，弱密码极易受到暴力破解攻击。

  3. 保存并关闭文件：
    在 nano 编辑器中，按 Ctrl + O 保存，然后按 Ctrl + X 退出。

  4. 重启 Redis 服务：
    修改配置文件后，您必须重启 Redis 服务以使新的密码设置生效。根据您的操作系统和 Redis 的安装方式，可以使用以下命令之一：

    • Systemd 系统 (主流 Linux 发行版)： sudo systemctl restart redis
    • SysVinit 系统： sudo service redis restart
    • 手动关闭与启动 (如果 Redis 未配置为服务)：
      redis-cli shutdown
      redis-server /path/to/your/redis.conf

3. 通过命令行设置临时密码 (不推荐用于生产环境)

您也可以在不重启 Redis 服务的情况下，通过 redis-cli 设置临时密码。然而，这种方式设置的密码在 Redis 服务重启后会失效，Redis 会恢复使用配置文件中定义的密码（如果没有定义，则恢复为无密码）。因此，此方法不推荐用于生产环境。

步骤：

  1. 连接到 Redis 客户端：
    redis-cli

  2. 设置密码：
    CONFIG SET requirepass "your_temporary_password"
    如果成功，Redis 将返回 OK。

4. 客户端如何进行认证

当 Redis 服务器设置了密码后，任何尝试连接的客户端都需要提供正确的密码才能执行操作。

  1. 连接时直接提供密码：
    使用 redis-cli 连接时，可以通过 -a (authentication) 参数直接提供密码：
    bash
    redis-cli -h <host> -p <port> -a your_strong_and_complex_password_here
    例如，连接本地默认端口的 Redis：
    redis-cli -a your_strong_and_complex_password_here

  2. 连接后进行认证：
    如果您先连接到 Redis 客户端，但没有提供密码，或者提供的密码错误，Redis 将拒绝您的命令并返回 NOAUTH Authentication required 错误。
    此时，您可以使用 AUTH 命令进行认证：
    bash
    redis-cli
    127.0.0.1:6379> AUTH your_strong_and_complex_password_here
    如果密码正确，Redis 将返回 OK，之后您就可以正常执行所有 Redis 命令了。

5. Redis 安全最佳实践

仅仅设置密码只是第一步，为了更全面地保护您的 Redis 实例，请遵循以下安全实践：

  • 始终使用强密码： 如前所述，这是抵御暴力破解的基础。
  • 限制网络访问： 使用防火墙规则 (ufw, iptables 等) 限制只有受信任的 IP 地址或 IP 范围才能访问 Redis 服务的端口 (默认为 6379)。
  • 绑定特定 IP 地址： 在 redis.conf 文件中，通过 bind 参数指定 Redis 只能监听特定的 IP 地址。如果您的 Redis 实例不需要从外部访问，应将其绑定到 127.0.0.1 (仅限本地访问)。
    • 示例： bind 127.0.0.1
    • 如果需要从外部访问，您可以注释掉 bind 127.0.0.1 或指定允许的 IP 地址，同时确保防火墙规则正确配置。
  • 启用 TLS/SSL 加密： AUTH 命令传输的密码是明文的。对于公共网络或不信任网络上的 Redis 实例，强烈建议配置 TLS/SSL 来加密客户端与服务器之间的通信，防止密码被窃听。
  • 使用访问控制列表 (ACLs – Redis 6.0+)： Redis 6.0 及更高版本引入了强大的 ACLs 功能。通过 ACLs，您可以为不同的用户创建不同的权限，实现更细粒度的数据访问控制，例如限制某些用户只能执行读取操作，或只能访问特定的键空间。这对于多租户或复杂应用场景非常有用。
  • 定期备份数据： 即使有密码保护，数据丢失的风险依然存在（例如硬件故障）。定期备份您的 Redis 数据是至关重要的。
  • 监控 Redis 日志： 密切关注 Redis 日志文件，查找任何异常活动或潜在的安全事件。
  • 不将 Redis 作为根用户运行： 以非特权用户身份运行 Redis 服务，以限制潜在安全漏洞的影响。
  • 集群环境下的密码配置： 在 Redis 集群中，所有节点（包括主节点和从节点）都应配置相同的 requirepass。此外，从节点还需要配置 masterauth 参数，以便它们能够使用密码正确地连接到主节点进行数据同步。

通过遵循这些设置和最佳实践，您可以显著增强 Redis 实例的安全性，保护您的宝贵数据免受未经授权的访问和潜在的网络威胁。

滚动至顶部