Redis 访问控制列表 (ACL)：细粒度用户权限管理

各位观众，晚上好！欢迎来到“Redis ACL：权限管理那些事儿”讲座现场。今天咱不讲高深的理论，就聊聊Redis里那个有点意思的家伙——ACL（Access Control List，访问控制列表）。这玩意儿，说白了，就是给你的Redis数据库加把锁，让不同的人只能干不同的事儿，防止有人手贱把你的数据删了或者乱改。

一、为啥需要ACL？

想象一下，你辛辛苦苦搭建了一个Redis服务器，里面存着各种重要数据，突然有一天，公司新来的实习生小明，不小心执行了 FLUSHALL 命令，瞬间世界清净了。你哭都没地方哭去。

这就是权限管理缺失的惨痛教训。以前的Redis，默认情况下，所有人都能连接，都能操作，简直就是不设防的碉堡。虽然可以通过 requirepass 设置密码，但那个密码是全局的，只要知道了密码，谁都能为所欲为。

ACL的出现，就是为了解决这个问题。它可以让你创建不同的用户，给每个用户分配不同的权限，比如有的用户只能读数据，有的用户只能写数据，有的用户只能执行特定的命令，彻底告别“一言不合就清空数据库”的悲剧。

二、ACL的基本概念

ACL的核心在于“用户”和“权限”。

用户（User）： 顾名思义，就是使用Redis的人或者应用程序。每个用户都有一个唯一的用户名（虽然Redis内部是用哈希值来标识的）。
权限（Permissions）： 定义了用户可以执行哪些操作。权限控制的粒度非常细，可以控制用户可以执行哪些命令，可以访问哪些Key，甚至可以访问哪些频道。

三、ACL的语法规则

Redis的ACL语法有点像正则表达式，但又不太一样，需要稍微学习一下。

创建用户：ACL SETUSER <username> <rules>
- <username>: 你要创建的用户名。
- <rules>: 用户权限规则，这是最关键的部分。
权限规则的组成

权限规则由多个部分组成，用空格分隔。主要包括：
- 访问Key的权限： 用波浪线 ~ 开头，后面跟着Key的模式。例如：
  - ~*: 允许访问所有Key。
  - ~user:*: 允许访问所有以 user: 开头的Key。
  - ~{user:*,order:*}: 允许访问所有以 user: 或 order: 开头的Key。
- 允许或拒绝命令： 用加号 + 或减号 - 开头，后面跟着命令名。例如：
  - +get: 允许执行 GET 命令。
  - -set: 拒绝执行 SET 命令。
  - +@read: 允许执行所有读取数据的命令（这是一个命令类别，后面会讲到）。
  - +@all: 允许执行所有命令。
  - -@all: 拒绝执行所有命令。
  - +acl|hello|ping: 允许执行acl, hello, ping 命令
- 访问频道（Pub/Sub）： 用大于号 > 或小于号 < 开头，后面跟着频道模式。例如：
  - >*:允许订阅所有频道。
  - >news.*: 允许订阅所有以 news. 开头的频道。
  - <*:允许发布消息到所有频道。
  - <orders.*: 允许发布消息到所有以 orders. 开头的频道。
- 设置用户密码： 使用 > 符号，后面跟着密码（或者 nopass 表示不需要密码）。例如：
  - >mypassword: 设置密码为 mypassword。
  - nopass: 不需要密码。
  - >hash:aadf23424234234: 设置密码为hash值。
- 重置用户： 使用 resetpass 符号,重置用户的密码。
  - resetpass: 重置密码
命令类别（Command Categories）：

Redis将命令分成了不同的类别，方便批量授权。常用的类别包括：
- @all: 所有命令。
- @read: 读取数据的命令，如 GET、HGET、SMEMBERS 等。
- @write: 修改数据的命令，如 SET、HSET、SADD` 等。
- @admin: 管理命令，如 CONFIG、SHUTDOWN 等。
- @pubsub: Pub/Sub 相关的命令，如 SUBSCRIBE、PUBLISH 等。
- @slowlog: Slowlog 相关的命令，如 SLOWLOG GET、SLOWLOG RESET 等。
- @blocking: 阻塞命令，如 BLPOP、BRPOP 等。
- @dangerous: 危险命令，如 FLUSHDB、FLUSHALL、CONFIG SET 等。

四、ACL实战演练

光说不练假把式，咱们来几个例子，看看ACL到底怎么用。

创建一个只读用户：
```
ACL SETUSER readonlyuser +@read ~* nopass
```
这个命令创建了一个名为 readonlyuser 的用户，允许执行所有读取数据的命令（+@read），允许访问所有Key（~*），并且不需要密码（nopass）。
创建一个可以读写特定Key的用户：
```
ACL SETUSER user1 +get +set ~user:* >password123
```
这个命令创建了一个名为 user1 的用户，允许执行 GET 和 SET 命令（+get +set），允许访问所有以 user: 开头的Key（~user:*），并且设置密码为 password123（>password123）。
创建一个只能发布消息到特定频道的用户：
```
ACL SETUSER publisher <news.* nopass
```
这个命令创建了一个名为 publisher 的用户，允许发布消息到所有以 news. 开头的频道（<news.*），并且不需要密码（nopass）。
创建一个具有管理权限的用户（谨慎使用）：
```
ACL SETUSER adminuser +@all allchannels >adminpassword
```
这个命令创建了一个名为 adminuser 的用户，允许执行所有命令（+@all），允许订阅所有频道（allchannels），并且设置密码为 adminpassword（>adminpassword）。注意： 授予 +@all 权限要非常小心，因为它意味着用户可以做任何事情，包括删除数据、修改配置等。
创建一个无法访问任何key的用户
```
ACL SETUSER nokey ~nokey >password
```
这个命令创建了一个名为 nokey 的用户，无法访问任何key，并且设置密码为 password。
创建一个用户重置密码
```
ACL SETUSER user1 resetpass
```
这个命令重置user1的密码
创建一个用户，具有读写权限，但是禁止执行DEL命令
```
ACL SETUSER user1 +@read +@write -del ~* >password
```
这个命令创建了一个名为 user1 的用户，允许读取写入所有key，但是禁止执行del命令。

五、ACL相关命令

Redis提供了一些命令来管理ACL。

ACL LIST： 查看当前所有用户的ACL规则。
ACL GETUSER <username>： 查看指定用户的ACL规则。
ACL DELUSER <username>： 删除指定用户。
ACL CAT： 列出所有命令类别。
ACL GENPASS： 生成一个安全的随机密码。
ACL WHOAMI： 查看当前连接的用户。
AUTH <username> <password>： 使用指定用户和密码进行身份验证。

六、ACL配置和启用

默认情况下，ACL是启用的。如果你想禁用ACL，可以在Redis配置文件（redis.conf）中设置 aclfile ""。但强烈建议不要禁用ACL，除非你有充分的理由。

ACL规则也可以保存在一个单独的文件中，通过 aclfile 配置项指定。这样可以方便地管理和维护ACL规则。

七、使用编程语言操作ACL

大多数Redis客户端都支持ACL。下面以Python为例，演示如何使用 redis-py 库来操作ACL。

import redis

# 创建Redis连接
r = redis.Redis(host='localhost', port=6379, username='user1', password='password123')

# 尝试执行SET命令
try:
    r.set('user:1', 'hello')
    print("SET命令执行成功")
except redis.exceptions.ResponseError as e:
    print(f"SET命令执行失败: {e}")

# 尝试执行GET命令
value = r.get('user:1')
print(f"GET命令执行结果: {value}")

# 创建一个管理连接，用于创建和管理用户
r_admin = redis.Redis(host='localhost', port=6379, username='default', password='your_redis_password') # 替换为你的redis密码

# 创建一个只读用户
try:
    r_admin.execute_command("ACL", "SETUSER", "readonlyuser", "+@read", "~*", "nopass")
    print("readonlyuser 创建成功")
except redis.exceptions.ResponseError as e:
    print(f"readonlyuser 创建失败: {e}")

#列出当前用户
try:
    result = r_admin.execute_command("ACL", "LIST")
    print(f"ACL LIST命令执行结果: {result}")
except redis.exceptions.ResponseError as e:
    print(f"ACL LIST命令执行失败: {e}")

#删除用户
try:
    r_admin.execute_command("ACL", "DELUSER", "readonlyuser")
    print("readonlyuser 删除成功")
except redis.exceptions.ResponseError as e:
    print(f"readonlyuser 删除失败: {e}")

八、ACL最佳实践

最小权限原则： 只授予用户完成其工作所需的最小权限。不要轻易授予 +@all 权限。
使用命令类别： 尽量使用命令类别来批量授权，而不是逐个命令授权。
定期审查ACL规则： 随着业务发展，用户的权限需求可能会发生变化，需要定期审查和更新ACL规则。
使用安全的密码： 为用户设置强密码，或者使用无密码认证（例如基于证书的认证）。
监控ACL相关的日志： 监控Redis的日志，可以发现潜在的安全问题。
使用ACL文件： 将ACL规则保存在文件中，方便管理和维护。

九、ACL的局限性

虽然ACL功能很强大，但也有一些局限性。

不支持动态权限： ACL规则是静态的，无法根据用户的角色或上下文动态调整权限。
配置复杂： ACL的语法比较复杂，需要一定的学习成本。
性能影响： ACL会增加Redis的性能开销，尤其是在高并发场景下。

十、总结

ACL是Redis中一个非常重要的安全特性，它可以帮助你保护你的数据，防止未经授权的访问。虽然ACL的配置比较复杂，但只要掌握了基本的语法和概念，就能轻松地为你的Redis数据库加一把安全锁。

记住，安全无小事。在生产环境中，一定要启用ACL，并根据实际需求配置合适的权限规则。

好了，今天的讲座就到这里。希望大家有所收获！感谢各位的观看，下次再见！

发表回复 取消回复

发表回复取消回复