Używanie usługi Microsoft Entra do uwierzytelniania w pamięci podręcznej

Usługa Azure Cache for Redis oferuje dwie metody uwierzytelniania w wystąpieniu pamięci podręcznej: klucze dostępu i microsoft Entra.

Chociaż uwierzytelnianie za pomocą klucza dostępu jest proste, wiąże się z szeregiem wyzwań związanych z zarządzaniem zabezpieczeniami i hasłami. Z kolei w tym artykule dowiesz się, jak używać tokenu Entra firmy Microsoft do uwierzytelniania w pamięci podręcznej.

Usługa Azure Cache for Redis oferuje mechanizm uwierzytelniania bez hasła dzięki integracji z firmą Microsoft Entra. Ta integracja obejmuje również funkcje kontroli dostępu opartej na rolach udostępniane za pośrednictwem list kontroli dostępu (ACL) obsługiwanych w usłudze Redis typu open source.

Aby korzystać z integracji listy ACL, aplikacja kliencka musi przyjąć tożsamość jednostki Microsoft Entra, takiej jak jednostka usługi lub tożsamość zarządzana, i połączyć się z pamięcią podręczną. Z tego artykułu dowiesz się, jak nawiązać połączenie z pamięcią podręczną przy użyciu jednostki usługi lub tożsamości zarządzanej. Dowiesz się również, jak udzielić wstępnie zdefiniowanych uprawnień połączenia na podstawie artefaktu Entra firmy Microsoft używanego na potrzeby połączenia.

Zakres dostępności

Warstwa	Podstawowa, Standardowa i Premium	Enterprise, Enterprise Flash
Dostępność	Tak	Nie.

Wymagania wstępne i ograniczenia

• Uwierzytelnianie entra firmy Microsoft jest obsługiwane w przypadku połączeń SSL i protokołu TLS 1.2 lub nowszego.
• Uwierzytelnianie Entra firmy Microsoft nie jest obsługiwane w przypadku wystąpień usługi Azure Cache for Redis, które zależą od usług Azure Cloud Services.
• Uwierzytelnianie microsoft Entra nie jest obsługiwane w warstwach Enterprise usługi Azure Cache for Redis Enterprise.
• Niektóre polecenia usługi Redis są zablokowane. Aby uzyskać pełną listę zablokowanych poleceń, zobacz Polecenia redis nieobsługiwane w usłudze Azure Cache for Redis.

Ważne

Po nawiązaniu połączenia przy użyciu tokenu Entra firmy Microsoft aplikacje klienckie muszą okresowo odświeżać token Microsoft Entra przed wygaśnięciem. Następnie aplikacje muszą wysłać AUTH polecenie do serwera Redis, aby uniknąć zakłócania połączeń. Aby uzyskać więcej informacji, zobacz Configure your Redis client to use Microsoft Entra (Konfigurowanie klienta usługi Redis do korzystania z usługi Microsoft Entra).

Włączanie uwierzytelniania w usłudze Microsoft Entra w pamięci podręcznej

1. W witrynie Azure Portal wybierz wystąpienie usługi Azure Cache for Redis, w którym chcesz skonfigurować uwierzytelnianie oparte na tokenach firmy Microsoft.

2. W menu Zasób wybierz pozycję Uwierzytelnianie.

3. W okienku roboczym wybierz kartę Microsoft Entra Authentication (Uwierzytelnianie entra firmy Microsoft).

4. Wybierz pozycję Włącz uwierzytelnianie firmy Microsoft Entra i wprowadź nazwę prawidłowego użytkownika. Wprowadzony użytkownik jest automatycznie przypisywany zasad dostępu właściciela danych domyślnie po wybraniu pozycji Zapisz. Możesz również wprowadzić tożsamość zarządzaną lub jednostkę usługi, aby nawiązać połączenie z wystąpieniem pamięci podręcznej.

   

5. Wyskakujące okno dialogowe, czy chcesz zaktualizować konfigurację i informuje o tym, że zajmuje to kilka minut. Wybierz opcję Tak.

   Ważne

   Po zakończeniu operacji włączania węzły w wystąpieniu pamięci podręcznej są ponownie uruchamiane w celu załadowania nowej konfiguracji. Zalecamy wykonanie tej operacji w oknie obsługi lub poza godzinami pracy szczytu. Operacja może potrwać do 30 minut.

Aby uzyskać informacje na temat korzystania z usługi Microsoft Entra z interfejsem wiersza polecenia platformy Azure, zobacz strony referencyjne dotyczące tożsamości.

Wyłączanie uwierzytelniania klucza dostępu w pamięci podręcznej

Korzystanie z usługi Microsoft Entra to bezpieczny sposób łączenia pamięci podręcznej. Zalecamy używanie usługi Microsoft Entra i wyłączanie kluczy dostępu.

Po wyłączeniu uwierzytelniania za pomocą klucza dostępu dla pamięci podręcznej wszystkie istniejące połączenia klienckie zostaną przerwane niezależnie od tego, czy używają kluczy dostępu, czy uwierzytelniania firmy Microsoft Entra. Postępuj zgodnie z zalecanymi najlepszymi rozwiązaniami dotyczącymi klienta Redis, aby zaimplementować odpowiednie mechanizmy ponawiania prób na potrzeby ponownego łączenia połączeń opartych na usłudze Microsoft Entra, jeśli istnieją.

Przed wyłączeniem kluczy dostępu:

• Upewnij się, że włączono uwierzytelnianie firmy Microsoft Entra i skonfigurowano co najmniej jednego użytkownika usługi Redis.

• Upewnij się, że wszystkie aplikacje łączące się z wystąpieniem pamięci podręcznej przełączą się na przy użyciu uwierzytelniania Entra firmy Microsoft.

• Upewnij się, że metryki Połączone klienci i Klienci połączeni przy użyciu tokenu firmy Microsoft mają te same wartości. Jeśli wartości tych dwóch metryk nie są takie same, oznacza to, że nadal istnieją pewne połączenia, które zostały utworzone przy użyciu kluczy dostępu, a nie Entra Token.

• Rozważ wyłączenie dostępu podczas zaplanowanego okna obsługi dla wystąpienia pamięci podręcznej.

• Wyłączenie kluczy dostępu jest dostępne tylko dla pamięci podręcznych w warstwie Podstawowa, Standardowa i Premium.

• W przypadku pamięci podręcznych replikowanych geograficznie należy:

  1. Odłącz pamięć podręczną.
  2. Wyłączanie kluczy dostępu.
  3. Połącz ponownie pamięci podręczne.

Jeśli masz pamięć podręczną, w której są używane klucze dostępu i chcesz wyłączyć klucze dostępu, wykonaj następującą procedurę:

1. W witrynie Azure Portal wybierz wystąpienie usługi Azure Cache for Redis, w którym chcesz wyłączyć klucze dostępu.

2. W menu Zasób wybierz pozycję Uwierzytelnianie.

3. W okienku roboczym wybierz pozycję Klucze dostępu.

4. Wybierz pozycję Wyłącz uwierzytelnianie kluczy dostępu. Następnie wybierz pozycję Zapisz.

   

5. Upewnij się, że chcesz zaktualizować konfigurację, wybierając pozycję Tak.

Ważne

Po zmianie ustawienia Wyłącz uwierzytelnianie kluczy dostępu dla pamięci podręcznej wszystkie istniejące połączenia klienta przy użyciu kluczy dostępu lub usługi Microsoft Entra zostaną zakończone. Postępuj zgodnie z najlepszymi rozwiązaniami, aby zaimplementować odpowiednie mechanizmy ponawiania prób na potrzeby ponownego łączenia połączeń opartych na usłudze Microsoft Entra. Aby uzyskać więcej informacji, zobacz Odporność połączenia.

Używanie konfiguracji dostępu do danych z pamięcią podręczną

Jeśli chcesz użyć niestandardowych zasad dostępu zamiast właściciela danych Usługi Redis, przejdź do pozycji Konfiguracja dostępu do danych w menu Zasób . Aby uzyskać więcej informacji, zobacz Konfigurowanie niestandardowych zasad dostępu do danych dla aplikacji.

1. W witrynie Azure Portal wybierz wystąpienie usługi Azure Cache for Redis, w którym chcesz dodać do konfiguracji dostępu do danych.

2. W menu Zasób wybierz pozycję Konfiguracja dostępu do danych.

3. Wybierz pozycję Dodaj , a następnie wybierz pozycję Nowy użytkownik usługi Redis.

4. Na karcie Zasady dostępu wybierz jedną z dostępnych zasad w tabeli: Właściciel danych, Współautor danych lub Czytelnik danych. Następnie wybierz pozycję Dalej: Użytkownicy usługi Redis.

   

5. Wybierz pozycję Użytkownik lub jednostka usługi lub Tożsamość zarządzana, aby określić sposób przypisywania dostępu do wystąpienia usługi Azure Cache for Redis. Jeśli wybierzesz pozycję Użytkownik lub jednostka usługi i chcesz dodać użytkownika, musisz najpierw włączyć uwierzytelnianie firmy Microsoft Entra.

6. Następnie wybierz pozycję Wybierz członków i wybierz pozycję Wybierz. Następnie wybierz pozycję Dalej: Przejrzyj i przypisz.

   

7. Okno dialogowe wyskakujące informuje o tym, że uaktualnienie jest trwałe i może spowodować krótki blip połączenia. Wybierz opcję Tak.

   Ważne

   Po zakończeniu operacji włączania węzły w wystąpieniu pamięci podręcznej są ponownie uruchamiane w celu załadowania nowej konfiguracji. Zalecamy wykonanie tej operacji w oknie obsługi lub poza godzinami pracy szczytu. Operacja może potrwać do 30 minut.

Konfigurowanie klienta usługi Redis do korzystania z usługi Microsoft Entra

Ponieważ większość klientów usługi Azure Cache for Redis zakłada, że hasło i klucz dostępu są używane do uwierzytelniania, prawdopodobnie trzeba zaktualizować przepływ pracy klienta w celu obsługi uwierzytelniania przy użyciu usługi Microsoft Entra. W tej sekcji dowiesz się, jak skonfigurować aplikacje klienckie pod kątem nawiązywania połączenia z usługą Azure Cache for Redis przy użyciu tokenu firmy Microsoft Entra.

Przepływ pracy klienta Firmy Microsoft Entra

1. Skonfiguruj aplikację kliencką, aby uzyskać token entra firmy Microsoft dla zakresu https://redis.azure.com/.default lub acca5fbb-b7e4-4009-81f1-37e38fd66d78/.default, przy użyciu biblioteki Microsoft Authentication Library (MSAL).

2. Zaktualizuj logikę połączenia usługi Redis, aby użyć następujących elementów User i Password:

   • User = identyfikator obiektu tożsamości zarządzanej lub jednostki usługi
   • Password = token firmy Microsoft Entra uzyskany przy użyciu biblioteki MSAL

3. Upewnij się, że klient automatycznie wykonuje polecenie AUTH usługi Redis przed wygaśnięciem tokenu entra firmy Microsoft przy użyciu polecenia:

   • User = identyfikator obiektu tożsamości zarządzanej lub jednostki usługi
   • Password = Token Entra firmy Microsoft odświeżany okresowo

Obsługa biblioteki klienta

Biblioteka Microsoft.Azure.StackExchangeRedis jest rozszerzeniem StackExchange.Redis , które umożliwia używanie firmy Microsoft Entra do uwierzytelniania połączeń z aplikacji klienckiej Redis do usługi Azure Cache for Redis. Rozszerzenie zarządza tokenem uwierzytelniania, w tym proaktywne odświeżanie tokenów przed ich wygaśnięciem w celu utrzymania trwałych połączeń usługi Redis w ciągu wielu dni.

W tym przykładzie kodu pokazano, jak używać Microsoft.Azure.StackExchangeRedis pakietu NuGet do nawiązywania połączenia z wystąpieniem usługi Azure Cache for Redis przy użyciu usługi Microsoft Entra.

Poniższa tabela zawiera linki do przykładów kodu. Pokazują one, jak nawiązać połączenie z wystąpieniem usługi Azure Cache for Redis przy użyciu tokenu entra firmy Microsoft. Różne biblioteki klienckie są zawarte w wielu językach.

Biblioteka kliencka	Język	Link do przykładowego kodu
StackExchange.Redis	.NET	Przykład kodu StackExchange.Redis
go-redis	Go	Przykład kodu go-redis
redis-py	Python	Przykład kodu redis-py
Jedis	Java	Przykładowy kod usługi Jedis
Lettuce	Java	Przykładowy kod sałaty
Redisson	Java	Przykładowy kod Redisson
ioredis	Node.js	Przykład kodu ioredis
node-redis	Node.js	przykładowy kod node-redis

Najlepsze rozwiązania dotyczące uwierzytelniania w usłudze Microsoft Entra

• Skonfiguruj łącza prywatne lub reguły zapory, aby chronić pamięć podręczną przed atakiem typu "odmowa usługi".
• Upewnij się, że aplikacja kliencka wysyła nowy token firmy Microsoft Entra co najmniej trzy minuty przed wygaśnięciem tokenu, aby uniknąć zakłóceń połączenia.
• W przypadku okresowego wywoływania polecenia serwera AUTH Redis rozważ dodanie losowego opóźnienia, aby AUTH polecenia zostały rozłożone. W ten sposób serwer Redis nie otrzymuje jednocześnie zbyt wielu AUTH poleceń.

Powiązana zawartość

• Konfigurowanie kontroli dostępu opartej na rolach przy użyciu zasad dostępu do danych
• Strony referencyjne tożsamości