Używanie usługi Microsoft Entra do uwierzytelniania w pamięci podręcznej za pomocą usługi Azure Managed Redis (wersja zapoznawcza)
Usługa Azure Managed Redis (wersja zapoznawcza) oferuje dwie metody uwierzytelniania w wystąpieniu pamięci podręcznej: klucze dostępu i microsoft Entra.
Chociaż uwierzytelnianie za pomocą klucza dostępu jest proste, wiąże się z szeregiem wyzwań związanych z zarządzaniem zabezpieczeniami i hasłami. Z kolei w tym artykule dowiesz się, jak używać tokenu Entra firmy Microsoft do uwierzytelniania w pamięci podręcznej.
Usługa Azure Managed Redis oferuje mechanizm uwierzytelniania bez hasła dzięki integracji z firmą Microsoft Entra. Identyfikator entra skonfigurowany do nawiązywania połączenia z usługą Azure Managed Redis ma przypisane te same uprawnienia co w przypadku używania kluczy dostępu.
Z tego artykułu dowiesz się, jak używać jednostki usługi lub tożsamości zarządzanej do nawiązywania połączenia z wystąpieniem usługi Redis.
Wymagania wstępne i ograniczenia
- Uwierzytelnianie entra firmy Microsoft jest obsługiwane tylko w przypadku połączeń SSL.
- Niektóre polecenia usługi Redis są zablokowane. Aby uzyskać pełną listę zablokowanych poleceń, zobacz Polecenia redis nieobsługiwane w usłudze Azure Managed Redis.
Ważne
Po nawiązaniu połączenia przy użyciu tokenu Entra firmy Microsoft aplikacje klienckie muszą okresowo odświeżać token Microsoft Entra przed wygaśnięciem. Następnie aplikacje muszą wysłać AUTH polecenie do serwera Redis, aby uniknąć zakłócania połączeń. Aby uzyskać więcej informacji, zobacz Configure your Redis client to use Microsoft Entra (Konfigurowanie klienta usługi Redis do korzystania z usługi Microsoft Entra).
Włączanie uwierzytelniania w usłudze Microsoft Entra w pamięci podręcznej
W witrynie Azure Portal wybierz wystąpienie usługi Azure Managed Redis, w którym chcesz skonfigurować uwierzytelnianie oparte na tokenach firmy Microsoft.
W menu Zasób wybierz pozycję Uwierzytelnianie.
W okienku roboczym wybierz kartę Microsoft Entra Authentication (Uwierzytelnianie entra firmy Microsoft).
Wybierz pozycję Włącz uwierzytelnianie firmy Microsoft Entra i wybierz przyciski "Użytkownik lub jednostka usługi" lub "Tożsamość zarządzana". Wprowadzony użytkownik ma automatycznie przypisane te same uprawnienia co podczas korzystania z kluczy dostępu podczas wybierania. Możesz również wprowadzić tożsamość zarządzaną lub jednostkę usługi, aby nawiązać połączenie z wystąpieniem usługi AMR.
Aby uzyskać informacje na temat korzystania z usługi Microsoft Entra z interfejsem wiersza polecenia platformy Azure, zobacz strony referencyjne dotyczące tożsamości.
Wyłączanie uwierzytelniania klucza dostępu w pamięci podręcznej
Korzystanie z usługi Microsoft Entra to bezpieczny sposób łączenia pamięci podręcznej. Zalecamy używanie usługi Microsoft Entra i wyłączanie kluczy dostępu.
Po wyłączeniu uwierzytelniania za pomocą klucza dostępu dla wystąpienia usługi Redis wszystkie istniejące połączenia klienckie są przerywane niezależnie od tego, czy używają kluczy dostępu, czy uwierzytelniania microsoft Entra. Postępuj zgodnie z zalecanymi najlepszymi rozwiązaniami dotyczącymi klienta Redis, aby zaimplementować odpowiednie mechanizmy ponawiania prób na potrzeby ponownego łączenia połączeń opartych na usłudze Microsoft Entra, jeśli istnieją.
Przed wyłączeniem kluczy dostępu:
Należy włączyć uwierzytelnianie Firmy Microsoft Entra.
W przypadku pamięci podręcznych replikowanych geograficznie należy:
- Odłącz pamięć podręczną.
- Wyłączanie kluczy dostępu.
- Połącz ponownie pamięci podręczne.
Jeśli masz pamięć podręczną, w której używasz kluczy dostępu i chcesz wyłączyć klucze dostępu, wykonaj następującą procedurę:
W witrynie Azure Portal wybierz wystąpienie usługi Azure Managed Redis, w którym chcesz wyłączyć klucze dostępu.
W menu Zasób wybierz pozycję Uwierzytelnianie.
W okienku roboczym wybierz pozycję Klucze dostępu.
Skonfiguruj uwierzytelnianie kluczy dostępu, aby było wyłączone.
Upewnij się, że chcesz zaktualizować konfigurację, wybierając pozycję Tak.
Ważne
Po zmianie ustawienia Wyłącz uwierzytelnianie kluczy dostępu dla pamięci podręcznej wszystkie istniejące połączenia klienta przy użyciu kluczy dostępu lub usługi Microsoft Entra zostaną zakończone. Postępuj zgodnie z najlepszymi rozwiązaniami, aby zaimplementować odpowiednie mechanizmy ponawiania prób na potrzeby ponownego łączenia połączeń opartych na usłudze Microsoft Entra. Aby uzyskać więcej informacji, zobacz Odporność połączenia.
Konfigurowanie klienta usługi Redis do korzystania z usługi Microsoft Entra
Ponieważ większość klientów usługi Azure Managed Redis zakłada, że hasło i klucz dostępu są używane do uwierzytelniania, prawdopodobnie trzeba zaktualizować przepływ pracy klienta w celu obsługi uwierzytelniania przy użyciu usługi Microsoft Entra. W tej sekcji dowiesz się, jak skonfigurować aplikacje klienckie w celu nawiązania połączenia z usługą Azure Managed Redis przy użyciu tokenu firmy Microsoft Entra.
Przepływ pracy klienta Firmy Microsoft Entra
Skonfiguruj aplikację kliencką, aby uzyskać token entra firmy Microsoft dla zakresu
https://redis.azure.com/.defaultlubacca5fbb-b7e4-4009-81f1-37e38fd66d78/.default, przy użyciu biblioteki Microsoft Authentication Library (MSAL).Zaktualizuj logikę połączenia usługi Redis, aby użyć następujących elementów
UseriPassword:User= identyfikator obiektu tożsamości zarządzanej lub jednostki usługiPassword= token firmy Microsoft Entra uzyskany przy użyciu biblioteki MSAL
Upewnij się, że klient automatycznie wykonuje polecenie AUTH usługi Redis przed wygaśnięciem tokenu entra firmy Microsoft przy użyciu polecenia:
User= identyfikator obiektu tożsamości zarządzanej lub jednostki usługiPassword= Token Entra firmy Microsoft odświeżany okresowo
Obsługa biblioteki klienta
Biblioteka Microsoft.Azure.StackExchangeRedis jest rozszerzeniem StackExchange.Redis , które umożliwia używanie firmy Microsoft Entra do uwierzytelniania połączeń z aplikacji klienckiej Redis do usługi Azure Managed Redis. Rozszerzenie zarządza tokenem uwierzytelniania, w tym proaktywne odświeżanie tokenów przed ich wygaśnięciem w celu utrzymania trwałych połączeń usługi Redis w ciągu wielu dni.
W tym przykładzie kodu pokazano, jak używać Microsoft.Azure.StackExchangeRedis pakietu NuGet do nawiązywania połączenia z wystąpieniem usługi Azure Managed Redis przy użyciu usługi Microsoft Entra.
Poniższa tabela zawiera linki do przykładów kodu. Pokazują one, jak nawiązać połączenie z wystąpieniem usługi Azure Managed Redis przy użyciu tokenu firmy Microsoft Entra. Różne biblioteki klienckie są zawarte w wielu językach.
| Biblioteka kliencka | Język | Link do przykładowego kodu |
|---|---|---|
| StackExchange.Redis | .NET | Przykład kodu StackExchange.Redis |
| redis-py | Python | Przykład kodu redis-py |
| Jedis | Java | Przykładowy kod usługi Jedis |
| Lettuce | Java | Przykładowy kod sałaty |
| Redisson | Java | Przykładowy kod Redisson |
| ioredis | Node.js | Przykład kodu ioredis |
| node-redis | Node.js | przykładowy kod node-redis |
Najlepsze rozwiązania dotyczące uwierzytelniania w usłudze Microsoft Entra
- Skonfiguruj łącza prywatne lub reguły zapory, aby chronić pamięć podręczną przed atakiem typu "odmowa usługi".
- Upewnij się, że aplikacja kliencka wysyła nowy token firmy Microsoft Entra co najmniej trzy minuty przed wygaśnięciem tokenu, aby uniknąć zakłóceń połączenia.
- W przypadku okresowego wywoływania polecenia serwera
AUTHRedis rozważ dodanie zakłócenia, abyAUTHpolecenia zostały rozłożone. W ten sposób serwer Redis nie otrzymuje jednocześnie zbyt wieluAUTHpoleceń.