Использование Microsoft Entra для проверки подлинности кэша

Azure Cache for Redis offers two methods to authenticate to your cache instance: access keys and Microsoft Entra.

Выполнять проверку подлинности с помощью ключей доступа очень просто, однако она создает ряд проблемы с безопасностью и управлением паролями. Для сравнения в этой статье приведена информация о том, как проверяется подлинность кэша с помощью токена Microsoft Entra.

Azure Cache for Redis offers a password-free authentication mechanism by integrating with Microsoft Entra. Эта интеграция также включает функции управления доступом на основе ролей, предоставляемые с помощью списков управления доступом (ACL), которые поддерживает Redis с открытым исходным кодом.

Чтобы использовать интеграцию ACL, ваше клиентское приложение должно принять удостоверение сущности Microsoft Entra, например основной объект службы или управляемая идентификация, и подключиться к вашему кэшу. Из этой статьи вы узнаете, как использовать служебный принципал или управляемую учетную запись для подключения к вашему кэшу. Вы также узнаете, как предоставить предопределенные разрешения подключения на основе артефакта Microsoft Entra, используемого для подключения.

Область доступности

Предварительные требования и ограничения

• Проверка подлинности Microsoft Entra поддерживается для SSL-подключений и TLS 1.2 или более поздней версии.
• Проверка подлинности Microsoft Entra не поддерживается на уровнях корпоративных версий Azure Cache для Redis Enterprise.
• Группы Microsoft Entra не поддерживаются.
• Некоторые команды Redis блокируются. Полный список заблокированных команд см. в разделе "Команды Redis", которые не поддерживаются в Кэш Azure для Redis.

Включите проверку подлинности Microsoft Entra в вашем кэше

1. На портале Azure выберите экземпляр Azure Cache для Redis, где вы хотите настроить аутентификацию на основе токена Microsoft Entra.

2. On the Resource menu, select Authentication.

3. На рабочей панели перейдите на вкладку Проверка подлинности Microsoft Entra.

4. Выберите "Включить проверку подлинности Microsoft Entra" и введите имя допустимого пользователя. По умолчанию, когда вы выбираете Сохранить, пользователю, которого вы вводите, автоматически назначается Политика доступа владельца данных. Вы также можете ввести управляемое удостоверение или служебный принципал, чтобы подключиться к экземпляру кэша.

   

5. Всплывающее диалоговое окно спрашивает, хотите ли вы обновить конфигурацию, и сообщает, что это займет несколько минут. Select Yes.

   Important

   После завершения операции включения узлы в экземпляре вашего кэша перезагружаются, чтобы загрузить новую конфигурацию. Мы рекомендуем выполнить эту операцию во время периода обслуживания или за пределами рабочих часов. Операция может занять до 30 минут.

Информацию об использовании Microsoft Entra с Azure CLI см. на страницах справки по удостоверениям.

Отключение аутентификации в кэше с помощью ключа доступа

Использование Microsoft Entra — это надежный способ подключения вашего кэша. Мы рекомендуем вам использовать именно Microsoft Entra, а ключи доступа отключить.

При отключении проверки подлинности ключа доступа для кэша все существующие клиентские подключения завершаются, используют ли они ключи доступа или проверку подлинности Microsoft Entra. Следуйте рекомендациям в отношении клиента Redis, чтобы внедрить надежные механизмы повторения попыток для восстановления подключений с использованием Microsoft Entra, при их наличии.

Перед отключением ключей доступа

• Убедитесь, что проверка подлинности Microsoft Entra включена, и вы настроили хотя бы одного пользователя Redis.
• Убедитесь, что все приложения, подключающиеся к экземпляру кэша, переходят на аутентификацию с использованием Microsoft Entra Authentication.
• Ensure that the metrics Connected Clients and Connected Clients Using Microsoft Entra Token have the same values. Если они разные, это означает, что в системе все еще присутствуют подключения, созданные с помощью ключей доступа, а не токена Microsoft Entra.
• Рассмотрите возможность отключения доступа на время запланированного технического обслуживания для экземпляра кэша.
• Отключение ключей доступа доступно только для кэшей уровня "Базовый", "Стандартный" и "Премиум".

В отношении геореплицированных кэшей необходимо сделать следующее:

1. Отменить привязку кэшей.
2. отключить ключи доступа;
3. Повторно привязать кэши.

Если у вас есть кэш, в котором вы использовали ключи доступа, и вы хотите отключить ключи доступа, выполните следующую процедуру:

1. В портале Azure выберите экземпляр Azure Cache для Redis, в котором вы хотите отключить ключи доступа.

2. On the Resource menu, select Authentication.

3. On the working pane, select Access keys.

4. Выберите "Отключить проверку подлинности ключей доступа". Then, select Save.

   

5. Confirm that you want to update your configuration by selecting Yes.

Используйте конфигурацию доступа к данным для вашего кэша

Если вы хотите использовать настраиваемую политику доступа вместо владельца данных Redis, перейдите в меню "Конфигурация доступа к данным". Дополнительные сведения см. в разделе "Настройка настраиваемой политики доступа к данным" для приложения.

1. В портале Azure выберите экземпляр Кэш Azure для Redis, в котором вы хотите добавить конфигурацию доступа к данным.

2. On the Resource menu, select Data Access Configuration.

3. Select Add and then select New Redis User.

4. On the Access Policies tab, select one of the available policies in the table: Data Owner, Data Contributor, or Data Reader. Затем выберите Далее: пользователи Redis.

   

5. Выберите пользователя или учётную запись службы или Управляемое удостоверение, чтобы определить, как назначить доступ к экземпляру Кэша в Azure для Redis. Если вы выберете пользователя или учетную запись службы и хотите добавить пользователя, сначала необходимо включить аутентификацию Microsoft Entra.

6. Then, choose Select members and choose Select. Затем выберите Далее: Проверить и назначить.

   

7. Всплывающее диалоговое окно уведомляет вас о том, что обновление необратимо и может вызвать краткий прерыв подключения. Select Yes.

   Important

   После завершения операции включения узлы в экземпляре вашего кэша перезагружаются, чтобы загрузить новую конфигурацию. Мы рекомендуем выполнить эту операцию во время периода обслуживания или за пределами рабочих часов. Операция может занять до 30 минут.

Настройка использования Microsoft Entra в клиенте Redis

Так как большинство клиентов Кэш Azure для Redis предполагают, что для проверки подлинности используется пароль и ключ доступа, скорее всего, необходимо обновить рабочий процесс клиента для поддержки проверки подлинности с помощью Microsoft Entra. В этом разделе описано, как настроить клиентские приложения для подключения к Кэш Azure для Redis с помощью токена Microsoft Entra.

Рабочий процесс клиента Microsoft Entra

1. Настройте в клиентском приложении получение токена Microsoft Entra для области, https://redis.azure.com/.default или acca5fbb-b7e4-4009-81f1-37e38fd66d78/.default, с помощью библиотеки проверки подлинности Microsoft (MSAL).

2. Обновите логику подключения Redis, чтобы использовать следующие User и Password:

   • User = идентификатор объекта управляемого удостоверения или служебного принципала
   • Password = токен Microsoft Entra, полученный с помощью MSAL

3. Ensure that your client executes a Redis AUTH command automatically before your Microsoft Entra token expires by using:

   • User = идентификатор объекта управляемого удостоверения или служебного принципала
   • Password = токен Microsoft Entra периодически обновляется

Поддержка клиентских библиотек

Библиотека Microsoft.Azure.StackExchangeRedis — это расширение StackExchange.Redis, которое позволяет использовать Microsoft Entra для аутентификации подключений клиентского приложения Redis к Azure Cache для Redis. Данное расширение управляет токеном аутентификации, в том числе его обновлением до истечения срока действия, чтобы в течение нескольких дней непрерывно поддерживать подключение к Redis.

В этом примере кода показано, как использовать пакет NuGet для подключения к экземпляру Microsoft.Azure.StackExchangeRedis Кэш Azure для Redis с помощью Microsoft Entra.

В таблице ниже указаны ссылки на примеры кода. Они демонстрируют, как подключиться к экземпляру кэша Azure для Redis, используя токен Microsoft Entra. Включены различные клиентские библиотеки на разных языках.

Рекомендации по проверке подлинности Microsoft Entra

• Настройте приватные каналы или правила брандмауэра, которые защитят ваш кэш от атаки типа "отказ в обслуживании".
• Убедитесь, что клиентское приложение отправляет новый токен Microsoft Entra минимум за три минуты до истечения срока действия предыдущего токена, чтобы избежать разрыва подключения.
• При периодическом вызове команды сервера Redis AUTH рекомендуется добавить случайную задержку, чтобы AUTH команды были разнесены. Благодаря этому сервер Redis не будет одновременно получать слишком много команд AUTH.

Related content

• Настройка управления доступом на основе ролей с помощью политики доступа к данным
• Страницы справки по удостоверениям