Redis 生产安全指南：ACL 权限、TLS 加密与审计日志

# 在线修改密码（立即生效，不重启）
redis-cli AUTH MyStr0ngP@ssw0rd!2026
redis-cli CONFIG SET requirepass "NewStr0ngP@ssw0rd!2026"

# 同步修改副本的 masterauth
redis-cli CONFIG SET masterauth "NewStr0ngP@ssw0rd!2026"

# 确保写入配置文件持久化
redis-cli CONFIG REWRITE

# 列出所有用户
redis-cli ACL LIST

# 典型输出：
# user default on nopass ~* &* +@all
# user app_backend on #e3b0c44298... ~app:* +@read +@write ~* -@dangerous

# 1. 重置默认用户，移除 nopass
redis-cli ACL SETUSER default on >'MyStr0ngP@ssw0rd!2026' ~* +@all

# 2. 创建只读应用用户（只能读 app: 前缀的 Key）
redis-cli ACL SETUSER app_reader on >'ReaderP@ss123' ~app:* resetchannels +@read

# 3. 创建读写应用用户
redis-cli ACL SETUSER app_writer on >'WriterP@ss456' ~app:* resetchannels +@read +@write

# 4. 创建缓存用户（仅字符串操作）
redis-cli ACL SETUSER cache_user on >'CacheP@ss789' ~cache:* resetchannels +get +set +del +expire +ttl +mget +mset

# 5. 创建队列用户（仅限 List/Stream 操作）
redis-cli ACL SETUSER queue_user on >'QueueP@ss000' ~queue:* resetchannels +@list +@stream

# 6. 创建哨兵用户（仅监控相关命令）
redis-cli ACL SETUSER sentinel_user on >'Sentine1P@ss' +@sentinel +ping +info +role +config|get

# 7. 禁用用户
redis-cli ACL SETUSER old_app off

# 8. 删除用户
redis-cli ACL DELUSER old_app

# 查看所有分类及命令数
redis-cli ACL CAT

# 查看某个分类包含的命令
redis-cli ACL CAT read
redis-cli ACL CAT write
redis-cli ACL CAT admin
redis-cli ACL CAT dangerous
redis-cli ACL CAT fast

# 允许所有读写，但禁用危险命令
redis-cli ACL SETUSER app_safe on >'SafeP@ss123' ~app:* +@all -@dangerous

# 允许读全部，写仅限特定前缀，禁用 CONFIG
redis-cli ACL SETUSER app_mixed on >'MixedP@ss456' +@read +@write ~app:* -config -config|set -config|get

# 仅允许字符串和 List 操作
redis-cli ACL SETUSER app_limited on >'LimitP@ss789' ~* +@string +@list -@all

# 允许特定命令的精确控制
redis-cli ACL SETUSER app_precise on >'PreciseP@ss' ~data:* +get +set +hget +hset +lpush +lrange +del +expire +ttl -@all

# 添加多个 Key 前缀模式
redis-cli ACL SETUSER app_multi on >'MultiP@ss' ~app:* ~session:* ~cache:* +@read +@write

# 使用 ALLKEYS 和 ALLCOMMANDS 简写
redis-cli ACL SETUSER admin_user on >'AdminP@ss123' allkeys allchannels +@all

# 使用 %R 和 %W 前缀只读/只写模式（Redis 7.0+）
# 允许读取所有 app: 开头的 Key，但不能写入
redis-cli ACL SETUSER app_readonly on >'RO_P@ss123' %R~app:* +@read

# 允许写入，但不能读取某些敏感字段
redis-cli ACL SETUSER app_writeonly on >'WO_P@ss456' %W~app:* +@write

# 方式一：从 ACL 文件加载
# redis.conf 中配置
aclfile /etc/redis/users.acl

# users.acl 内容示例：
user default on #e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 ~* &* +@all
user app_reader on >'ReaderP@ss123' ~app:* resetchannels +@read
user app_writer on >'WriterP@ss456' ~app:* resetchannels +@read +@write -@dangerous
user monitor on >'Monit0rP@ss' +info +ping +slowlog|get +memory|usage +client|list
user replication on >'Repl1caP@ss' +psync +replconf +ping

# 方式二：动态保存 ACL 到文件
redis-cli ACL SAVE

# 动态从文件加载
redis-cli ACL LOAD

# 将当前 ACL 生成配置文件格式输出
redis-cli ACL GENPASS 32
redis-cli ACL GETUSER app_writer

# 1. 先创建新用户测试
redis-cli ACL SETUSER test_user on >'TestP@ss' ~test:* +@read +@write

# 2. 使用 ACL DRYRUN 测试权限（Redis 7.0+）
redis-cli ACL DRYRUN app_writer SET app:key1 value1
# 返回 OK 表示允许

redis-cli ACL DRYRUN app_reader SET app:key1 value1
# 返回 (error) NOPERM 表示拒绝

# 3. 查看用户权限详情
redis-cli ACL GETUSER app_writer

# 4. 查看当前登录用户
redis-cli ACL WHOAMI

# 5. 密码哈希存储（更安全）
redis-cli ACL SETUSER app_hash on #d2d2d2d2... ~app:* +@read +@write
# 使用 # 后跟 SHA-256 哈希值代替明文密码

# 创建 CA 和服务器证书
mkdir -p /etc/redis/certs && cd /etc/redis/certs

# 1. 生成 CA 私钥和证书
openssl req -x509 -newkey rsa:4096 -keyout ca.key -out ca.crt \
  -sha256 -days 3650 -nodes \
  -subj "/CN=Redis CA/O=MyOrg"

# 2. 生成服务器私钥
openssl genrsa -out redis.key 4096

# 3. 创建证书签名请求（CSR）
openssl req -new -key redis.key -out redis.csr \
  -subj "/CN=redis.example.com/O=MyOrg"

# 4. 创建扩展配置（SAN 包含 IP 和域名）
cat > redis.ext << EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage=digitalSignature,keyEncipherment
extendedKeyUsage=serverAuth
subjectAltName=@alt_names

[alt_names]
DNS.1=redis.example.com
DNS.2=*.redis.example.com
IP.1=127.0.0.1
IP.2=192.168.1.100
IP.3=10.0.0.5
EOF

# 5. 使用 CA 签发服务器证书
openssl x509 -req -in redis.csr -CA ca.crt -CAkey ca.key \
  -CAcreateserial -out redis.crt -days 365 -sha256 \
  -extfile redis.ext

# 6. 设置正确权限
chmod 600 redis.key ca.key
chmod 644 redis.crt ca.crt
chown -R redis:redis /etc/redis/certs

# redis-cli 使用 TLS 连接
redis-cli --tls \
  --cert ./client.crt \
  --key ./client.key \
  --cacert ./ca.crt \
  -h redis.example.com -p 6380 \
  AUTH app_writer WriterP@ss456

# Python 示例 (redis-py)
# pip install redis[ocsp]
"""
import redis

r = redis.Redis(
    host='redis.example.com',
    port=6380,
    ssl=True,
    ssl_certfile='./client.crt',
    ssl_keyfile='./client.key',
    ssl_ca_certs='./ca.crt',
    ssl_check_hostname=True,
    username='app_writer',
    password='WriterP@ss456'
)
r.ping()
"""

# Go 示例 (go-redis)
"""
import (
    "crypto/tls"
    "crypto/x509"
    "github.com/redis/go-redis/v9"
)

func NewRedisClient() *redis.ClusterClient {
    cert, _ := tls.LoadX509KeyPair("client.crt", "client.key")
    caCert, _ := os.ReadFile("ca.crt")
    caCertPool := x509.NewCertPool()
    caCertPool.AppendCertsFromPEM(caCert)

    return redis.NewClusterClient(&redis.ClusterOptions{
        Addrs: []string{"redis.example.com:6380"},
        TLSConfig: &tls.Config{
            Certificates: []tls.Certificate{cert},
            RootCAs:      caCertPool,
            ServerName:   "redis.example.com",
        },
        Username: "app_writer",
        Password: "WriterP@ss456",
    })
}
"""

# iptables - 仅允许特定 IP 访问 Redis 端口
iptables -A INPUT -p tcp --dport 6379 -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -j DROP

# firewalld
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/24" port protocol="tcp" port="6379" accept'
firewall-cmd --permanent --remove-service=redis  # 移除默认允许
firewall-cmd --reload

# UFW
ufw allow from 10.0.0.0/24 to any port 6379 proto tcp
ufw deny 6379

# 云安全组（AWS/阿里云/腾讯云示例规则）
# 入站规则：
# - 协议 TCP，端口 6379，来源 10.0.0.0/16（应用服务器子网）
# - 协议 TCP，端口 16379，来源 10.0.0.0/16（集群总线端口）
# - 拒绝所有其他来源

# 使用重命名后的命令
redis-cli a3b9f2e7d1c8x0w5v4q6 GET maxclients
redis-cli z8k2m7n1p0o4i5u3y6t9 NOSAVE

# 查看最近的 ACL 拒绝日志
redis-cli ACL LOG

# 查看指定条数的日志（最多 128 条，默认可配置）
redis-cli ACL LOG 10

# 清空 ACL 日志
redis-cli ACL LOG RESET

# 1) 1) "entry"
#    2) 1) "count"
#       2) (integer) 5          # 该事件触发次数
#       3) "reason"
#       4) "command"
#       5) "context"
#       6) "toplevel"
#       7) "object"
#       8) "flushall"
#       9) "username"
#      10) "app_reader"
#      11) "age-seconds"
#      12) "12.345"
#      13) "client-info"
#      14) "id=7 addr=10.0.0.25:54321..."
#      15) "entry-id"
#      16) (integer) 42

# 将 ACL LOG 接入日志收集系统
#!/bin/bash
# acl-log-monitor.sh

while true; do
    LOGS=$(redis-cli --raw ACL LOG 1)
    if [ -n "$LOGS" ]; then
        echo "$(date '+%Y-%m-%d %H:%M:%S') ALERT: ACL Denial Detected"
        echo "$LOGS" | logger -t redis-acl-denial
        # 发送到企业微信/钉钉/飞书机器人
        # curl -X POST ....
    fi
    sleep 10
done

# Python 监控脚本
import redis
import json
import time

r = redis.Redis(host='localhost', port=6379, decode_responses=True)

last_entry_id = 0

while True:
    logs = r.acl_log(count=10)
    for entry in logs:
        entry_id = entry.get('entry-id', 0)
        if entry_id > last_entry_id:
            print(f"[ALERT] ACL Denied: user={entry['username']} "
                  f"reason={entry['reason']} object={entry['object']} "
                  f"client={entry['client-info']}")
            # 发送到 SIEM 或告警系统
            last_entry_id = entry_id
    time.sleep(5)

# 实时输出所有执行的命令（性能开销大，仅用于调试）
redis-cli MONITOR

# 输出示例：
# 1691881234.567890 [0 10.0.0.25:54321] "GET" "app:user:12345"
# 1691881234.568012 [0 10.0.0.25:54322] "HGETALL" "app:config:default"
# 1691881234.570123 [0 10.0.0.25:54321] "SET" "app:session:abc" "xxx" "EX" "3600"

# MONITOR 的安全使用方法
# 1. 限制只有管理员能执行 MONITOR
redis-cli ACL SETUSER admin on >'AdminP@ss' allkeys +monitor +client|kill +client|list

# 2. 配合 timeout 限制监控时长
redis-cli --raw MONITOR | head -n 1000 > redis_monitor_$(date +%Y%m%d_%H%M%S).log

# 3. 过滤特定命令
redis-cli MONITOR | grep -E '"(FLUSHALL|CONFIG|DEBUG|KEYS)"'

# 查看慢查询日志（默认 >10ms）
redis-cli SLOWLOG GET 20

# 配置慢查询阈值（微秒）
redis-cli CONFIG SET slowlog-log-slower-than 5000  # 5ms
redis-cli CONFIG SET slowlog-max-len 1024

# 清空慢查询日志
redis-cli SLOWLOG RESET

# rsyslog 配置 (/etc/rsyslog.d/50-redis.conf)
local0.* /var/log/redis/redis-audit.log

# logrotate 配置 (/etc/logrotate.d/redis)
/var/log/redis/*.log {
    daily
    missingok
    rotate 30
    compress
    delaycompress
    notifempty
    create 644 redis redis
    sharedscripts
    postrotate
        /bin/kill -HUP $(cat /var/run/redis/redis-server.pid 2>/dev/null) >/dev/null 2>&1
    endscript
}

# Filebeat 配置，将 Redis 日志发送到 Elasticsearch
filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/redis/redis-server.log
    - /var/log/redis/redis-audit.log
  fields:
    service: redis
    environment: production
  fields_under_root: true

output.elasticsearch:
  hosts: ["https://es-cluster:9200"]
  index: "redis-audit-%{+yyyy.MM.dd}"

# Kibana 中创建可视化看板：
# - ACL 拒绝事件趋势图
# - 慢查询 Top 10
# - 命令分布饼图
# - 异常 IP 访问热力图

# 1. Redis 官方安全公告
# https://github.com/redis/redis/security/advisories

# 2. 邮件订阅
# 关注 Redis 官方 GitHub Releases 的 Watch -> Security alerts

# 3. NVD 国家漏洞数据库
# https://nvd.nist.gov/vuln/search/results?query=redis

# 4. 自动化漏洞扫描
# Clair、Trivy、Snyk、OpenVAS 等工具扫描 Redis 镜像与二进制

# 使用 Trivy 扫描
$ trivy image redis:7.2
$ trivy filesystem /usr/local/bin/redis-server

# === 阶段一：测试验证 ===
# 1. 在测试环境部署新版本
docker run --rm -d --name redis-test redis:7.4.0 redis-server

# 2. 运行功能回归测试
redis-benchmark -h redis-test -p 6379 -n 100000 -c 50

# 3. 验证数据持久化兼容性
redis-cli SAVE
# 对比 RDB/AOF 文件是否正常

# 4. 验证主从复制正常
redis-cli INFO replication
# 确认 master_link_status:up

# === 阶段二：金丝雀发布 ===
# 5. 先升级一个副本节点
#    修改配置文件指向新版本二进制
#    重启该副本，观察复制状态

# === 阶段三：滚动升级 ===
# 6. Sentinel 模式下逐台升级副本
#    升级后 sentinel 自动发现新版本

# 7. Cluster 模式下一个节点一个节点升级
#    使用 redis-cli --cluster 管理节点替换

# === 阶段四：主库切换 ===
# 8. 手动故障转移将主库降级为副本
redis-cli SENTINEL failover mymaster

# 9. 升级原主库
# 10. 观察新主库稳定运行 24 小时

# === 阶段五：回滚预案 ===
# 11. 保留旧版本二进制和配置文件 7 天
# 12. 保留升级前 RDB 备份

# 对于高危 CVE 需要紧急修复但无法立即重启时：

# 1. 使用 rename-command 临时禁用受影响命令
redis-cli CONFIG SET rename-command FLUSHALL ""
redis-cli CONFIG SET rename-command DEBUG ""
redis-cli CONFIG REWRITE

# 2. 通过防火墙限制访问
iptables -A INPUT -p tcp --dport 6379 -j DROP
# 仅允许白名单 IP
iptables -I INPUT -p tcp --dport 6379 -s 10.0.0.0/24 -j ACCEPT

# 3. 修改 ACL 降低暴露面
redis-cli ACL SETUSER default -@all +@read +ping +info

# 4. 启用审计，密切监控
# 开启 MONITOR（短时）或加强 ACL LOG 监控频率