1. Redis 安全配置的总体目标与风险点
1.1 风险点识别
在生产环境中，未认证访问可能成为攻击入口，默认没有加密和鉴权的 Redis 实例易遭受暴力破解和数据窃取。正确识别风险点是第一步，尤其要关注网络暴露、默认配置和日志可见性等方面。
通过分层防护，包括网络边界、认证和授权、传输加密，可以把潜在风险降到最低。运维应记录风险点、制定变更计划，并在测试环境进行演练。
1.2 安全基线要点
在设计安全基线时，务必围绕最小权限原则、强认证、和访问控制，确保任一环节被破坏时不会造成全域失控。
常见基线要点包括：关闭公网暴露、启用认证、最小权限用户，以及配合网络分段和监控告警以实现可观测性。
2. 从强密码到认证：实操步骤
2.1 设置强密码与认证基础
第一步是为 Redis 启用认证机制，在配置文件中设置requirepass对应的强密码，并确保密码具备长度、复杂度和定期轮换策略。
在实际配置中，应将强密码写入 redis.conf，并确保仅允许经过认证的客户端进行连接。
# redis.conf 示例
requirepass StrongP@ssw0rd!2025
2.2 使用 ACL 进行细粒度访问控制
尽管强密码提供基本认证，但多用户场景需要ACL（访问控制列表）来实现细粒度权限分离。通过为不同角色分配不同权限，可以将业务逻辑与运维操作分开，降低误操作和权限滥用的风险。
创建不同角色、分离权限，并结合最小权限原则进行日常运维。
# 为不同角色创建并配置权限
redis-cli ACL SETUSER deployer on >StrongP@ssw0rd123 ~* +@read +@write
redis-cli ACL SETUSER auditor on >AuditorP@ss ~* +@read# 查看当前 ACL 配置
redis-cli ACL LIST
3. 访问边界与网络安全：绑定、保护模式、命令重命名
3.1 绑定与保护模式
将 Redis 绑定到受控网络入口，并启用保护模式，以减少来自公网的未授权访问风险。若必须对外暴露，需配合认证与网络边界策略共同生效。
常见做法包括将监听地址限定为本地或特定网段，并结合防火墙与入侵检测进行综合防护。
bind 127.0.0.1
protected-mode yes
3.2 重命名危险命令以降低风险
为降低误操作与恶意利用的风险，可以对某些高危命令进行重命名或禁用，从而显著降低攻击面。
通过重命名或禁用关键命令，可以防止意外清空、配置暴露等严重后果。
rename-command FLUSHDB ""
rename-command FLUSHALL ""
rename-command CONFIG "config_disabled"
4. 使用 TLS 与网络加密：部署要点
4.1 启用 TLS 传输加密
在面对公网与跨区域网络时，TLS 提供的数据传输层加密是保障数据安全的核心手段之一，能够抵御中间人攻击与窃听。
实现 TLS 需要在 Redis 配置中指定证书、私钥和证书颁发机构，并开启专用的 TLS 端口。
# TLS 相关配置
port 0
tls-port 6380
tls-cert-file /etc/redis/ssl/redis.crt
tls-key-file /etc/redis/ssl/redis.key
tls-ca-cert-file /etc/redis/ssl/ca.crt
tls-auth-clients yes
4.2 证书与密钥管理要点
TLS 的有效性依赖于证书与密钥的正确管理，包括定期轮换、密钥保护和最小权限的证书分发策略。务必采用受信任的证书机构签发的证书，避免在生产环境中长期使用自签证书。
此外，结合 ACL 与 TLS，可以实现基于身份的强制加密访问控制，进一步提升整体安全性。
