Redis配置只读账号实现方式方式实用指南

佚名 2026-08-27 18:50:01

平时做技术实践时，很多问题不是概念不会，而是细节没串起来。拿“Redis配置只读账号实现方法方式”来说，它看着像小点，放到项目里常会牵出环境、配置、兼容性和维护成本。下面按实际采用顺序，把思路、关键写法和容易踩坑的地方讲清楚，便于大家直接对照操作。

一、需求说明

实际处理时，作为一名运维工程师，经常安装和设置redis，前阵子有测试同事申请开一个redis的只读账户，以往都是设置一个读写用户，同时没有对redis的权限进行细化管理，实际上这种场景是存在的。

实际处理时，Redis作为高性能的内存数据库，承载着缓存、会话存储、消息队列等关键功能。

在这个场景下，随着团队规模的扩大和微服务架构的普及，不同服务或团队对Redis的访问权限需求各不相同。典型场景包括：

监控系统需读取性能指标，但不应修改数据
数据分析团队需查询数据，但不应影响生产环境
开发人员在调试时需查看数据，但不应意外修改
第三方服务需访问特定数据，但权限应受限制

落到代码里，设置只读账号正是为了解决这类权限分离需求，借助最小权限原则降低数据意外修改或删除的风险。

二、Redis账号介绍：ACL系统

理解这一步时，自Redis 6.0起，建议采用Redis 6.2或更高版本，引入了更完善的ACL（Access Control List）系统，取代了之前的轻松密码认证。Redis ACL兼容：

用户管理：新建多个用户账号
命令控制：精确控制每个用户可执行的命令
键空间控制：限制可访问的键模式
权限类别：读、写、管理等多种权限类型

1、命令举例

user admin on >admin_password ~* &* +@all
user readonly on >readonly_password ~* -@all +@read +ping +info

2、上述命令解析

命令类别：

+@read：允许所有读命令
-@all：禁止所有命令（作为起点）
+get：允许get命令
+info：允许info命令

键模式

~*：允许访问所有键
~cache:*：仅允许访问以cache:开头的键
~user:*~session:*：允许访问多种模式

结合项目来看，博主这里的示例实验环境是redis7.2.11，版本。如果是只授权某个命令权限或者某类命令权限，记得-@all命令要先写，后面跟上需设置的命令授权。

[root@ywserver ~]# redis-cli --version
redis-cli 7.2.11

三、设置方式及设置示例

1、借助Redis CLI设置（临时）

实际处理时，先设置一个只读用户，用只读账户连接测试，我们就能够发现这个用户能够执行get，exists等只读命令，但是不能执行set等写入命令。

127.0.0.1:6379>ACL SETUSER readonly on >readonly_password ~* -@all +@read

2、借助设置文件（永久生效）

在这个场景下，借助Redis CLI设置账户及授权在当前服务进程生效，redis重启后账户设置及授权就丢失了。

结合项目来看，如果需永久生效我们需在/etc/redis.conf设置文件中进行设置，添加如下所示一行设置之后重启redis。

若用户需远程连接，记得加上+@connection权限。

user readuser on >user123 ~* &* -@all +@read +@connection

3、借助ACL文件管理

理解这一步时，为便于便于管理用户，我们能够指定users.acl作为用户权限设置管理文件，这样的好处是修改了users.acl之后我们能够借助ACL LOAD热加载设置文件，不需重启redis。

[root@ywserver ~]# mkdir -p /etc/redis
[root@ywserver ~]# vim /etc/redis/users.acl
[root@ywserver ~]# systemctl restart redis
[root@ywserver ~]# cat /etc/redis.conf |grep users.acl
aclfile /etc/redis/users.acl
[root@ywserver ~]# cat /etc/redis/users.acl
user default off
user admin on >admin123 ~* &* +@all
user readuser on >user123 ~* -@all +@read +ping +info