文档中心

缓存数据库 Redis 版

账号与访问授权

创建角色

缓存数据库 Redis 版支持自定义角色权限，您可以根据业务需要，创建新的角色并赋予不同的权限，实现数据库的精细化管理，提升数据安全性。本文介绍如何创建角色。

前提条件

实例状态需为运行中。关于实例状态的更多详情，请参见实例状态。

注意事项

缓存数据库 Redis 版支持通过 disabled-commands 参数来设置禁用命令，且默认情况下禁用了 keys、flushdb 和 flushall 命令，因此如果您的账号角色不包含上述这些禁用命令的权限，即使 disabled-commands 参数中移除了上述命令，也无法执行。关于禁用命令的更多说明，请参见禁用命令说明。

每个 Redis 实例默认最多可拥有 100 个角色。若需要创建更多角色，请提交工单联系技术支持修改相关参数。

ACL 语法

缓存数据库 Redis 版将所有支持的命令根据一定的规则进行了分组，每个分组即为一个命令类（Command Category），您可以使用 ACL（Access Control Lists）语法为角色授予指定命令或命令类的调用权限。

说明

缓存数据库 Redis 版支持的命令类以及每种命令类下包含的具体命令详情，请参见 Redis 控制台创建角色对话框内的详细说明。

语法规则

缓存数据库 Redis 版的 ACL 语法规则如下：

每条 ACL 规则都必须以 + 或 - 开头，+ 或 - 后可以加上指定的命令或命令类，其中：

+：表示允许调用某些命令或命令类。例如 +@all 表示允许调用所有命令。

-：表示禁止调用某些命令或命令类。例如 -@dangerous 表示禁止调用 dangerous 命令类中的所有命令。

命令类前面必须使用 @ 表示，便于和具体的命令作区分。例如：

指定命令类：例如 +@read 表示允许调用 read 命令类中的所有命令。

指定具体命令：例如 -get 表示仅禁止调用 get 命令。

命令和命令类中可以包含小写字母、数字、下划线（_）或英文点号（.），长度为 1~50 个字符。

缓存数据库 Redis 版默认为所有角色的 ACL 规则自动添加 ~* 语法，表示可以访问所有 key 和 channel。

不支持使用 ~<key> 语法来访问指定 key。

默认角色的 ACL 规则

缓存数据库 Redis 版默认提供了 Administrator、NotDangerous、ReadWrite 、ReadOnly 、NotWrite 五种角色，每种角色的 ACL 规则不同，支持的权限也不同。下表以默认的五种角色为例介绍角色的 ACL 规则设置方法。

说明

下表中默认角色所支持的命令支持情况，以升级至最新内核小版本的未启用分片集群实例为准，部分命令需要升级到指定小版本才可使用，部分命令在启用分片集群实例中不支持使用。更多详情，请参见数据库小版本发布日志和命令支持。

原生 Redis 提供了 V1 和 V2 两个版本的 ACL 规则。在缓存数据库 Redis 版中，Proxy 版本号小于或等于 proxy_version_1.21.0 的 Redis 实例默认采用 ACL V1 规则，大于 proxy_version_1.21.0 的 Redis 实例默认采用 ACL V2 规则。

您可以在实例信息页签下查看实例的数据库的小版本信息，具体操作步骤，请参见查看实例信息。

下表汇总了默认角色在 V1 和 V2 版本的 ACL 规则差异详情，以供参考。

Administrator

NotDangerous

ReadWrite

ReadOnly

NotWrite

默认角色名称	ACL 规则详情	当前角色包含或除外的具体命令
			ACL V1	ACL V2
Administrator	+@all ~*	选择了 Administrator 角色的账号，允许对所有 key 使用缓存数据库 Redis 版已支持的所有命令。具体详情，请参见命令支持。

默认角色名称	ACL 规则详情	当前角色包含或除外的具体命令
默认角色名称	ACL 规则详情			ACL V1	ACL V2
ReadOnly	+@read ~*	选择了 ReadOnly 角色的账号，允许对所有 key 使用 read 类中的所有命令。其中 read 类命令包括如下具体命令： Bitmap BITCOUNT、BITFIELD_RO、BITPOS、GETBIT Connection management ECHO Generic OBJECT 相关命令、DUMP、EXISTS、EXPIRETIME、KEYS、PEXPIRETIME、PTTL、RANDOMKEY、SCAN、TOUCH、TTL、TYPE Geospatial indices GEODIST、GEOHASH、GEOPOS、GEORADIUS_RO、GEORADIUSBYMEMBER_RO、GEOSEARCH Hash HEXISTS、HGET、HGETALL、HKEYS、HLEN、HMGET、HRANDFIELD、HSCAN、HSTRLEN、HVALS HyperLogLog PFCOUNT List LINDEX、LLEN、LPOS、LRANGE Scripting and functions EVAL_RO、EVALSHA_RO、FCALL_RO Server management MEMORY 相关命令、DBSIZE、INFO、LASTSAVE、LOLWUT、ROLE、TIME Set SCARD、SDIFF、SINTER、SINTERCARD、SISMEMBER、SMEMBERS、SMISMEMBER、SRANDMEMBER、SSCAN、SUNION Sorted set ZCARD、ZCOUNT、ZDIFF、ZINTER、ZINTERCARD、ZLEXCOUNT、ZMSCORE、ZRANDMEMBER、ZRANGE、ZRANGEBYLEX、ZRANGEBYSCORE、ZRANK、ZREVRANGE、ZREVRANGEBYLEX、ZREVRANGEBYSCORE、ZREVRANK、ZSCAN、ZSCORE、ZUNION Stream XINFO、XLEN、XPENDING、XRANGE、XREAD、XREVRANGE String GET、GETRANGE、LCS、MGET、STRALGO、STRLEN	选择了 ReadOnly 角色的账号，允许对所有 key 使用 read 类中的所有命令。其中 read 类命令包括如下具体命令： Bitmap BITCOUNT、BITFIELD_RO、BITPOS、GETBIT Generic DUMP、EXISTS、EXPIRETIME、KEYS、PEXPIRETIME、PTTL、RANDOMKEY、SCAN、SORT_RO、TOUCH、TTL、TYPE Geospatial indices GEODIST、GEOHASH、GEOPOS、GEORADIUS_RO、GEORADIUSBYMEMBER_RO、GEOSEARCH、 Hash HEXISTS、HGET、HGETALL、HKEYS、HLEN、HMGET、HRANDFIELD、HSCAN、HSTRLEN、HVALS HyperLogLog PFCOUNT List LINDEX、LLEN、LPOS、LRANGE Server management DBSIZE、LOLWUT Set SCARD、SDIFF、SINTER、SINTERCARD、SISMEMBER、SMEMBERS、SMISMEMBER、SRANDMEMBER、SSCAN、SUNION Sorted set ZCARD、ZCOUNT、ZDIFF、ZINTER、ZINTERCARD、ZLEXCOUNT、ZMSCORE、ZRANDMEMBER、ZRANGE、ZRANGEBYLEX、ZRANGEBYSCORE、ZRANK、ZREVRANGE、ZREVRANGEBYLEX、ZREVRANGEBYSCORE、ZREVRANK、ZSCAN、ZSCORE、ZUNION Stream XLEN、XPENDING、XRANGE、XREAD、XREVRANGE String GET、GETRANGE、LCS、MGET、STRLEN

默认角色名称	ACL 规则详情	当前角色包含或除外的具体命令
			ACL V1	ACL V2
NotWrite	+@all -@write ~*	选择了 NotWrite 角色的账号，允许对所有 KEY 使用除 write 类之外的所有命令。支持的具体命令如下： Bitmap bitcount、bitfield_ro、bitpos、getbit Connection management auth、client、client\|caching、client\|getname、client\|getredir、client\|help、client\|id、client\|info、client\|list、client\|reply、client\|setinfo、client\|setname、client\|tracking、client\|trackinginfo、echo、hello、ping、quit、readonly、readwrite、select Generic dump、exists、expiretime、keys、object、object\|encoding、object\|freq、object\|help、object\|idletime、object\|refcount、pexpiretime、pttl、randomkey、scan、sort_ro、touch、ttl、type、wait Geospatial indices geodist、geohash、geopos、georadius_ro、georadiusbymember_ro、geosearch Hash hexists、hget、hgetall、hkeys、hlen、hmget、hrandfield、hscan、hstrlen、hvals HyperLogLog pfcount List lindex、llen、lpos、lrange Pub/Sub psubscribe、publish、pubsub、pubsub\|channels、pubsub\|help、pubsub\|numpat、pubsub\|numsub、pubsub\|shardchannels、pubsub\|shardnumsub、punsubscribe、spublish、ssubscribe、subscribe、sunsubscribe、unsubscribe Scripting and functions eval_ro、evalsha_ro、fcall、fcall_ro、function、function\|dump、function\|help、function\|kill、function\|list、function\|stats、script、script\|exists、script\|flush、script\|help、script\|kill、script\|load Server management command、command\|count、command\|docs、command\|getkeys、command\|getkeysandflags、command\|help、command\|info、command\|list、config、config\|get、config\|help、config\|resetstat、config\|set、dbsize、info、lastsave、latency、latency\|doctor、latency\|graph、latency\|help、latency\|histogram、latency\|history、latency\|latest、latency\|reset、lolwut、memory、memory\|doctor、memory\|help、memory\|malloc-stats、memory\|purge、memory\|stats、memory\|usage、monitor、role、slowlog、slowlog\|get、slowlog\|help、slowlog\|len、slowlog\|reset、time Set scard、sdiff、sinter、sintercard、sismember、smembers、smismember、srandmember、sscan、sunion Sorted set zcard、zcount、zdiff、zinter、zintercard、zlexcount、zmscore、zrandmember、zrange、zrangebylex、zrangebyscore、zrank、zrevrange、zrevrangebylex、zrevrangebyscore、zrevrank、zscan、zscore、zunion Stream xgroup、xgroup\|help、xinfo、xinfo\|consumers、xinfo\|groups、xinfo\|help、xinfo\|stream、xlen、xpending、xrange、xread、xrevrange、get、getrange、lcs、mget、strlen、substr Transactions discard、exec、multi、unwatch、watch

操作步骤

在顶部菜单栏的左上角，选择实例所属的项目和地域。

在实例列表页，单击目标实例的名称。

在实例详情页，单击账号管理页签。

在账号管理页签下，再单击角色页签。

在角色页签下，单击创建角色，在弹出的对话框中，配置如下参数。

说明

角色创建后，暂不支持编辑或删除角色。默认允许用户访问所有的 key 和 channel。

参数	说明
角色名称	角色名称需同时满足以下条件：由小写字母、连字符（-）、数字组成。以字母开头，以字母或数字结尾。长度为 2~63 个字符。
ACL 规则	设置角色的 ACL 规则。输入 ACL 规则后，使用空格键或 Enter 键即可生成规则。支持一次输入多条规则。关于 ACL 规则的具体说明，请参见 ACL 语法规则。

单击确定。

后续操作

角色创建成功后，您可以在创建账号时，根据业务需要为账号选择合适的角色，实现数据库的精细化管理，提升数据安全性。更多详情，请参见创建与管理账号。

API	描述
CreateDBAccount	调用 CreateDBAccount 接口为目标 Redis 实例创建账号。
DescribeDBInstanceAclCommands	调用 DescribeDBInstanceAclCommands 接口查询目标 Redis 实例中指定命令类别支持的命令列表。
DescribeDBInstanceAclCategories	调用 DescribeDBInstanceAclCategories 接口查询目标 Redis 实例支持的命令类别。