ElastiCache Serverless for Valkeyでdefaultユーザーのパスワード認証をしてみた
ElastiCache Serverless for Valkeyでもユーザーを指定せずに認証を行いたい
こんにちは、のんピ(@non____97)です。
皆さんはElastiCache Serverless for Valkeyでもユーザーを指定せずに認証を行いたいなと思ったことはありますか? 私はあります。
ノードベースのElastiCache for Valkey (Redis含む) ではアクセスコントロールとして以下を指定することができます。
- アクセスコントロールがありません
- 認証デフォルトユーザーアクセス
- ユーザーグループのアクセスコントロールリスト
一方、ElastiCache Serverless for Valkeyでは、「認証デフォルトユーザーアクセス」(AUTH方式)を選択することはできません。
使用するアプリケーションによっては認証を行う際に、Valkey(Redis含む)のユーザーを指定することができません。かと言って、認証レスで使用するのも気になるでしょう。
対応としては、defaultという名前のユーザー名をdefault以外の任意のIDで作成し、割り当てることで対応可能です。
実際にやってみます。
やってみた
defaultユーザーの作成
それではdefaultユーザーの作成をします。
defaultというIDで、defaultという名前のユーザーはデフォルトで作成されています。このユーザーにパスワードを設定したり、やBACで使用するアクセス文字列はカスタマイズしたりすことはできません。
ユーザー名はユーザーグループ内で重複しなければ良いです。そのため、defaultというユーザー名のユーザーを作成します。
今回はユーザーIDはdefault-valkeyにしました。
作成後は以下のようになります。
ユーザーグループの作成
次にユーザーグループの作成をします。
default-valkeyというユーザーグループにしました。また、先ほど作成したdefault-valkeyユーザーも指定します。
作成後は以下のようになります。
ElastiCache Serverlessの作成
ElastiCache Serverlessの作成を行います。
アクセスコントロールで先ほど作成したユーザーグループを指定しました。
作成完了後は以下のようになります。
認証
Amazon Linux 2023のEC2インスタンスを用意し、作成したElastiCache for Valkeyに接続します。
まず、Valkeyのインストールをします。
$ sudo dnf install valkey
Last metadata expiration check: 0:03:58 ago on Mon Mar 2 05:26:51 2026.
Dependencies resolved
========================================================================================================================================
Package Architecture Version Repository Size
========================================================================================================================================
Installing:
valkey x86_64 8.0.6-3.amzn2023.0.2 amazonlinux 1.6 M
Transaction Summary
========================================================================================================================================
Install 1 Package
Total download size: 1.6 M
Installed size: 5.8 M
Is this ok [y/N]: y
Downloading Packages:
valkey-8.0.6-3.amzn2023.0.2.x86_64.rpm 14 MB/s | 1.6 MB 00:00
----------------------------------------------------------------------------------------------------------------------------------------
Total 10 MB/s | 1.6 MB 00:00
Running transaction check
Transaction check succeeded.
Running transaction test
Transaction test succeeded.
Running transaction
Preparing : 1/1
Running scriptlet: valkey-8.0.6-3.amzn2023.0.2.x86_64 1/1
Installing : valkey-8.0.6-3.amzn2023.0.2.x86_64 1/1
Running scriptlet: valkey-8.0.6-3.amzn2023.0.2.x86_64 1/1
Verifying : valkey-8.0.6-3.amzn2023.0.2.x86_64 1/1
Installed:
valkey-8.0.6-3.amzn2023.0.2.x86_64
Complete!
$ val
validatetrans valkey-benchmark valkey-check-aof valkey-check-rdb valkey-cli valkey-sentinel valkey-server
Valkeyのクライアントのみをインストールしたい場合は以下記事を参考にしてください。
それでは接続します。
$ valkey-cli -h valkey-pvjbiy.serverless.use1.cache.amazonaws.com --tls
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> key *
(error) ERR unknown command 'key', with args beginning with:*
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> scan 0
(error) NOAUTH Authentication required.
scan 0を実行しましたが、認証が必須とエラーになりました。
認証を行います。
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> AUTH <default-valkeyユーザーの認証情報>
OK
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> scan 0
1) "0"
2) (empty array)
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> set author non-97
OK
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> scan 0
1) "0"
2) 1) "author"
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> get author
"non-97"
すると、今度は正常にクエリの実行ができました。
認証時にユーザー名は指定せずに認証できていることが分かります。
default という名前のユーザーを削除して、代わりのユーザーを追加した場合
default という名前のユーザーを削除して、代わりのユーザーを追加した場合の挙動を確認します。
defaultというユーザー名が存在せず、ユーザーグループ内にユーザーが1つしかない場合は、その1つのユーザーがデフォルトユーザー扱いになるのでしょうか。
non-97というユーザーを作成しました。
default-valkeyユーザーグループにて、defaultユーザーを削除し、non-97ユーザーを追加しました。
この状態で再度ElastiCacheに接続するところから行います。
$ valkey-cli -h valkey-pvjbiy.serverless.use1.cache.amazonaws.com --tls -a '<non-97の認証情報>'
Warning: Using a password with '-a' or '-u' option on the command line interface may not be safe.
AUTH failed: WRONGPASS invalid username-password pair or user is disabled.
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> AUTH <non-97の認証情報>
(error) WRONGPASS invalid username-password pair or user is disabled.
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> AUTH non-97 <non-97の認証情報>
OK
valkey-pvjbiy.serverless.use1.cache.amazonaws.com:6379> scan 0
1) "0"
2) 1) "author"
はい、明示的にユーザー名を使用しなければ認証できませんでした。
ということで、defaultというユーザー名がなければ、自動でデフォルトユーザー扱いになるということはありません。
アプリケーションがValkeyのRBACをサポートしていないからといって、ElastiCache Serverlessを諦める必要はない
ElastiCache Serverless for Valkeyでもユーザーを指定せずに認証を行ってみました。
アプリケーションがValkeyのRBACをサポートしていないからといって、ElastiCache Serverlessを諦める必要はありません。
一部のValkeyクライアントがRBACをサポートしていない場合は、ユーザー名がdefaultのRBACアクセス文字列で必要最低限の操作しかできないように絞ってしまうのも良いでしょう。
RBAC周りは以下AWS公式ドキュメントが参考になります。
この記事が誰かの助けになれば幸いです。
以上、クラウド事業本部 コンサルティング部の のんピ(@non____97)でした!
