如何在Kubernetes的Redis集群部署中启用数据库级认证

重要前提：Redis集群不支持多数据库 #

Redis集群模式（Cluster Mode）不支持db0以外的数据库，这是官方明确的设计限制，因此你提到的“数据库级别认证”在集群模式下无法实现，只能针对整个集群设置统一的密码认证。

Kubernetes中Redis集群的认证配置步骤 #

1. 创建存储密码的Secret #

将Redis密码存入Kubernetes Secret，避免明文泄露：

apiVersion: v1
kind: Secret
metadata:
  name: redis-cluster-secret
type: Opaque
data:
  redis-password: <base64编码的密码> # 生成方式：echo -n "your-secure-password" | base64

执行创建命令：

kubectl apply -f redis-secret.yaml

2. 配置Redis集群的ConfigMap #

创建ConfigMap定义集群核心配置，开启认证：

apiVersion: v1
kind: ConfigMap
metadata:
  name: redis-cluster-config
data:
  redis.conf: |
    cluster-enabled yes
    cluster-config-file nodes.conf
    cluster-node-timeout 5000
    appendonly yes
    # 从环境变量注入密码（更安全）
    requirepass $(REDIS_PASSWORD)
    masterauth $(REDIS_PASSWORD) # 主从同步需要的密码，与requirepass一致

3. 在StatefulSet中挂载配置与Secret #

在Redis集群的StatefulSet模板中，挂载ConfigMap并注入密码环境变量：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: redis-cluster
spec:
  serviceName: redis-cluster
  replicas: 6 # 集群至少需要3主3从
  template:
    spec:
      containers:
      - name: redis
        image: redis:7.0 # 建议使用支持ACL的高版本
        ports:
        - containerPort: 6379 # 客户端端口
        - containerPort: 16379 # 集群总线端口
        volumeMounts:
        - name: config
          mountPath: /usr/local/etc/redis/redis.conf
          subPath: redis.conf
        - name: data
          mountPath: /data
        env:
        - name: REDIS_PASSWORD
          valueFrom:
            secretKeyRef:
              name: redis-cluster-secret
              key: redis-password
        command: ["redis-server", "/usr/local/etc/redis/redis.conf"]
      volumes:
      - name: config
        configMap:
          name: redis-cluster-config
  volumeClaimTemplates:
  - metadata:
      name: data
    spec:
      accessModes: ["ReadWriteOnce"]
      resources:
        requests:
          storage: 10Gi

4. 验证认证有效性 #

进入任意Redis Pod，使用密码连接测试：

kubectl exec -it redis-cluster-0 -- redis-cli -a your-secure-password

或者先进入客户端再认证：

kubectl exec -it redis-cluster-0 -- redis-cli
127.0.0.1:6379> AUTH your-secure-password
OK

替代“数据库级别认证”的方案 #

如果需要实现数据隔离的效果，可选择以下方案：

• 键前缀+ACL规则（Redis 6+支持）：给不同业务的键添加专属前缀（如shop:user:1001、blog:post:2001），通过Redis ACL规则限制客户端只能访问特定前缀的键，实现类似多数据库的隔离效果。
• 独立Redis实例：对数据隔离要求极高的场景，可部署多个非集群模式的Redis实例，每个实例独立设置密码，模拟“多数据库”的隔离逻辑。

内容的提问来源于stack exchange，提问作者Ashok Kumar