如何在.NET 6中使用IAM角色认证AWS ElastiCache for Redis

要通过IAM角色认证ElastiCache for Redis，核心是生成符合AWS要求的临时认证令牌，替换原有的用户名密码。以下是完整的实现步骤和代码：

必要前提 #

1. 已为ElastiCache集群启用IAM认证
2. 你的IAM角色拥有elasticache:Connect权限（策略示例见下文）
3. 安装NuGet包：
   • StackExchange.Redis
   • AWSSDK.SecurityToken（用于获取临时IAM凭证）

实现代码 #

using StackExchange.Redis;
using Amazon.SecurityToken;
using Amazon.SecurityToken.Model;
using System.Text;

var redisHost = "{redis-hostURL}"; // 替换为你的ElastiCache端点
var awsRegion = RegionEndpoint.USWest2; // 替换为ElastiCache所在区域

// 初始化STS客户端，自动使用默认凭证链（实例角色/任务角色/本地AWS配置）
using var stsClient = new AmazonSecurityTokenServiceClient(awsRegion);

// 获取临时IAM凭证（默认有效期12小时）
var sessionTokenResponse = await stsClient.GetSessionTokenAsync(new GetSessionTokenRequest());
var credentials = sessionTokenResponse.Credentials;

// 生成Redis认证令牌：按格式组合凭证后Base64编码
var tokenContent = $"{credentials.AccessKeyId}\n{credentials.SecretAccessKey}\n{credentials.SessionToken}";
var encodedToken = Convert.ToBase64String(Encoding.UTF8.GetBytes(tokenContent));

// 构建连接字符串：IAM认证要求用户名为$AUTH，密码为生成的令牌
var connectionString = $"{redisHost}:6379,ssl=true,User=$AUTH,password={encodedToken}";

// 连接Redis并执行操作
using var redisConnection = await ConnectionMultiplexer.ConnectAsync(connectionString);
var redisDb = redisConnection.GetDatabase();

await redisDb.StringSetAsync("MyKey", "IAM Auth Test Value");
var retrievedValue = await redisDb.StringGetAsync("MyKey");
Console.WriteLine($"获取到的值：{retrievedValue}");

关键说明 #

• IAM权限配置：确保角色有以下权限（替换占位符为你的实际资源信息）：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "elasticache:Connect",
              "Resource": "arn:aws:elasticache:你的区域:你的账号ID:cluster:你的集群名称"
          }
      ]
  }
  

• 凭证获取逻辑：如果应用运行在AWS托管服务（EC2、ECS、Lambda等），AWS SDK会自动从服务关联的角色中获取凭证，无需额外配置；本地测试时，确保AWS CLI已配置有效凭证（或设置环境变量AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY）。
• 令牌刷新：临时凭证有效期最长12小时，若应用长期运行，需实现令牌刷新逻辑，定期重新生成令牌并重建Redis连接。

内容的提问来源于stack exchange，提问作者Ajay