如何为Kubernetes集群中暴露的RedisInsight配置强安全认证？

针对你在Kubernetes中通过Kong Ingress暴露RedisInsight但缺乏有效认证的问题，以下是几个落地性强的解决方案：

1. 启用RedisInsight内置基础认证 #

你之前配置的RITRUSTEDORIGINS、RIAUTHPROMPT等仅为辅助配置，核心认证开关未开启。需为RedisInsight的Deployment添加以下环境变量：

• RISECURITY=ON：强制开启认证机制
• RIUSER=自定义用户名：设置登录账号
• RIPASSWORD=强密码：设置登录密码

修改后的Deployment片段示例：

spec:
  template:
    spec:
      containers:
      - name: redisinsight
        image: redis/redisinsight:latest
        env:
        - name: RISECURITY
          value: "ON"
        - name: RIUSER
          value: "admin"
        - name: RIPASSWORD
          value: "YourStrongPassword123!"
        - name: RITRUSTEDORIGINS
          value: "https://your-redisinsight-domain.com"
        # 保留已有的其他环境变量

2. 通过Kong Ingress添加前置认证 #

利用Kong的认证插件在Ingress层拦截未授权请求，避免请求到达RedisInsight：

方式一：Basic Auth认证 #

1. 创建Kong消费者：

kubectl apply -f - <<EOF
apiVersion: configuration.konghq.com/v1
kind: Consumer
metadata:
  name: redisinsight-admin
EOF

2. 为消费者添加Basic Auth凭据：

kubectl apply -f - <<EOF
apiVersion: configuration.konghq.com/v1
kind: BasicAuth
metadata:
  name: redisinsight-admin-auth
consumerRef: redisinsight-admin
EOF

执行kubectl edit basicauth redisinsight-admin-auth，设置password字段（需为bcrypt加密值，可通过htpasswd -nBC 10 "" | tr -d ':\n'生成）。

3. 为RedisInsight的Ingress绑定插件：
   在Ingress资源中添加注解：

annotations:
  konghq.com/plugins: redisinsight-basic-auth

同时创建插件资源：

kubectl apply -f - <<EOF
apiVersion: configuration.konghq.com/v1
kind: Plugin
metadata:
  name: redisinsight-basic-auth
config:
  hide_credentials: true
plugin: basic-auth
EOF

方式二：IP白名单限制 #

若仅允许特定IP访问，可添加Kong的IP Restriction插件：

apiVersion: configuration.konghq.com/v1
kind: Plugin
metadata:
  name: redisinsight-ip-whitelist
config:
  allow:
  - 192.168.1.0/24
  - 10.0.0.5
plugin: ip-restriction

将该插件通过Ingress注解关联即可。

3. 双重防护组合方案（推荐） #

同时启用RedisInsight内置认证+Kong Ingress前置认证：

• Kong层拦截绝大多数未授权请求，降低RedisInsight的暴露面
• RedisInsight内置认证作为最后一道防线，避免Kong配置疏漏时的安全风险

内容的提问来源于stack exchange，提问作者rEVOLution