7.7. Memcached サービスのセキュリティー保護

手順

• LAN にファイアウォールを設定してください。Memcached サーバーにローカルネットワークだけでアクセスできるようにする必要がある場合は、memcached サービスで使用されるポートに外部トラフィックをルーティングしないでください。たとえば、許可されたポートのリストからデフォルトのポート 11211 を削除します。

  # firewall-cmd --remove-port=11211/udp
  # firewall-cmd --runtime-to-permanent

  Copy to Clipboard Toggle word wrap

• アプリケーションと同じマシン上で 1 台の Memcached サーバーを使用する場合は、localhost トラフィックのみをリッスンするように memcached を設定します。/etc/sysconfig/memcached ファイルの OPTIONS 値を変更します。

  OPTIONS="-l 127.0.0.1,::1"

  Copy to Clipboard Toggle word wrap

• Simple Authentication and Security Layer (SASL) 認証を有効にします。

  1. /etc/sasl2/memcached.conf ファイルで、以下のように修正または追加します。

     sasldb_path: /path.to/memcached.sasldb

     Copy to Clipboard Toggle word wrap

  2. SASL データベースにアカウントを追加します。

     # saslpasswd2 -a memcached -c cacheuser -f /path.to/memcached.sasldb

     Copy to Clipboard Toggle word wrap

  3. memcached のユーザーとグループがデータベースにアクセスできることを確認します。

     # chown memcached:memcached /path.to/memcached.sasldb

     Copy to Clipboard Toggle word wrap

  4. /etc/sysconfig/memcached ファイルの OPTIONS パラメーターに -S 値を追加して、Memcached で SASL サポートを有効にします。

     OPTIONS="-S"

     Copy to Clipboard Toggle word wrap

  5. Memcached サーバーを再起動して、変更を適用します。

     # systemctl restart memcached

     Copy to Clipboard Toggle word wrap
  6. SASL データベースで作成したユーザー名とパスワードを、お使いのアプリケーションの Memcached クライアント設定に追加します。

• Memcached クライアントとサーバー間の通信を TLS で暗号化します。

  1. /etc/sysconfig/memcached ファイルの OPTIONS パラメーターに -Z 値を追加して、TLS を使用した Memcached クライアントとサーバー間の暗号化通信を有効にします。

     OPTIONS="-Z"

     Copy to Clipboard Toggle word wrap
  2. -o ssl_chain_cert オプションを使用して、証明書チェーンファイルパスを PEM 形式で追加します。
  3. -o ssl_key オプションを使用して、秘密鍵ファイルのパスを追加します。