如何配置Memcached以设置访问密码？

要配置Memcached访问密码，需要在memcached.conf文件中添加 -P选项指定一个密码文件，并在该文件中设置允许访问的用户名和密码。

配置Memcached访问密码是确保缓存系统安全性的关键步骤之一，特别是在分布式或多用户环境中，以下是详细的配置步骤和相关注意事项：

一、通过SASL进行身份验证

1、配置Memcached服务器启用SASL

确保Memcached服务器编译时已启用SASL支持（通常通过--enable-sasl选项）。

编辑SASL配置文件，如/etc/sasl2/memcached.conf如下：

     mech_list: PLAIN
     log_level: 5

使用saslpasswd2命令创建SASL用户和密码，

     saslpasswd2 -a memcached -c memcacheuser

然后根据提示设置密码，用户信息将被存储在/etc/sasldb2中。

启动Memcached服务器并启用SASL：

     memcached -d -m 64 -p 11211 -u memcache -S

2、使用Java客户端连接Memcached并进行身份验证

确保项目中引入了支持SASL的Memcached客户端依赖，如Spymemcached。

在Java代码中使用AuthDescriptor和ConnectionFactoryBuilder来配置身份验证并连接到Memcached服务器：

     import net.spy.memcached.MemcachedClient;
     import net.spy.memcached.ConnectionFactoryBuilder;
     import net.spy.memcached.auth.AuthDescriptor;
     import net.spy.memcached.auth.PlainCallbackHandler;
     import java.net.InetSocketAddress;
     public class MemcachedSASLExample {
         public static void main(String[] args) {
             try {
                 // 配置SASL身份验证
                 AuthDescriptor ad = new AuthDescriptor(new String[]{"PLAIN"}, new PlainCallbackHandler("memcacheuser", "password"));
                 // 使用ConnectionFactoryBuilder配置MemcachedClient
                 MemcachedClient client = new MemcachedClient(
                         new ConnectionFactoryBuilder()
                                 .setProtocol(ConnectionFactoryBuilder.Protocol.BINARY)
                                 .setAuthDescriptor(ad)
                                 .build(),
                         new InetSocketAddress("localhost", 11211)
                 );
                 // 进行一些缓存操作
                 client.set("someKey", 3600, "someValue");
                 System.out.println("Stored value: " + client.get("someKey"));
                 // 关闭连接
                 client.shutdown();
             } catch (Exception e) {
                 e.printStackTrace();
             }
         }
     }

二、通过网络层安全性实现访问控制

在不启用SASL的情况下，可以通过网络层来限制对Memcached的访问，例如使用防火墙规则：

通过防火墙限制访问：在生产环境中，通常会将Memcached部署在受信任的内网环境中，并通过防火墙限制对Memcached端口（默认11211）的访问，使用iptables来限制访问：

  iptables -A INPUT -p tcp --dport 11211 -s 192.168.1.0/24 -j ACCEPT
  iptables -A INPUT -p tcp --dport 11211 -j DROP

上述规则仅允许来自192.168.1.0/24子网的主机访问Memcached，其他所有请求都将被拒绝。

三、FAQs

Q1: 如何修改Memcached实例的访问方式？

A1: 如果需要从免密访问模式修改为密码访问模式，可以在管理控制台中选择相应的Memcached实例，单击“操作”列下的“更多 > 重置密码”，然后在弹出的对话框中输入新密码并确认，完成密码设置，如果需要从密码访问模式修改为免密模式，同样在重置密码对话框中打开“免密访问”开关并单击确定即可。

Q2: Memcached文本协议是否支持用户名密码认证？

A2: Memcached文本协议本身不支持用户名和密码认证，如果需要使用文本协议连接Memcached实例，并且该实例配置了密码访问模式，那么必须开启实例的免密访问功能，或者使用支持SASL等认证机制的客户端库进行连接。

小编有话说

配置Memcached访问密码是提升缓存系统安全性的重要措施，通过SASL进行身份验证可以确保只有经过认证的客户端才能访问缓存数据，而网络层的安全性则可以作为额外的防护层，在实际操作中，建议根据具体环境和需求选择合适的安全策略，并定期更新和维护相关配置以确保系统的安全性，也要注意备份和恢复策略的制定，以防止因配置错误或故障导致的数据丢失。