安全和加密 NCache

NCache 提供了一套强大的 安全性 旨在保护分布式缓存环境且不影响性能的功能。例如，它提供的访问控制功能允许您定义特定缓存和节点的用户权限，确保只有授权用户才能执行某些操作。此外，LDAP 集成支持集中式身份验证，使管理整个系统的安全访问更加轻松。

此外，为了保护敏感数据， 数据加密 使用 AES、3DES 和 AES FIPS 等算法在内存和传输过程中保护数据。然而，这会增加性能成本。为了更高效的网络安全， 传输层安全性 (TLS) 加密 以较少的开销保护客户端、服务器和网桥之间的通信，并允许您选择要保护的通信路径。此外， HTTPS支持 确保访问 NCache Windows 和 Linux 上的管理中心均使用 TLS 证书，确保安全加密的管理访问。这些安全功能包括： NCache 可分为以下三个主要领域：

1. 用户安全
2. 加密
3. 传输层安全性

认证

NCache 实施基于角色的访问控制 (RBAC)，以确保只有授权用户才能访问或管理集群。通过与支持 LDAP 的目录服务（例如 Microsoft Active Directory）原生集成， NCache 它强制执行集中式身份验证，使组织能够在现有的身份基础架构内管理安全策略。 NCache 启用安全机制后，所有与缓存集群的连接都必须首先通过缓存服务器上的 LDAP 目录进行身份验证。在此过程中，用户必须提供用户名、专有名称 (DN) 和密码。如果这些凭据身份验证失败，则连接请求将被拒绝。

在这种情况下，如果与域控制器的连接中断，验证将失败，用户将无法执行任何操作。为了避免这种情况， NCache 提供凭据缓存功能，用户的凭据存储在其中。 NCache 这样，已通过身份验证的用户在流程生命周期内无需重复进行身份验证。此功能默认禁用，用户可以通过服务配置文件启用它。您需要根据安全级别在以下位置指定用户凭据。更多详细信息，请参阅[此处应插入相关文档]。 NCache 文件记录.

• 节点管理员： 添加节点管理员如下：

  Add-NCacheUserOrGroup -Server 20.200.20.40 -AccessLevel Admin -AdminCredentials(Get-Credential john_smith) -UserOrGroupName john_smith -UserOrGroupDN "CN=John Smith,OU=engineers,DC=example,DC=com" -DomainController test_domain

  然后你可以 启用安全性 正如你下面看到的：

  Enable-NCacheSecurity -Server 20.200.20.40 -AdminCredentials(Get-Credential john_smith) -WriteCredentialsToServiceConfig

  您还可以使用以下方式配置节点级别安全性 NCache 管理中心.

• 缓存用户：

  您已成功保护节点及其缓存的安全。如前所述，要限制某些用户在没有完全管理权限的情况下执行缓存操作，请将其添加为“缓存用户”。对于节点管理员，请使用相同的 cmdlet，方法是将 AccessLevel 指定为 Cache，并将 CacheName（您希望用户访问的缓存名称）指定为 Cache。运行以下命令：

  Add-NCacheUserOrGroup -Server 20.200.20.40 -AccessLevel Cache -CacheName demoCache -AdminCredentials(Get-Credential john_smith) -UserOrGroupName john_smith -UserOrGroupDN "CN=John Smith,OU=engineers,DC=example,DC=com" -DomainController test_domain -EnableSecurity Yes

  您还可以配置凭据 以编程方式。下面显示了如何使用所需的用户凭据调用此方法的示例：

  // Specify cache name and user credentials
  string cacheName = "demoCache";
  string userId = "userid";
  string password = "mypassword";
  
  // Initialize the CacheConnectionOptions
  var options = new CacheConnectionOptions();
  
  // Enter the credentials
  options.UserCredentials = new Credentials(userId, password);
  
  // Connect to the cache using the security credentials
  ICache cache = CacheManager.GetCache(cacheName, options);

同质安全设置

为一个节点设置好安全配置后，您需要确保集群中的所有节点都具有相同的安全配置。在一个节点上担任节点管理员的用户，也应该是该集群中所有其他节点的管理员。同样，在一个节点上担任缓存用户的用户，也应该是其他节点的缓存用户。如果集群中所有节点的安全配置不一致，您在管理和运行缓存时可能会遇到各种问题。

授权

后 NCache 成功验证到缓存的连接，它检查 NCache 缓存服务器上的配置文件来授权此连接。一旦连接通过 Active Directory 的身份验证，它就会从 安全.ncconf 文件或 客户端.ncconf 根据您是否分别使用节点级别或缓存级别安全性。

加密密钥管理

加密密钥管理 NCache 涉及安全地处理所有加密密钥，包括密钥加密密钥 (KEK)、数据加密密钥 (DEK) 和凭证加密密钥 (CEK)，如下所述。

• 密钥加密密钥 (KEK)： 密钥加密密钥 (KEK) 基于 AES 256 加密，通过加密数据加密密钥 (DEK) 来保护它。此密钥必须在以下位置进行配置： NCache 服务器上的服务配置文件。为了确保分布式环境中所有缓存服务器的一致性和安全性，每台服务器必须使用相同的密钥加密密钥 (KEK)。
• 数据加密密钥 (DEK)： 数据加密密钥 (DEK) 负责在用户数据存储到缓存之前对其进行加密。DEK 本身也使用密钥加密密钥 (KEK) 进行加密。这种方法确保只有授权的工具或进程才能检索和使用加密密钥。
• 凭证加​​密密钥 (CEK)： NCache 使用凭据加密密钥 (CEK) 对存储在客户端配置文件 (client.ncconf) 中的用户凭据进行加密。此密钥必须在以下位置进行配置： NCache 服务配置文件。与 KEK 类似，每台服务器必须使用相同的凭据加密密钥 (CEK)。这确保了一致性，并在分布式环境中有效地保护了客户端凭据。

RSA加密（公钥/私钥传输）

为了安全地交换加密密钥和用户凭证， NCache 采用基于RSA的公钥/私钥加密。RSA加密仅用于客户端与服务器之间通信以及服务器之间交换期间的密钥和凭证传输。

• RSA 在密钥交换过程中保护用户凭证、KEK 和 CEK 的传输。
• 每个参与组件在运行时动态生成公钥/私钥 RSA 密钥对，以执行安全密钥交换。
• 这样可以确保敏感密钥和凭证永远不会以明文形式传输，即使在应用传输层安全 (TLS) 加密之前也是如此。

NCache 安全性：FIPS 和 RBAC 矩阵

接下来做什么？

• NCache 信息
• 下载免费 30 天安装密钥
• 请求个性化的现场演示
• 阅读产品文档

常见问题

儿童在 NCache 支持符合FIPS标准的加密吗？

是的。 NCache 支持 AES-FIPS（联邦信息处理标准），这对于政府机构和高度监管行业的组织至关重要。这确保了分布式缓存中的所有数据都符合严格的联邦安全要求。

客户端加密如何提高性能？ NCache?

NCache 在客户端应用程序进程内执行数据加密和解密。通过在数据通过网络发送之前对其进行加密， NCache 确保只有密文通过网络传输并存储在缓存中。这降低了缓存服务器的处理负载，并维护了零信任环境。

我可以整合吗 NCache 使用我现有的Active Directory吗？

当然。 NCache 它提供原生 LDAP 集成，允许您使用现有的 Microsoft Active Directory 或其他支持 LDAP 的目录服务进行集中式身份验证。这通过利用组织现有的身份基础架构简化了用户管理。

常规TLS和相互TLS（mTLS）之间有什么区别？ NCache?

标准的TLS提供服务器端身份验证，客户端验证服务器的身份。双向TLS（mTLS）则增加了一层额外的安全保障，要求客户端也提供证书，确保在交换任何数据之前，连接的两端都经过验证。

儿童在 NCache 提供基于角色的安全保障吗？

是的。 NCache 采用基于角色的访问控制 (RBAC) 模型，分为两个主要级别：节点管理员，拥有完整的集群管理权限；缓存用户，根据“最小权限原则”，其权限仅限于基本数据 API 操作（添加、获取、删除）。