使用 go-redis-entraid 实现 Entra ID 无密钥认证

1、依赖与安装

2、认证方式一览

⚠️ 重要字段对照表

字段	在 Azure 门户/CLI 对应
ClientID	应用(服务主体) / 托管身份的客户端 ID
ClientSecret	应用机密 (仅服务主体)
TenantID	Entra ID 租户 ID，common=多租户
UserAssignedObjectID	用户分配身份的对象 ID

3、最小可运行示例（系统分配托管身份）

package main

import (
	"context"
	"log"
	"os"

	"github.com/redis-developer/go-redis-entraid/entraid"
	"github.com/redis-developer/go-redis-entraid/identity"
	"github.com/redis/go-redis/v9"
)

func main() {
	endpoint := os.Getenv("REDIS_ENDPOINT") // 例: "<host>:6380"
	if endpoint == "" {
		log.Fatal("请设置 REDIS_ENDPOINT 环境变量")
	}

	// 1) 生成凭据提供器
	provider, err := entraid.NewManagedIdentityCredentialsProvider(
		entraid.ManagedIdentityCredentialsProviderOptions{
			ManagedIdentityProviderOptions: identity.ManagedIdentityProviderOptions{
				ManagedIdentityType: identity.SystemAssignedIdentity,
			},
		})
	if err != nil {
		log.Fatalf("创建凭据提供器失败: %v", err)
	}

	// 2) 创建 Redis 客户端（TLS 建议保持默认 6380）
	rdb := redis.NewClient(&redis.Options{
		Addr:                       endpoint,
		StreamingCredentialsProvider: provider,
	})
	defer rdb.Close()

	// 3) 测试连接
	if err := rdb.Ping(context.Background()).Err(); err != nil {
		log.Fatalf("连接 Redis 失败: %v", err)
	}
	log.Println("Azure Managed Redis 连接成功！")
}

4、自定义刷新与重试策略

options := entraid.CredentialsProviderOptions{
	TokenManagerOptions: manager.TokenManagerOptions{
		ExpirationRefreshRatio: 0.7,  // token 生命周期过 70% 就开始刷新
		LowerRefreshBounds:     10_000, // 最少剩余 10s 仍会强制刷新
		RetryOptions: manager.RetryOptions{
			MaxAttempts:      3,
			InitialDelay:     1 * time.Second,
			BackoffMultiplier: 2.0,
			IsRetryable: func(err error) bool {
				return strings.Contains(err.Error(), "network") ||
					strings.Contains(err.Error(), "timeout")
			},
		},
	},
}
provider, _ := entraid.NewManagedIdentityCredentialsProvider(
	entraid.ManagedIdentityCredentialsProviderOptions{
		CredentialsProviderOptions:  options,
		ManagedIdentityProviderOptions: identity.ManagedIdentityProviderOptions{
			ManagedIdentityType: identity.UserAssignedObjectID,
			UserAssignedObjectID: "<client-id>",
		},
	},
)

5、常见坑与调试

6、参考链接

• GitHub ▸ https://github.com/redis-developer/go-redis-entraid
• 官方文档 ▸ Azure Cache for Redis – Microsoft Entra ID authentication
• 示例 CLI ▸ az redis identity assign、az ad sp create-for-rbac

小结

1. 选身份：服务主体适合脚本 & CI；托管身份零密钥更安全。
2. 三步走：创建 CredentialsProvider → NewClient 注入 → Ping 验证。
3. 生产必配：RetryOptions & ExpirationRefreshRatio，及时刷新 token。

按照以上说明即可安全、优雅地在 Go 项目中连接 Azure Managed Redis，享受 Entra ID 带来的统一身份与密钥免维护体验。祝编码顺利 🚀