安全检查清单
在规划生产、分布式 MinIO 部署的安全配置时,请使用以下清单。
所需步骤
| 定义组策略,无论是在MinIO还是在选定的第三方身份提供者(LDAP/Active Directory或OpenID)上。 | |
| 在MinIO或选定的第三方身份提供者上定义个人访问策略。 | |
| (仅针对Kubernetes部署)配置租户以使用选定的第三方身份提供者。 | |
| 授予防火墙访问权限,允许TCP流量到达MinIO服务器的S3 API监听端口(默认为  | |
| 授予防火墙访问权限,允许TCP流量到达 MinIO服务器的控制台监听端口  (建议的默认值为  | 
Encryption-at-Rest
MinIO通过密钥加密服务(KES)支持以下外部KMS提供者:
| 下载并安装 MinIO 密钥加密服务 (KES) | |
| 启用 TLS | |
| 生成KES的私钥和公钥 | |
| 生成MinIO私钥和公钥 | |
| 创建KES配置文件并启动服务 | |
| 为密钥管理服务(KMS)生成外部密钥 | |
| 将MinIO连接到KES | |
| 启用服务器端加密 | 
传输中加密 (“In flight”)
| 为每个访问MinIO的内部和外部域添加独立的证书和密钥 | |
| 使用支持TLS 1.3或TLS 1.2的加密算法生成公钥和私钥 | |
| 配置受信任的证书颁发机构(CA)存储库 | |
| 将您的Kubernetes服务暴露出来,例如使用NGINX。 | |
| (可选) 验证证书,例如使用 https://www.sslchecker.com/certdecoder | 
