安全检查清单
在规划生产、分布式 MinIO 部署的安全配置时,请使用以下清单。
所需步骤
定义组策略,无论是在MinIO还是在选定的第三方身份提供者(LDAP/Active Directory或OpenID)上。 |
|
在MinIO或选定的第三方身份提供者上定义个人访问策略。 |
|
(仅针对Kubernetes部署)配置租户以使用选定的第三方身份提供者。 |
|
授予防火墙访问权限,允许TCP流量到达MinIO服务器的S3 API监听端口(默认为 |
|
授予防火墙访问权限,允许TCP流量到达 MinIO服务器的控制台监听端口 (建议的默认值为 |
Encryption-at-Rest
MinIO通过密钥加密服务(KES)支持以下外部KMS提供者:
下载并安装 MinIO 密钥加密服务 (KES) |
|
启用 TLS |
|
生成KES的私钥和公钥 |
|
生成MinIO私钥和公钥 |
|
创建KES配置文件并启动服务 |
|
为密钥管理服务(KMS)生成外部密钥 |
|
将MinIO连接到KES |
|
启用服务器端加密 |
传输中加密 (“In flight”)
为每个访问MinIO的内部和外部域添加独立的证书和密钥 |
|
使用支持TLS 1.3或TLS 1.2的加密算法生成公钥和私钥 |
|
配置受信任的证书颁发机构(CA)存储库 |
|
将您的Kubernetes服务暴露出来,例如使用NGINX。 |
|
(可选) 验证证书,例如使用 https://www.sslchecker.com/certdecoder |