使用存储桶密钥的服务器端加密(SSE-KMS)

快速开始

以下步骤使用 play MinIO KES 沙盒来支持 SSE 与SSE-KMS， 适用于评估和早期开发环境。

对于扩展开发或生产环境，请使用以下支持的 外部密钥管理服务（KMS）之一：

• AWS Secrets Manager

• Azure Key Vault

• Entrust KeyControl

• Fortanix SDKMS

• Google Cloud Secret Manager

• HashiCorp Vault Keystore

• Thales CipherTrust Manager (以前称为 Gemalto KeySecure)

此过程需要以下组件：

• 在具有网络访问权限的机器上安装 mc。 请参阅 mc安装快速入门 以获取下载和安装 mc 的说明。

• 在可上网的机器上安装 MinIO 密钥加密服务 (KES) . 有关下载的说明，请参阅 kes Getting Started 指南, 安装和配置 KES.

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

kes key create my-minio-sse-kms-key

export MINIO_KMS_KES_ENDPOINT=https://play.minio.org.cn:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

mc admin service restart ALIAS

mc encrypt set sse-kms my-minio-sse-kms-key ALIAS/BUCKET

安全 Erasure 和锁定

SSE-KMS使用在Bucket自动加密设置的一部分 或 写操作的一部分中指定的 EK 来保护对象。 因此，MinIO 需要 访问该 EK 以解密该对象。

• 禁用该 EK 会暂时锁定使用该 EK 加密的对象， 使它们变得不可读。稍后您可以启用该 EK 以恢复这些对象上的正常读取操作。

• 删除该 EK 会使所有使用该 EK 加密的对象 永久 不可读。 如果KMS没有或不支持 EK 的备份， 这个过程是 不可逆的。

单个 EK 的范围取决于：

• 指定了该 EK 用于自动SSE-KMS加密的存储桶， 以及

• 哪些写操作在请求 SSE-KMS 加密时指定了 EK .

例如，考虑一个使用每个存储桶一个|EK|的MinIO部署。 禁用单个 EK 会导致关联存储桶中的所有对象变得不可读， 而不影响其他存储桶。 如果部署改为为所有对象 和存储桶使用一个 EK ，则禁用该 EK 会导致部署中的所有对象变得不可读。

加密过程

SSE-KMS使用由配置的密钥管理系统（KMS）管理的 外部密钥（EK）来执行加密操作并保护对象。 下表描述了加密过程的每个阶段：

对于读取操作，MinIO通过检索 EK 以解密 DEK 来解密对象。 然后，MinIO重新生成 KEK ， 解密 OEK 并解密 对象。