服务器端加密每部署密钥 (SSE-S3)

MinIO服务器端加密（SSE）作为写操作的一部分保护对象，使客户端能够利用服务器处理能力在存储层对对象进行安全保护（加密在静止状态）。 SSE还为合规性要求和安全锁定和删除提供了关键功能。

MinIO SSE使用 MinIO Key Encryption Service (KES) 和外部密钥管理服务（KMS）来执行大规模的安全加密操作。 MinIO还支持客户端管理的密钥管理，其中应用程序完全负责创建和管理用于与MinIO SSE一起使用的加密密钥。

MinIO使用由密钥管理系统（KMS）管理的外部密钥（EK）对 对象进行加密和解密。 在启动MinIO服务器时， 您必须使用 MINIO_KMS_KES_KEY_NAME 环境变量指定 EK 。 MinIO对于 所有 SSE-S3加密操作使用相同的EK。

您可以使用 mc encrypt set 命令启用桶默认 SSE-S3 加密：

mc encrypt set sse-s3 play/mybucket

• 请将 play/mybucket 替换为您想要启用自动SSE-KMS加密的 alias 和存储桶。

MinIO SSE-S3 在功能上与 AWS S3 :s3-docs:`Server-Side Encryption with Amazon S3-Managed Keys <UsingServerSideEncryption.html>`兼容，同时将支持范围扩大到包括以下 KMS 提供商:

• AWS Secrets Manager

• Azure KeyVault

• Entrust KeyControl

• Fortanix SDKMS

• Google Cloud Secret Manager

• HashiCorp Vault

• Thales CipherTrust Manager (formerly Gemalto KeySecure)

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

kes key create my-minio-sse-s3-key

export MINIO_KMS_KES_ENDPOINT=https://play.minio.org.cn:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

mc admin service restart ALIAS

mc encrypt set sse-s3 ALIAS/BUCKET