外部身份管理

OpenID 连接 (OIDC)

MinIO 支持使用 OpenID Connect (OIDC) 兼容的 IDentity Provider (IDP)（例如 Okta、KeyCloak、Dex、Google 或 Facebook）对用户身份进行外部管理。 配置外部的 IDP（IDentity Provider） 可启用单点登录工作流程，在访问MinIO之前，应用程序会对外部的 IDP（IDentity Provider） 进行身份验证。

MinIO使用 基于策略的访问控制（PBAC） 来定义经过身份验证的用户可以访问的操作和资源。 MinIO支持创建和管理 策略，外部管理的用户可以声明其拥有这些策略。

对于由外部OpenID 连接 (OIDC)兼容提供程序管理的身份，MinIO使用 JSON Web 令牌声明 来识别要分配给已验证用户的 策略。

MinIO默认查找 policy 声明并读取一个或多个策略列表以分配。 MinIO尝试将现有策略与JWT声明中指定的策略进行匹配。 如果MinIO部署中不存在指定的任何策略，则MinIO拒绝对该用户发出的所有操作进行授权。 例如，考虑具有以下键值分配的声明：

policy="readwrite_data,read_analytics,read_logs"

指定的策略声明指示MinIO将名称与 readwrite_data 、 read_analytics 和 read_logs 匹配的策略附加到已验证的用户。

有关将MinIO策略映射到OIDC管理的身份的更多信息，请参阅 OpenID访问和连接管理。

您可以使用 JWT调试工具 来解码返回的JWT令牌并验证用户属性是否包括指定的声明。 有关JWT声明的更多信息，请参见 RFC 7519: JWT Claim。 有关配置用户声明的说明，请参考您首选的OIDC提供程序的文档。

Active Directory / LDAP

MinIO支持使用Active Directory或LDAP（AD / LDAP）服务来外部管理用户身份。 配置外部身份提供程序（IDP）可以启用单点登录（SSO）工作流程， 在其中应用程序在访问MinIO之前对外部 IDP进行身份验证