访问管理

概述

MinIO 使用基于策略的访问控制（PBAC）来定义已验证用户可以访问的授权操作和资源。 每项政策描述了一个或多个 操作 和 条件 ，这些操作和条件概述了一个 用户 或 用户组 的权限。

MinIO 的 PBAC 是为了与 AWS IAM 策略语法、结构和行为兼容而构建的。 MinIO 文档努力最好地覆盖 IAM 特定行为和功能。 如果您需要更完整的关于 AWS IAM 特定主题的文档，请参考 AWS IAM 文档 <> 。

mc admin policy 命令支持在 MinIO 部署上创建和管理策略。 请参阅命令参考以获取使用示例。

基于标签的政策条件

内置策略

MinIO 为分配给 用户 或 用户组 提供了以下内置策略：

consoleAdmin

授予对MinIO部署上所有资源的所有S3和行政API操作的 完全访问权限。 等同于以下一组 操作：

• s3:*

• admin:*

readonly

授予对MinIO部署上任何对象的只读权限。 GET 操作 必须 应用于一个特定的对象，而不需要任何列举。 等同于以下一组操作：

• s3:GetBucketLocation

• s3:GetObject

例如， 这个策略特别支持对特定路径上的对象的GET 操作（例如 GET play/mybucket/object.file），例如：

• mc cp

• mc stat

• mc head

• mc cat

故意排除了列表权限，因为典型的用例并 不希望 “只读” 角色在对象存储资源上具有 完全的可发现性（列出所有桶和对象）。

readwrite

授予对MinIO服务器上所有桶和对象的读写权限。 等同于 s3:*。

diagnostics

授予对MinIO部署执行诊断操作的权限。 具体包括以下操作：

• admin:ServerTrace

• admin:Profiling

• admin:ConsoleLog

• admin:ServerInfo

• admin:TopLocksInfo

• admin:OBDInfo

• admin:BandwidthMonitor

• admin:Prometheus

writeonly

授予对MinIO部署的任何命名空间（桶和对象路径）的写权限。 PUT操作 必须 应用到一个特定的对象位置， 而不需要任何列表。 等同于 s3:PutObject 操作。

要在MinIO部署上将策略关联到用户或组， 请使用 mc admin policy attach 命令。

例如，请考虑以下用户表。 每个用户都 被分配了一个 内置策略 或 一个支持的 操作 。 表格描述了如果以该用户身份进行身份验证， 客户端可以执行的操作的子集：

每个用户只能访问由内置角色 明确 授权的 资源和工作操作。 MinIO默认拒绝访问任何其他资源或 操作。

政策文件结构

MinIO策略文档使用与 AWS IAM策略 文档相同的模式。

以下示例文档提供了一个模板，用于创建与MinIO部署一起使用的自定义策略。 有关IAM策略元素的更完整文档，请参阅 IAM JSON Policy Elements Reference 。

任何单个策略文档的最大大小为20KiB。 对用户或组附加的策略文档数量没有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 对于 Statement.Action 数组，请指定一个或多个 支持的S3 API操作 。

• 对于 Statement.Resource 键，请指定要限制策略的桶或桶前缀。 您可以根据 S3资源规范 使用 * 和 ? 通配符字符。

  通配符 * 可能会导致根据 pattern match 对多个桶或前缀意外应用策略。。 例如， arn:aws:s3:::data* 将匹配 data、 data_private 和 data_internal 这三个桶。 将资源键仅指定为 * 会将策略应用于部署上的所有桶和前缀。

• 对于 Statement.Condition 键，您可以指定一个或多个 支持的条件 。

支持的 S3 策略操作

MinIO策略文档支持IAM S3操作键的一个子集 。 这一部分还包括特定操作支持的 条件键 ，这些条件键超出了常见支持的关键集合。

以下操作控制对常见S3操作的访问权限。 接下来的子章节将详细记录更多高级S3操作的相关动作：

s3:*

所有 MinIO S3 操作的选择器。 将此操作应用于给定资源，允许用户对该资源执行 任何 S3操作。

s3:CreateBucket

控制对 CreateBucket S3 API操作的 访问。

s3:DeleteBucket

控制对 DeleteBucket S3 API操作的 访问。

s3:ForceDeleteBucket

控制对带有 x-minio-force-delete 标志的 DeleteBucket S3 API操作的访问。 删除非空存储桶时需要。

s3:GetBucketLocation

控制对 GetBucketLocation S3 API 操作的访问。

s3:ListAllMyBuckets

控制对 ListBuckets S3 API 操作的访问。

s3:DeleteObject

控制对 DeleteObject S3 API 操作的访问。

s3:GetObject

控制对 GetObject S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:ListBucket

控制对 ListObjectsV2 S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

控制对 PutObject S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

控制对 PutObjectTagging S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

控制对 GetObjectTagging S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

控制对 DeleteObjectTagging S3 API 操作的访问。

支持以下附加 :ref: 条件键 <minio-policy-conditions> :

s3:versionid
s3:ExistingObjectTag/<key>

支持的 S3 策略条件键

MinIO 策略文档支持 IAM 的 条件语句。

每个条件元素由 运算符 和条件键组成。 MinIO 支持 IAM 条件键的子集。 对于任何列出的条件键的完整信息，请参阅 IAM 条件元素文档。

MinIO 支持以下条件键，用于所有受支持的 操作:

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

• aws:PrincipalType

• aws:userid

• aws:username

• x-amz-content-sha256

• s3:signatureAge

对于特定 S3 操作支持的其他键，请参阅该操作的参考文档。

mc admin 策略操作键

MinIO 支持以下操作，用于定义 mc admin 操作的 策略。 这些操作 仅 适用于 MinIO 部署， 并且 不 适用于其他 S3 兼容 服务：

admin:*

选择器用于所有管理操作键

admin:Heal

允许 heal 命令

admin:StorageInfo

允许列出服务器信息

admin:DataUsageInfo

允许列出数据使用信息

admin:TopLocksInfo

允许列出顶级锁

admin:Profiling

允许进行性能分析

admin:ServerTrace

允许列出服务器跟踪

admin:ConsoleLog

允许在终端上列出控制台日志

admin:KMSCreateKey

允许创建新的 KMS 主密钥

虽然该选项仍受支持，但 kms:CreateKey 更受青睐。

admin:KMSKeyStatus

允许获取 KMS 密钥状态

虽然该选项仍受支持，但 kms:KeyStatus 更受青睐。

admin:ServerInfo

允许列出服务器信息

admin:OBDInfo

允许获取集群板载诊断信息

admin:ServerUpdate

允许 MinIO 二进制更新

admin:ServiceRestart

允许重新启动 MinIO 服务。

admin:ServiceStop

允许停止 MinIO 服务。

admin:ConfigUpdate

允许 MinIO 配置管理

admin:CreateUser

允许创建 MinIO 用户

admin:DeleteUser

允许删除 MinIO 用户

admin:ListUsers

允许列出用户权限

admin:EnableUser

允许启用用户权限

admin:DisableUser

允许禁用用户权限

admin:GetUser

允许获取用户信息的权限

admin:AddUserToGroup

允许将用户添加到组权限

admin:RemoveUserFromGroup

允许删除用户组权限

admin:GetGroup

允许获取群组信息

admin:ListGroups

允许列出组权限

admin:EnableGroup

允许启用组权限

admin:DisableGroup

允许禁用组权限

admin:CreatePolicy

允许创建策略权限

admin:DeletePolicy

允许删除策略权限

admin:GetPolicy

允许获得策略许可

admin:AttachUserOrGroupPolicy

允许将策略附加到用户/组

admin:ListUserPolicies

允许列出用户策略

admin:CreateServiceAccount

允许创建 MinIO 访问密钥

admin:UpdateServiceAccount

允许更新 MinIO 访问密钥

admin:RemoveServiceAccount

允许删除 MinIO 访问密钥

admin:ListServiceAccounts

允许列出 MinIO 访问密钥

admin:SetBucketQuota

允许设置存储桶配额

admin:GetBucketQuota

允许获取桶配额

admin:SetBucketTarget

允许设置存储桶目标

admin:GetBucketTarget

允许获取存储桶目标

admin:SetTier

允许使用 mc ilm tier 命令 创建和修改远程存储层。

admin:ListTier

允许使用 mc ilm tier 命令 列出已配置的远程存储层。

admin:BandwidthMonitor

允许检索与当前带宽消耗相关的指标。

admin:Prometheus

允许访问MinIO的 指标。 仅在MinIO需要身份验证才能抓取指标时才需要。

admin:ListBatchJobs

允许访问列出活动的批处理作业。

admin:DescribeBatchJobs

允许查看正在运行批量作业的定义详情。

admin:StartBatchJob

允许用户开始批量作业的运行。

admin:CancelBatchJob

允许用户停止当前正在进行的批量作业。

admin:Rebalance

允许访问启动、查询或停止在具有不同可用存储空间的池之间重新平衡对象的操作。

KMS 政策行动密钥

MinIO 支持按策略限制密钥管理服务 (KMS) 操作。

您可以通过以下 KMS 操作限制策略中的 KMS 活动:

kms:Status

检查 KMS 的状态。

kms:Metrics

获取 Prometheus 格式的指标。

kms:API

列出支持的 API 端点。

kms:Version

读取 KMS 版本。

kms:CreateKey

创建新的 KMS 密钥。

kms:ListKeys

读取现有 KMS 密钥列表。

kms:KeyStatus

读取指定 KMS 密钥的状态。

要选择所有可用的 kms 策略操作，请使用 kms:* 。

mc admin 策略条件键

MinIO 支持以下条件，用于在与 mc admin 命令相关的 策略定义中限制 操作。

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

有关任何列出的条件键的完整信息，请参阅 IAM 条件元素文档。

政策变量

MinIO 支持使用策略变量，以便自动将来自已验证用户和/或操作的上下文替换到用户分配的策略或策略中。 在 Condition 或 Resource 定义中，使用 ${POLICYVARIABLE} 格式来指定策略中的变量。 MinIO 策略变量与 AWS IAM 策略元素：变量和标签 的功能类似。

每个 MinIO 身份提供者 都支持自己的一组策略变量：

• MinIO 策略变量

• OpenID 策略变量

• Active Directory/LDAP 策略变量

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${aws:username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${jwt:preferred_username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${jwt:preferred_username}/*"
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${ldap:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${ldap:username}/*"]
      }
   ]
}