数据加密（SSE）

MinIO服务器端加密(SSE)通过写操作来保护对象，允许客户端利用服务器的处理能力来在存储层面保护对象（即静态加密）。SSE还为合规和监管要求提供了与安全锁定和擦除相关的关键功能。

MinIO SSE使用 MinIO密钥加密服务 (KES) 和外部密钥管理服务（KMS）来进行规模化的安全加密操作。 MinIO还支持由客户端管理的密钥管理，即应用程序完全负责创建和管理用于与MinIO SSE一起使用的加密密钥。

MinIO支持以下 KMS 作为中央密钥存储仓库，列表如下：

MinIO需要启用SSE 网络加密（TLS）.

支持的加密类型

MinIO SSE 加密服务与 AWS服务端加密完全兼容：

SSE-KMS Recommended

MinIO支持使用存储在外部 KMS 上的特定外部密钥（EK），通过启用自动SSE-KMS加密所有写入桶中的对象。客户可以通过在写入操作中指定一个显式的键来覆盖存储桶默认的 EK 。

对于没有自动SSE-KMS加密的存储桶，客户可以在写操作中指定一个 EK 。

MinIO 在启用服务器端加密时会加密后端数据。一旦启用了 SSE-KMS 加密，您无法禁用它。

与SSE-S3和SSE-C相比，SSE-KMS提供了更精细和可自定义的加密，并且建议使用SSE-KMS而不是其他支持的加密方法。

有关在本地（非生产环境）MinIO部署中启用SSE-KMS的教程，请参见快速开始.

SSE-S3

MinIO支持使用存储在外部 KMS 上的 EK ，启用对写入到桶中的所有对象的自动SSE-S3加密。 MinIO MinIO SSE-S3支持整个部署 只有一个 的 EK 。

对于没有自动SSE-S3加密的存储桶，客户可以在写操作中请求SSE加密。

MinIO 在启用服务器端加密时会加密后端数据。一旦启用了 SSE-KMS 加密，您无法禁用它。

关于在本地（非生产环境）MinIO部署中启用SSE-s3的教程，请参考和阅读：快速开始.

SSE-C

客户端在写入对象的过程中指定 EK 。 MinIO使用指定的 EK 执行SSE-S3。

SSE-C不支持存储桶默认加密设置，并要求客户端执行所有密钥管理操作。