使用 KES 的服务器端对象加密

确保 KES 访问支持的 KMS 目标

此过程假设现有 KES 安装连接到受支持的 KMS 可安装，均可从本地主机访问。 请参考您所使用 支持的关键管理系统目标 的安装说明，以部署 KES 并将其连接到 KMS 解决方案。

请参考您选择的受支持 KMS 的 KES 文档 中的配置说明。

• AWS Secrets Manager

• Azure KeyVault

• Entrust KeyControl

• Fortanix SDKMS

• Google Cloud Secret Manager

• HashiCorp Vault

• Thales CipherTrust Manager (formerly Gemalto KeySecure)

部署或确保对 MinIO 部署的访问

此程序提供了修改 MinIO 部署的启动环境变量的说明，以通过 KES 和 KMS 目标启用 SSE。

有关新生产部署说明，请参阅:ref:多节点多硬盘（分布式） <minio-mnmd> 教程。 有关新的本地或评估部署说明，请参阅：单节点单硬盘 教程。

在为部署创建环境变量配置文件时，请暂停并切换回本教程，以包括支持 SSE 所需的必要环境变量。

对于现有的 MinIO 部署，您可以按照本过程中的说明修改现有的环境变量配置文件，并重新启动部署。

先决条件

根据您选择的 支持的KMS目标 配置，您可能需要将 kes-server.cert 作为可信的证书权威（CA）传递。 请参考客户端文档，以获取关于信任第三方CA的说明。

1) 为MinIO生成一个KES API密钥

从 KES 版本 2023-02-15T14-54-37Z 开始，您可以生成一个 API 密钥，用于对 KES 服务器进行身份验证。

使用 kes identity new 命令为 MinIO 服务器生成一个新的 API 密钥：

kes identity new

输出包括用于 MinIO 的 API 密钥和用于 KES 策略配置 的 Identity hash。

2) 创建 MinIO 配置

配置MinIO环境文件

为目标部署中的所有主机创建或修改MinIO服务器环境文件，包括以下环境变量：

在每个MinIO主机的MinIO环境变量配置文件中添加以下行。 有关基本MinIO环境变量配置文件的更详细说明，请参阅 单节点单硬盘部署MinIO 、 单节点多硬盘部署MinIO 或 多节点多硬盘部署 教程。

# Add these environment variables to the existing 环变变量配置文件

MINIO_KMS_KES_ENDPOINT=https://HOSTNAME:7373
MINIO_KMS_KES_API_KEY="kes:v1:ACTpAsNoaGf2Ow9o5gU8OmcaG6Af/VcZ1Mt7ysuKoBjv"

# Allows validation of the KES Server Certificate (Self-Signed or Third-Party CA)
# Change this path to the location of the KES CA Path
MINIO_KMS_KES_CAPATH=/opt/kes/certs/kes-server.cert

# Sets the default KMS key for the backend and SSE-KMS/SSE-S3 Operations)
MINIO_KMS_KES_KEY_NAME=minio-backend-default-key

将 HOSTNAME 替换为KES服务器的IP地址或主机名。 如果MinIO服务器主机无法解析或无法访问指定的 HOSTNAME ，则部署可能会返回错误或无法启动。

• 如果使用单个KES服务器主机，请指定该主机的IP或主机名。

• 如果使用多个KES服务器主机，请指定每个主机的IP或主机名，用逗号分隔。

MinIO在以下加密操作中使用 MINIO_KMS_KES_KEY_NAME 密钥：

• 加密MinIO后端（IAM、配置等）。

• 如果请求中不包括特定的 EK，则使用 SSE-KMS 加密对象。

• 使用 SSE-S3 加密对象。

MinIO 默认期望此文件位于 /etc/default/minio 。 如果您修改了部署以使用不同位置的环境文件，请修改该位置的文件。

3) 启动 MinIO

此步骤使用 systemd 来启动和管理 MinIO 服务器进程。

启动 MinIO 服务器

对于新的MinIO部署， 在每个MinIO主机上运行以下命令以启动服务：

systemctl start minio

对于现有的MinIO部署，请在每台MinIO主机上运行以下命令来重启服务：

systemctl reload minio
systemctl restart minio

4) 生成新的加密密钥

MinIO 要求在执行使用该密钥的 SSE 操作 之前，EK 必须存在于 KMS 上。 使用 kes key create 或 mc admin kms key create 添加新的 EK ，以便用于 SSE 。

以下命令使用 mc admin kms key create 命令在 KMS 服务器上添加一个新外部密钥（EK），用于加密 MinIO 后端。

mc admin kms key create ALIAS KEYNAME

5) 为存储桶启用 SSE-KMS

您可以使用MinIO控制台或MinIO mc CLI来使用生成的密钥启用默认SSE-KMS。

mc alias set local http://127.0.0.1:9000 ROOTUSER ROOTPASSWORD

mc mb local/encryptedbucket
mc encrypt set SSE-KMS encrypted-bucket-key ALIAS/encryptedbucket