服务器端加密与客户端管理密钥(SSE-C)

具有复制功能的 SSE-C

使用SSE-C加密且被压缩的对象与MinIO的 桶复制 或 站点复制 不兼容。 使用 SSE-KMS 或 SSE-S3 来确保加密的对象与复制兼容。

SSE-C 会覆盖 SSE-S3 和 SSE-KMS

使用 SSE-C 加密一个对象会阻止 MinIO 对该对象应用 SSE-KMS 或 SSE-S3 加密。

1) 生成加密密钥

生成 256 位 base64 原始编码字符串或十六进制编码字符串，用作加密密钥。

下面的示例生成了一个符合加密密钥要求的字符串。 生成的字符串适用于非生产环境:

cat /dev/urandom | head -c 32 | base64 -

根据组织要求生成加密安全的加密密钥。

复制加密密钥以供下一步使用。

2) 使用 SSE-C 加密一个对象

MinIO 支持以下 AWS S3 头标用于指定 SSE-C 加密：

• X-Amz-Server-Side-Encryption-Customer-Algorithm 设置为 AES256 .

• X-Amz-Server-Side-Encryption-Customer-Key 设置为加密密钥值。

• ``X-Amz-Server-Side-Encryption-Customer-Key-MD5 `` 为加密密钥的 128 位 MD5 摘要。

MinIO的 mc 命令行工具和S3兼容的SDK包括设置头的特定语法。 某些 mc 命令，如 mc cp ， 包括用于启用SSE-S3加密的特定参数。

mc cp ~/data/mydata.json ALIAS/BUCKET/mydata.json \
   --encrypt-key "ALIAS/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo="

• 将 ALIAS 替换为 MinIO部署的 alias， 您希望在此部署上写入 SSE-C加密的对象。

• 将 BUCKET 替换为要写入 SSE-C加密对象的完整桶路径或桶前缀。

3) 复制一个SSE-C加密的对象

MinIO支持以下AWS S3标头，用于将SSE-C加密的对象复制到 另一个S3兼容的服务：

• X-Amz-Copy-Source-Server-Side-Encryption-Algorithm 设置为 AES256

• X-Amz-Copy-Source-Server-Side-Encryption-Key 设置为加密密钥值。 如果指定的密钥与用于SSE-C加密对象的密钥不匹配， 复制操作将失败。

• X-Amz-Copy-Source-Server-Side-Encryption-Key-MD5 设置为加密密钥的128位 MD5摘要。

MinIO的 mc 命令行工具S3兼容的SDK包括设置标头的特定语法。 某些 mc 命令，如 mc cp ，包括用于启用 SSE-S3加密的特定参数：

mc cp SOURCE/BUCKET/mydata.json TARGET/BUCKET/mydata.json  \
--encrypt-key "SOURCE/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo=,TARGET/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo="

• 将 SOURCE/BUCKET 替换为从其读取加密对象的MinIO部署的 别名 以及您想要读取SSE-C加密对象的完整存储桶 或存储桶前缀 路径。

• 将 TARGET/BUCKET 替换为写入加密对象的MinIO部署的 别名 以及您想要写入SSE-C加密对象的完整存储桶 或存储桶前缀 路径。