使用者管理

概觀

MinIO 使用者由唯一的存取金鑰 (使用者名稱) 和對應的秘密金鑰 (密碼) 組成。客戶端必須指定現有 MinIO 使用者的有效存取金鑰 (使用者名稱) 和對應的秘密金鑰 (密碼) 來驗證其身分。

每個使用者可以有一個或多個已指派的原則，明確列出該使用者有權存取的操作和資源。使用者也可以從他們所屬的群組繼承原則。

MinIO 預設會拒絕存取使用者已指派或繼承的原則未明確允許的所有操作或資源。您必須明確指派一個原則，描述使用者的授權操作和資源，或將使用者指派給具有相關原則的群組。如需更多資訊，請參閱存取管理。

本頁記錄了 MinIO 內部身分提供者 (IDP) 的使用者管理。MinIO 也使用 OpenID Connect (OIDC) 或 Active Directory/LDAP 身分提供者 (IDP) 來外部管理身分。如需更多資訊，請參閱

啟用外部身分管理會停用 MinIO 內部 IDP，但建立存取金鑰除外。

MinIO 存取金鑰 (以前稱為「服務帳戶」) 是已驗證 MinIO 使用者的子身分，包括外部管理的身分。每個存取金鑰都會根據附加到其父使用者的原則或父使用者所屬的群組，來繼承其權限。存取金鑰也支援可選的內嵌原則，該原則會進一步限制對父使用者可用的操作和資源的存取。

MinIO 使用者可以產生任意數量的存取金鑰。這允許應用程式擁有者為其應用程式產生任意的存取金鑰，而無需 MinIO 管理員的干預。由於產生的存取金鑰與父使用者具有相同或更少的權限，因此管理員可以專注於管理頂層的父使用者，而無需微觀管理產生的存取金鑰。

您可以使用MinIO 主控台或使用 mc admin user svcacct add 命令來建立存取金鑰。透過這些方法建立的身份在您移除存取金鑰或父帳戶之前不會過期。

您也可以使用 AssumeRole STS API 端點，以程式化的方式建立安全令牌服務帳戶。STS 令牌預設在 1 小時後過期，但您可以將過期時間設定為從建立起最長 7 天。

存取金鑰用於程式化存取

存取金鑰支援應用程式的程式化存取。您無法使用存取金鑰登入 MinIO 主控台。

MinIO 部署具有一個 root 使用者，該使用者具有對部署上所有操作和資源的存取權，而與設定的身份管理員無關。當 minio 伺服器首次啟動時，它會檢查以下環境變數的值來設定 root 使用者憑證：

輪換 root 使用者憑證需要更新部署中所有 MinIO 伺服器的其中一個或兩個變數。請為 root 憑證指定長、唯一且隨機的字串。請採取所有可能的預防措施來儲存存取金鑰和密鑰，以便只有已知且信任的個人，並且需要超級使用者存取部署才能檢索 root 憑證。

如果這些變數未設定，minio 會將存取金鑰和密鑰分別預設為 minioadmin 和 minioadmin。無論部署環境為何，MinIO 都強烈不建議使用預設憑證。

棄用舊版 Root 使用者環境變數

MinIO RELEASE.2021-04-22T15-44-28Z 及更高版本已棄用以下用於設定或更新 root 使用者憑證的變數：

使用 mc admin user add 命令在 MinIO 部署上建立新使用者：

mc admin user add ALIAS ACCESSKEY SECRETKEY

請為 ACCESSKEY 和 SECRETKEY 指定唯一、隨機且長的字串。您的組織可能針對產生用於存取或密鑰的值，有特定的內部或法規要求。

建立使用者後，使用 mc admin policy attach 來將MinIO 基於策略的存取控制關聯到新使用者。以下命令會指派內建的 readwrite 策略：

mc admin policy attach ALIAS readwrite --user=USERNAME

將 USERNAME 替換為上一步中建立的 ACCESSKEY。

使用 mc admin user rm 命令來移除 MinIO 部署上的使用者：

mc admin user rm ALIAS USERNAME