安全檢查清單

在規劃生產環境、分散式 MinIO 部署的安全組態時，請使用以下檢查清單。

必要步驟

	在 MinIO 或選定的第三方身分提供者 (LDAP/Active Directory 或 OpenID) 上定義群組原則
	在 MinIO 或選定的第三方身分提供者上定義個別存取原則
	（僅限 Kubernetes 部署）設定租戶以使用選定的第三方身分提供者
	允許防火牆存取 MinIO 伺服器 S3 API 接聽連接埠 (預設值：`9000`) 的 TCP 流量。
	允許防火牆存取 MinIO 伺服器主控台接聽連接埠 (建議的預設值：`9090`) 的 TCP 流量。

靜態加密

MinIO 透過金鑰加密服務 (KES) 支援以下外部 KMS 提供者

	下載並安裝 MinIO 金鑰加密服務 (KES)
	啟用 TLS
	為 KES 產生私鑰和公鑰
	為 MinIO 產生私鑰和公鑰
	建立 KES 組態檔案並啟動服務
	為金鑰管理服務 (KMS) 產生外部金鑰
	將 MinIO 連接到 KES
	啟用伺服器端加密

傳輸中加密（「傳輸中」）

	啟用 TLS
	為每個存取 MinIO 的內部和外部網域新增個別憑證和金鑰
	使用支援的 TLS 1.3 或 TLS 1.2 密碼產生公用和私有 TLS 金鑰
	設定信任的憑證授權單位 (CA) 存放區
	公開您的 Kubernetes 服務，例如使用 NGINX
	（可選）驗證憑證，例如使用 https://www.sslchecker.com/certdecoder