安全檢查清單

在規劃生產環境、分散式 MinIO 部署的安全組態時，請使用以下檢查清單。

必要步驟

	在 MinIO 或選定的第三方身分提供者 (LDAP/Active Directory 或 OpenID) 上定義群組原則
	在 MinIO 或選定的第三方身分提供者上定義個別存取原則
	（僅限 Kubernetes 部署）設定租戶使用選定的第三方身分提供者
	授與 MinIO 伺服器 S3 API 監聽埠 (預設值：`9000`) 的 TCP 流量防火牆存取權。
	授與 MinIO 伺服器主控台監聽埠 (建議預設值：`9090`) 的 TCP 流量防火牆存取權。

靜態加密

MinIO 透過金鑰加密服務 (KES) 支援下列外部 KMS 提供者

	下載並安裝 MinIO 金鑰加密服務 (KES)
	啟用 TLS
	為 KES 產生私密金鑰和公開金鑰
	為 MinIO 產生私密金鑰和公開金鑰
	建立 KES 組態檔並啟動服務
	為金鑰管理服務 (KMS) 產生外部金鑰
	將 MinIO 連線至 KES
	啟用伺服器端加密

傳輸中加密（「傳輸中」）

	啟用 TLS
	為每個存取 MinIO 的內部和外部網域新增個別的憑證和金鑰
	使用支援的密碼為 TLS 1.3 或 TLS 1.2 產生公開和私密 TLS 金鑰
	設定受信任的憑證授權單位 (CA) 存放區
	公開您的 Kubernetes 服務，例如使用 NGINX
	（選用）驗證憑證，例如使用 https://www.sslchecker.com/certdecoder