Erasure Code 計算器 
參考硬體 外部身分管理
MinIO 透過以下身分提供者 (IDP) 支援多個外部身分管理員
以下教學課程針對選定的 IDP 軟體提供具體指導
使用者可以使用其外部管理認證和相關的 安全權杖服務 (STS) API 來驗證 MinIO。驗證後，MinIO 會嘗試將使用者與一個或多個已設定的 原則 建立關聯。沒有相關原則的使用者在 MinIO 部署中沒有任何權限。
OpenID Connect (OIDC)
MinIO 支援使用 OpenID Connect (OIDC) 相容的身分提供者 (IDP)，例如 Okta、KeyCloak、Dex、Google 或 Facebook 來外部管理使用者身分。設定外部 IDP 可啟用單一登入工作流程，其中應用程式在存取 MinIO 之前會先針對外部 IDP 進行驗證。
MinIO 使用 基於原則的存取控制 (PBAC) 來定義經過驗證的使用者有權存取的動作和資源。MinIO 支援建立和管理外部管理使用者可以聲明的 原則。
對於由外部 OpenID Connect (OIDC) 相容提供者管理的身分，MinIO 使用 JSON Web 權杖宣告 來識別要指派給已驗證使用者的 原則。
MinIO 預設會尋找 policy 宣告，並讀取要指派的一個或多個原則清單。MinIO 會嘗試將現有原則與 JWT 宣告中指定的原則進行比對。如果 MinIO 部署中不存在任何指定的原則，則 MinIO 會拒絕該使用者發出的所有操作的授權。例如，考慮具有以下鍵值指派的宣告
policy="readwrite_data,read_analytics,read_logs"
指定的原則宣告會指示 MinIO 將名稱與 readwrite_data、read_analytics 和 read_logs 相符的原則附加到經過驗證的使用者。
如需將 MinIO 原則對應至 OIDC 管理身分的詳細資訊，請參閱 OpenID Connect 存取管理。
您可以使用 JWT 除錯工具 來解碼返回的 JWT 權杖，並驗證使用者屬性是否包含指定的宣告。請參閱 RFC 7519：JWT 宣告，以取得更多關於 JWT 宣告的資訊。關於如何設定使用者宣告，請參考您偏好的 OIDC 提供者的文件。
Active Directory / LDAP
MinIO 支援使用 Active Directory 或 LDAP (AD/LDAP) 服務來外部管理使用者身分。設定外部身分提供者 (IDP) 可啟用單一登入 (SSO) 工作流程，在此工作流程中，應用程式在存取 MinIO 之前會先向外部 IDP 驗證身分。
查詢 Active Directory / LDAP 服務
MinIO 會查詢已設定的 Active Directory/LDAP 伺服器，以驗證應用程式所指定的身分憑證，並選擇性地返回使用者所屬群組的清單。此過程稱為「查詢綁定模式」，它使用一個權限最小的 AD/LDAP 使用者，其權限僅足以向 AD/LDAP 伺服器驗證身分以進行使用者和群組查詢。
AD/LDAP 管理身分的存取控制
MinIO 使用基於政策的存取控制 (PBAC) 來定義已驗證身分的使用者可以存取哪些動作和資源。當使用 Active Directory/LDAP 伺服器進行身分管理（驗證）時，MinIO 會透過 PBAC 維持對存取（授權）的控制。
當使用者使用其 AD/LDAP 憑證成功向 MinIO 驗證身分時，MinIO 會搜尋所有明確與該使用者識別名稱 (DN) 相關聯的 政策。具體而言，必須使用 mc idp ldap policy attach 命令將政策指派給具有相符 DN 的使用者。
MinIO 也支援查詢使用者的 AD/LDAP 群組成員資格。MinIO 會嘗試將現有政策與使用者每個群組的 DN 進行比對。已驗證身分的使用者的完整權限集包括其明確指派的政策和群組繼承的政策。如需更多資訊，請參閱 群組查詢。
MinIO 使用預設拒絕行為，其中沒有明確指派或群組繼承政策的使用者無法存取 MinIO 部署上的任何資源。
MinIO 為基本存取控制提供內建政策。您可以使用 mc admin policy create 命令建立新政策。
群組查詢
MinIO 支援查詢 Active Directory / LDAP 伺服器，以取得已驗證身分使用者所屬群組的清單。MinIO 會嘗試將現有的 政策 與每個群組的 DN 進行比對，並將每個相符的政策指派給已驗證身分的使用者。
MinIO Operator Console 提供必要的欄位，以便在為新的或現有的 MinIO 租用戶設定 AD/LDAP 身分管理時設定「群組查詢」。
