使用者管理

概觀

MinIO 使用者由唯一的存取金鑰 (使用者名稱) 和對應的密碼金鑰 (密碼) 組成。用戶端必須透過指定現有 MinIO 使用者的有效存取金鑰 (使用者名稱) 和對應的密碼金鑰 (密碼) 來驗證其身分。

每個使用者可以有一個或多個已指派的 原則，這些原則明確列出該使用者有權存取的動作和資源。使用者也可以從他們所屬的 群組 繼承原則。

MinIO 預設會拒絕存取使用者已指派或繼承的 原則 未明確允許的所有動作或資源。您必須明確指派描述使用者授權動作和資源的 原則或將使用者指派給具有相關原則的 群組。如需更多資訊，請參閱 存取管理。

本頁記錄 MinIO 內部身分提供者 (IDP) 的使用者管理。MinIO 也使用 OpenID Connect (OIDC) 或 Active Directory/LDAP 身分提供者 (IDP) 進行外部身分管理。如需更多資訊，請參閱

• OpenID Connect 存取管理

• Active Directory / LDAP 存取管理

啟用外部身分管理會停用 MinIO 內部 IDP，但建立 存取金鑰 除外。

存取金鑰

MinIO 存取金鑰（先前稱為「服務帳戶」）是經過驗證的 MinIO 使用者的子身分，包括外部管理的身份。每個存取金鑰都會根據附加到其父使用者或父使用者所屬群組的政策繼承其權限。存取金鑰也支援可選的內嵌政策，進一步限制對父使用者可用的操作和資源的存取。

MinIO 使用者可以產生任意數量的存取金鑰。這允許應用程式擁有者為其應用程式產生任意存取金鑰，而無需 MinIO 管理員採取任何動作。由於產生的存取金鑰具有與父使用者相同或更少的權限，因此管理員可以專注於管理頂層父使用者，而無需微觀管理產生的存取金鑰。

您可以使用MinIO 主控台或使用mc admin user svcacct add指令來建立存取金鑰。這些方法建立的身份在您移除存取金鑰或父帳戶之前不會過期。

您也可以使用 AssumeRole STS API 端點以程式設計方式建立安全權杖服務帳戶。STS 權杖的預設過期時間為 1 小時，但您可以將過期時間設定為自建立起最多 7 天。

MinIO root 使用者

MinIO 部署有一個 root 使用者，無論配置的身份管理器為何，都可以存取部署上的所有操作和資源。當minio伺服器首次啟動時，它會透過檢查以下環境變數的值來設定root使用者的憑證

• MINIO_ROOT_USER

• MINIO_ROOT_PASSWORD

輪換 root 使用者憑證需要更新部署中所有 MinIO 伺服器的一個或兩個變數。為 root 憑證指定長、唯一且隨機的字串。在儲存存取金鑰和私密金鑰時採取所有可能的預防措施，以確保只有需要對部署進行超級使用者存取的已知和信任的個人才能檢索root憑證。

• 無論環境（開發、測試或生產）如何，MinIO 強烈建議不要將root使用者用於常規用戶端存取。

• MinIO 強烈建議建立使用者，使每個用戶端都能存取執行其分配的工作負載所需的最小操作和資源集。

如果這些變數未設定，minio預設為minioadmin和minioadmin作為存取金鑰和私密金鑰。無論部署環境為何，MinIO 強烈建議不要使用預設憑證。

使用者管理

mc admin user add ALIAS ACCESSKEY SECRETKEY

mc admin policy attach ALIAS readwrite --user=USERNAME

mc admin user rm ALIAS USERNAME