伺服器端加密每個部署金鑰 (SSE-S3)

MinIO 伺服器端加密 (SSE) 在寫入操作時保護物件，允許用戶端利用伺服器處理能力來保護儲存層的物件（靜態加密）。SSE 還提供金鑰功能，以滿足有關安全鎖定和抹除的法規和合規性要求。

MinIO SSE 使用 MinIO 金鑰加密服務 (KES) 和外部金鑰管理服務 (KMS) 來大規模執行安全加密操作。MinIO 還支援用戶端管理金鑰管理，其中應用程式完全負責建立和管理用於 MinIO SSE 的加密金鑰。

MinIO SSE-S3 使用金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 對物件進行加密/解密。您必須使用 MINIO_KMS_KES_KEY_NAME 環境變數在啟動 MinIO 伺服器時指定 EK。MinIO 對於所有 SSE-S3 加密操作都使用相同的 EK。

您可以使用 mc encrypt set 命令啟用儲存貯體預設 SSE-S3 加密

mc encrypt set sse-s3 play/mybucket

將 play/mybucket 替換為您要啟用自動 SSE-KMS 加密的 alias 和儲存貯體。

MinIO SSE-S3 在功能上與 AWS S3 使用 Amazon S3 管理的金鑰進行伺服器端加密相容，同時擴展支援以包含以下 KMS 提供者

快速入門

重要

在 MinIO 部署上啟用 SSE 會使用預設加密金鑰自動加密該部署的後端資料。

MinIO 需要存取 KES 和外部 KMS 以解密後端並正常啟動。KMS 必須維護並提供對 MINIO_KMS_KES_KEY_NAME 的存取權限。您無法稍後停用 KES 或在稍後「還原」SSE 設定。

以下程序使用 play MinIO KES 沙箱，以支援在評估和早期開發環境中使用 SSE-S3 的 SSE。

對於擴展的開發或生產環境，請使用以下支援的外部金鑰管理服務 (KMS) 之一

重要

MinIO KES Play 沙箱是公開的，並授予對所有建立的外部金鑰 (EK) 的根存取權限。任何儲存在 Play 沙箱上的 EK 都有可能隨時被存取或銷毀，導致受保護的資料變得脆弱或永久無法讀取。

切勿使用 Play 沙箱來保護您無法承受遺失或洩漏的資料。
切勿使用會洩漏您的組織的私人、機密或內部命名慣例的名稱來產生 EK。
切勿將 Play 沙箱用於生產環境。

此程序需要以下元件

在具有網路存取來源部署的機器上安裝 mc。請參閱 mc 的安裝快速入門以取得下載和安裝 mc 的說明。
在具有網際網路存取權的機器上安裝 MinIO 金鑰加密服務 (KES)。請參閱 KES 入門指南以取得下載、安裝和設定 KES 的說明。

1) 建立用於 SSE-S3 加密的加密金鑰

使用 kes 命令列工具建立新的外部金鑰 (EK) 以用於 SSE-S3 加密。

以下命令會檢索連接到 KES play 沙箱的 KES 伺服器的根身分

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

在終端機或 Shell 中設定以下環境變數

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

`KES_CLIENT_KEY`	KES 伺服器上身分的私密金鑰。此身分必須至少授權存取 `/v1/create`、`/v1/generate` 和 `/v1/list` API 端點。此步驟使用 MinIO `play` KES 沙箱的 `root` 身分，該身分提供對 KES 伺服器上所有操作的存取權限。
`KES_CLIENT_CERT`	KES 伺服器上身分的對應憑證。此步驟使用 MinIO `play` KES 沙箱的 `root` 身分，該身分提供對 KES 伺服器上所有操作的存取權限。

以下命令會透過 KES CLI 建立新的 EK

kes key create my-minio-sse-s3-key

本教學課程使用範例名稱 my-minio-sse-s3-key 以方便參考。請指定唯一的金鑰名稱，以避免與現有金鑰發生衝突。

2) 設定 MinIO 以進行 SSE-S3 物件加密

在部署中的每個 MinIO 伺服器主機上的 Shell 或終端機中指定以下環境變數

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

注意

API 金鑰是與 KES 伺服器進行驗證的首選方式，因為它提供簡化且安全的 KES 伺服器驗證程序。
或者，指定 MINIO_KMS_KES_KEY_FILE 和 MINIO_KMS_KES_CERT_FILE，而不是 MINIO_KMS_KES_API_KEY。

API 金鑰與基於憑證的驗證互斥。指定 API 金鑰變數或金鑰檔案和憑證檔案變數。
本網站上的文件使用 API 金鑰。

`MINIO_KMS_KES_ENDPOINT`	MinIO `Play` KES 服務的端點。
`MINIO_KMS_KES_KEY_FILE`	對應於 KES 服務上身分的私密金鑰檔案。此身分必須授權建立、產生和解密金鑰的權限。請指定與上一步中的 `KES_KEY_FILE` 環境變數相同的身分金鑰檔案。
`MINIO_KMS_KES_CERT_FILE`	對應於 KES 服務上身分的公開憑證檔案。此身分必須授權建立、產生和解密金鑰的權限。請指定與上一步中的 `KES_CERT_FILE` 環境變數相同的身分憑證。
`MINIO_KMS_KES_KEY_NAME`	用於執行 SSE 加密操作的外部金鑰 (EK) 名稱。KES 會從已設定的金鑰管理系統 (KMS) 檢索 EK。請指定上一步中建立的金鑰名稱。

3) 重新啟動 MinIO 部署以啟用 SSE-S3

您必須重新啟動 MinIO 部署才能套用組態變更。請使用 mc admin service restart 命令來重新啟動部署。

mc admin service restart ALIAS

將 ALIAS 取代為要重新啟動的部署的別名。

4) 設定自動儲存貯體加密

選用

如果您只想使用用戶端驅動的 SSE-S3，則可以跳過此步驟。

使用 mc encrypt set 命令來啟用對寫入特定儲存貯體的所有物件的自動 SSE-S3 保護。

mc encrypt set sse-s3 ALIAS/BUCKET

將 ALIAS 取代為您啟用 SSE-S3 的 MinIO 部署的 別名。
將 BUCKET 取代為您要啟用自動 SSE-S3 的儲存貯體或儲存貯體首碼的完整路徑。

安全清除和鎖定

SSE-S3 使用在伺服器啟動時透過 MINIO_KMS_KES_KEY_NAME 環境變數指定的 EK 保護物件。因此，MinIO 需要存取該 EK 才能解密該物件。

暫時停用 EK 會使部署中的 SSE-S3 加密物件無法讀取，從而鎖定這些物件。您稍後可以啟用 EK 以恢復正常的讀取操作。
刪除 EK 會使部署中所有 SSE-S3 加密的物件永久無法讀取。如果 KMS 沒有或不支援 EK 的備份，則此程序是不可逆轉的。

EK 的範圍取決於

哪些儲存貯體指定了自動 SSE-S3 加密，以及
哪些寫入操作要求了 SSE-S3 加密。

加密程序

注意

以下章節描述 MinIO 的內部邏輯和功能。此資訊純粹是教育性的，並非設定或實作任何 MinIO 功能所必需的。

SSE-S3 使用由已設定的金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 來執行密碼編譯操作和保護物件。下表描述了加密程序的每個階段

階段	描述
啟用 SSE 的寫入操作	MinIO 接收要求 SSE-S3 加密的寫入操作。MinIO 會使用指定為 `MINIO_KMS_KES_KEY_NAME` 的金鑰名稱作為外部金鑰 (EK)。
產生資料加密金鑰 (DEK)	MinIO 使用 EK 產生資料加密金鑰 (DEK)。具體而言，MinIO 金鑰加密服務 (KES) 使用 EK 作為「根」金鑰，從 KMS 請求新的密碼編譯金鑰。 KES 會傳回 DEK 的純文字和EK 加密表示。MinIO 會將加密的表示儲存為物件中繼資料的一部分。
產生金鑰加密金鑰 (KEK)	MinIO 使用決定性演算法來產生 256 位元的唯一金鑰加密金鑰 (KEK)。金鑰衍生演算法使用虛擬隨機函數，該函數會採用純文字 DEK、隨機產生的初始化向量，以及由儲存貯體和物件名稱等值組成的內容。 MinIO 會在每次密碼編譯加密或解密操作時產生 KEK，絕對不會將 KEK 儲存到磁碟機。
產生物件加密金鑰 (OEK)	MinIO 會產生隨機的 256 位元唯一物件加密金鑰 (OEK)，並使用該金鑰來加密物件。MinIO 絕對不會在磁碟機上儲存 OEK 的純文字表示。在密碼編譯操作期間，純文字 OEK 會駐留在 RAM 中。
加密物件	MinIO 使用OEK在將物件儲存到磁碟之前對其進行加密。然後，MinIO 使用KEK加密OEK。 MinIO 將OEK和DEK的加密表示形式儲存為中繼資料的一部分。