使用者管理

概觀

MinIO 使用者由唯一的存取金鑰（使用者名稱）和對應的密碼金鑰（密碼）組成。用戶端必須指定現有 MinIO 使用者的有效存取金鑰（使用者名稱）和對應的密碼金鑰（密碼）來驗證其身分。

每個使用者可以有一個或多個已指派的 原則，其中明確列出該使用者有權存取的動作和資源。使用者也可以從他們所屬的 群組 繼承原則。

MinIO 預設拒絕存取使用者已指派或繼承的 原則 中未明確允許的所有動作或資源。您必須明確指派描述使用者授權動作和資源的 原則，或將使用者指派給具有相關原則的 群組。如需更多資訊，請參閱 存取管理。

本頁記錄 MinIO 內部身分識別提供者 (IDP) 的使用者管理。MinIO 也使用 OpenID Connect (OIDC) 或 Active Directory/LDAP 身分識別提供者 (IDP) 進行外部身分識別管理。如需更多資訊，請參閱

• OpenID Connect 存取管理

• Active Directory / LDAP 存取管理

啟用外部身分識別管理會停用 MinIO 內部 IDP，但建立 存取金鑰 除外。

存取金鑰

MinIO 存取金鑰（以前稱為「服務帳戶」）是已驗證的 MinIO 使用者的子身分識別，包括外部管理的身分識別。每個存取金鑰根據附加到其父使用者或父使用者所屬群組的 原則 繼承其權限。存取金鑰還支援選用的內嵌原則，以進一步限制對父使用者可用的動作和資源的子集的存取。

MinIO 使用者可以產生任意數量的存取金鑰。這允許應用程式擁有者為其應用程式產生任意存取金鑰，而無需 MinIO 管理員採取任何動作。由於產生的存取金鑰具有與父級相同或較少的權限，因此管理員可以專注於管理最上層的父使用者，而無需微觀管理產生的存取金鑰。

您可以使用 MinIO 主控台 或使用 mc admin user svcacct add 命令來建立存取金鑰。使用這些方法建立的身分識別在您移除存取金鑰或父帳戶之前不會過期。

您也可以使用 AssumeRole STS API 端點，以程式化的方式建立安全權杖服務帳戶。STS 權杖預設在 1 小時後到期，但您可以將到期時間設定為建立後最多 7 天。

MinIO root 使用者

MinIO 部署有一個 root 使用者，可以存取部署上的所有操作和資源，無論配置的身分管理器為何。當 minio 伺服器首次啟動時，它會檢查以下環境變數的值，以設定 root 使用者憑證

• MINIO_ROOT_USER

• MINIO_ROOT_PASSWORD

輪換 root 使用者憑證需要為部署中的所有 MinIO 伺服器更新其中一個或兩個變數。為 root 憑證指定長、獨特且隨機的字串。請採取一切可能的預防措施來儲存存取金鑰和密碼金鑰，確保只有已知且受信任、需要對部署擁有超級使用者存取權的人員才能檢索 root 憑證。

• MinIO 強烈建議不要將 root 使用者用於常規的客戶端存取，無論環境為何（開發、預備或生產）。

• MinIO 強烈建議建立使用者，以便每個客戶端都能存取執行其指定工作負載所需的最小操作和資源集。

如果未設定這些變數，minio 會預設使用 minioadmin 和 minioadmin 作為存取金鑰和密碼金鑰。無論部署環境為何，MinIO 都強烈建議不要使用預設憑證。

使用者管理

mc admin user add ALIAS ACCESSKEY SECRETKEY

mc admin policy attach ALIAS readwrite --user=USERNAME

mc admin user rm ALIAS USERNAME