存取管理

概觀

MinIO 使用基於原則的存取控制 (PBAC) 來定義已驗證使用者有權存取的授權動作和資源。每個原則描述一個或多個動作和條件，這些動作和條件概述了使用者或使用者群組的權限。

MinIO PBAC 的設計旨在與 AWS IAM 原則語法、結構和行為相容。MinIO 文件盡力涵蓋 IAM 特定的行為和功能。請參考IAM 文件，以獲得有關 AWS IAM 特定主題的更完整文件。

mc admin policy 命令支援在 MinIO 部署上建立和管理原則。請參閱命令參考以取得使用範例。

基於標籤的原則條件

內建策略

MinIO 提供以下內建策略，以指派給使用者或群組。

consoleAdmin

授予對 MinIO 部署上所有資源的所有 S3 和管理 API 操作的完整存取權限。等同於以下動作集：

• s3:*

• admin:*

readonly

授予對 MinIO 部署上任何物件的唯讀權限。GET 動作必須應用於特定物件，而無需任何清單。等同於以下動作集：

• s3:GetBucketLocation

• s3:GetObject

例如，此策略特別支援對特定路徑上的物件執行 GET 操作（例如 GET play/mybucket/object.file），例如：

• mc cp

• mc stat

• mc head

• mc cat

排除清單權限是故意的，因為典型的使用案例並不希望「唯讀」角色在物件儲存資源上具有完整的可探索性（列出所有儲存貯體和物件）。

readwrite

授予對 MinIO 伺服器上所有儲存貯體和物件的讀取和寫入權限。等同於s3:*。

diagnostics

授予在 MinIO 部署上執行診斷動作的權限。特別包含以下動作：

• admin:ServerTrace

• admin:Profiling

• admin:ConsoleLog

• admin:ServerInfo

• admin:TopLocksInfo

• admin:OBDInfo

• admin:BandwidthMonitor

• admin:Prometheus

writeonly

授予對 MinIO 部署上任何命名空間（儲存貯體和物件路徑）的唯寫權限。PUT 動作必須應用於特定物件位置，而無需任何清單。等同於s3:PutObject 動作。

使用mc admin policy attach將策略關聯到 MinIO 部署上的使用者或群組。

例如，請考慮以下使用者表。每個使用者都被指派一個內建策略或一個支援的動作。此表描述了如果使用者以該使用者身分驗證時，用戶端可以執行的一組操作子集：

每個使用者只能存取由內建角色明確授予的那些資源和操作。MinIO 預設會拒絕存取任何其他資源或操作。

策略文件結構

MinIO 策略文件使用與AWS IAM 策略文件相同的結構描述。

以下範例文件提供了建立自訂策略以用於 MinIO 部署的範本。如需 IAM 策略元素的更完整文件，請參閱IAM JSON 策略元素參考。

任何單一策略文件的最大大小為 20KiB。可以附加到使用者或群組的策略文件數量沒有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 針對 Statement.Action 陣列，請指定一個或多個支援的 S3 API 操作。

• 針對 Statement.Resource 金鑰，請指定要限制策略的儲存貯體或儲存貯體前置詞。您可以依照S3 資源規格使用 * 和 ? 萬用字元。

  根據模式比對， * 萬用字元可能會導致策略無意中應用於多個儲存貯體或前置詞。例如，arn:aws:s3:::data* 將會比對 data、data_private 和 data_internal 儲存貯體。僅指定 * 作為資源金鑰會將策略應用於部署中的所有儲存貯體和前置詞。

• 針對 Statement.Condition 金鑰，您可以指定一個或多個支援的條件。

支援的 S3 策略動作

MinIO 策略文件支援 IAM S3 動作金鑰的子集。本節還包含特定動作支援的任何條件金鑰，超出支援金鑰的常見集合。

以下動作控制對常見 S3 操作的存取。其餘小節記載了更多進階 S3 操作的動作。

s3:*

所有 MinIO S3 操作的選取器。將此動作應用於給定的資源可讓使用者對該資源執行任何 S3 操作。

s3:CreateBucket

控制對CreateBucket S3 API 操作的存取。

s3:DeleteBucket

控制對DeleteBucket S3 API 操作的存取。

s3:ForceDeleteBucket

控制對DeleteBucket S3 API 操作的存取，以用於具有 x-minio-force-delete 旗標的操作。移除非空的儲存貯體時需要。

s3:GetBucketLocation

控制對 GetBucketLocation S3 API 操作的存取權。

s3:ListAllMyBuckets

控制對 ListBuckets S3 API 操作的存取權。

s3:DeleteObject

控制對 DeleteObject S3 API 操作的存取權。

s3:GetObject

控制對 GetObject S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:ListBucket

控制對 ListObjectsV2 S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

控制對 PutObject S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

控制對 PutObjectTagging S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

控制對 GetObjectTagging S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

控制對 DeleteObjectTagging S3 API 操作的存取權。

支援下列額外的條件金鑰

s3:versionid
s3:ExistingObjectTag/<key>

支援的 S3 政策條件索引鍵

MinIO 政策文件支援 IAM 條件陳述式。

每個條件元素都包含運算子和條件索引鍵。MinIO 支援 IAM 條件索引鍵的子集。如需有關任何列出條件索引鍵的完整資訊，請參閱IAM 條件元素文件

MinIO 支援以下條件索引鍵，適用於所有支援的動作

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

• aws:PrincipalType

• aws:userid

• aws:username

• x-amz-content-sha256

• s3:signatureAge

如需特定 S3 動作所支援的其他索引鍵，請參閱該動作的參考文件。

mc admin 政策動作索引鍵

MinIO 支援以下動作，以用於定義 mc admin 操作的政策。這些動作_僅_對 MinIO 部署有效，且_不_適用於其他 S3 相容服務

admin:*

所有管理動作索引鍵的選取器。

admin:Heal

允許 heal 命令

admin:StorageInfo

允許列出伺服器資訊

admin:DataUsageInfo

允許列出資料使用資訊

admin:TopLocksInfo

允許列出最上層鎖定

admin:Profiling

允許分析

admin:ServerTrace

允許列出伺服器追蹤

admin:ConsoleLog

允許在終端機上列出主控台記錄

admin:KMSCreateKey

允許建立新的 KMS 主要金鑰

admin:KMSKeyStatus

允許取得 KMS 金鑰狀態

admin:ServerInfo

允許列出伺服器資訊

admin:OBDInfo

允許取得叢集內建診斷

admin:ServerUpdate

允許 MinIO 二進位更新

admin:ServiceRestart

允許重新啟動 MinIO 服務。

admin:ServiceStop

允許停止 MinIO 服務。

admin:ConfigUpdate

允許 MinIO 配置管理。

admin:CreateUser

允許建立 MinIO 使用者。

admin:DeleteUser

允許刪除 MinIO 使用者。

admin:ListUsers

允許列出使用者權限。

admin:EnableUser

允許啟用使用者權限。

admin:DisableUser

允許停用使用者權限。

admin:GetUser

允許取得使用者資訊的 GET 權限。

admin:AddUserToGroup

允許將使用者加入群組的權限。

admin:RemoveUserFromGroup

允許將使用者從群組移除的權限。

admin:GetGroup

允許取得群組資訊。

admin:ListGroups

允許列出群組權限。

admin:EnableGroup

允許啟用群組權限。

admin:DisableGroup

允許停用群組權限。

admin:CreatePolicy

允許建立原則權限。

admin:DeletePolicy

允許刪除原則權限。

admin:GetPolicy

允許取得原則權限。

admin:AttachUserOrGroupPolicy

允許將原則附加至使用者/群組。

admin:ListUserPolicies

允許列出使用者原則。

admin:CreateServiceAccount

允許建立 MinIO 存取金鑰。

admin:UpdateServiceAccount

允許更新 MinIO 存取金鑰。

admin:RemoveServiceAccount

允許刪除 MinIO 存取金鑰。

admin:ListServiceAccounts

允許列出 MinIO 存取金鑰。

admin:SetBucketQuota

允許設定儲存桶配額。

admin:GetBucketQuota

允許取得儲存桶配額。

admin:SetBucketTarget

允許設定儲存桶目標。

admin:GetBucketTarget

允許取得儲存桶目標。

admin:SetTier

允許使用 mc ilm tier 命令建立和修改遠端儲存層。

admin:ListTier

允許使用 mc ilm tier 命令列出已設定的遠端儲存層。

admin:BandwidthMonitor

允許檢索與目前頻寬消耗相關的指標。

admin:Prometheus

允許存取 MinIO 指標。僅當 MinIO 需要驗證才能抓取指標時才需要。

admin:ListBatchJobs

允許存取列出活動批次工作的權限。

admin:DescribeBatchJobs

允許存取檢視執行中批次工作的定義詳細資訊的權限。

admin:StartBatchJob

允許使用者開始執行批次工作。

admin:CancelBatchJob

允許使用者停止目前正在處理中的批次工作。

admin:Rebalance

允許存取啟動、查詢或停止在具有不同可用儲存空間的集區之間重新平衡物件的權限。

mc admin 原則條件金鑰

MinIO 支援以下條件，以便用於定義 mc admin 動作 的原則。

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

如需任何列出的條件金鑰的完整資訊，請參閱 IAM 條件元素文件。

原則變數

MinIO 支援使用原則變數，以自動將經過驗證的使用者和/或操作的內容替換到使用者已指派的原則中。使用 ${POLICYVARIABLE} 格式在 Condition 或 Resource 定義中指定原則的變數。MinIO 原則變數的功能與 AWS IAM 原則元素：變數和標籤類似。

每個 MinIO 身分提供者 都支援其自身的一組原則變數

• MinIO 原則變數

• OpenID 原則變數

• Active Directory / LDAP 原則變數

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${aws:username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${jwt:preferred_username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${jwt:preferred_username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${ldap:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${ldap:username}/*"]
      }
   ]
}