伺服器端加密（每個部署金鑰）(SSE-S3)

MinIO 伺服器端加密 (SSE) 保護物件，作為寫入操作的一部分，讓用戶端能夠利用伺服器處理能力，在儲存層 (靜態加密) 安全地保護物件。SSE 也為安全鎖定和抹除的法規和合規性要求提供金鑰功能。

MinIO SSE 使用 MinIO 金鑰加密服務 (KES) 和外部金鑰管理服務 (KMS)，以大規模執行安全的加密操作。MinIO 也支援用戶端管理金鑰管理，其中應用程式完全負責建立和管理用於 MinIO SSE 的加密金鑰。

MinIO SSE-S3 使用金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 來加密/解密物件。您必須在使用 MinIO 伺服器啟動時，使用 MINIO_KMS_KES_KEY_NAME 環境變數來指定 EK。MinIO 對於所有 SSE-S3 加密操作使用相同的 EK。

您可以使用 mc encrypt set 命令來啟用儲存貯體的預設 SSE-S3 加密

mc encrypt set sse-s3 play/mybucket

將 play/mybucket 取代為您要啟用自動 SSE-KMS 加密的 別名 和儲存貯體。

MinIO SSE-S3 在功能上與 AWS S3 使用 Amazon S3 管理的金鑰的伺服器端加密相容，同時將支援範圍擴展到包括下列 KMS 提供者

快速入門

重要

在 MinIO 部署上啟用 SSE 會使用預設加密金鑰自動加密該部署的後端資料。

MinIO 需要存取 KES 和外部 KMS，才能解密後端並正常啟動。KMS 必須維護並提供對 MINIO_KMS_KES_KEY_NAME 的存取權。您稍後無法停用 KES 或「還原」稍後的 SSE 設定。

以下程序使用 play MinIO KES 沙盒，以支援在評估和早期開發環境中使用 SSE-S3 的 SSE。

對於擴展開發或生產環境，請使用以下支援的外部金鑰管理服務 (KMS) 之一

重要

MinIO KES Play 沙盒是公開的，並授予對所有已建立外部金鑰 (EK) 的根存取權。任何儲存在 Play 沙盒中的 EK 都可以隨時被存取或銷毀，導致受保護的資料變得容易遭受攻擊或永久無法讀取。

絕對不要使用 Play 沙盒來保護您無法承擔損失或洩漏的資料。
絕對不要使用揭露您組織的私人、機密或內部命名慣例的名稱來產生 EK。
絕對不要將 Play 沙盒用於生產環境。

此程序需要以下組件

在具有網路存取權限可連線至來源部署的機器上安裝 mc。如需下載和安裝 mc 的說明，請參閱 mc 安裝快速入門。
在具有網際網路存取權限的機器上安裝 MinIO 金鑰加密服務 (KES)。如需下載、安裝和設定 KES 的說明，請參閱 KES 入門指南。

1) 建立用於 SSE-S3 加密的加密金鑰

使用 kes 命令列工具來建立新的外部金鑰 (EK)，以用於 SSE-S3 加密。

以下命令會擷取連線至 KES play 沙盒的 KES 伺服器的根身分

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

在終端機或 Shell 中設定以下環境變數

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

`KES_CLIENT_KEY`	KES 伺服器上身分的私密金鑰。該身分至少必須授與 `/v1/create`、`/v1/generate` 和 `/v1/list` API 端點的存取權。此步驟使用 MinIO `play` KES 沙盒的 `root` 身分，該身分提供對 KES 伺服器上所有操作的存取權。
`KES_CLIENT_CERT`	KES 伺服器上身分的對應憑證。此步驟使用 MinIO `play` KES 沙盒的 `root` 身分，該身分提供對 KES 伺服器上所有操作的存取權。

以下命令會透過 KES CLI 建立新的 EK

kes key create my-minio-sse-s3-key

本教學課程使用範例名稱 my-minio-sse-s3-key，以方便參考。請指定唯一的金鑰名稱，以防止與現有金鑰發生衝突。

2) 設定 MinIO 以進行 SSE-S3 物件加密

在部署中每個 MinIO 伺服器主機上的 Shell 或終端機中指定以下環境變數

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

注意

API 金鑰是向 KES 伺服器進行驗證的優先方式，因為它提供簡化且安全的 KES 伺服器驗證程序。
或者，請指定 MINIO_KMS_KES_KEY_FILE 和 MINIO_KMS_KES_CERT_FILE，而不是 MINIO_KMS_KES_API_KEY。

API 金鑰與以憑證為基礎的驗證互斥。請指定 API 金鑰變數或金鑰檔案和憑證檔案變數其中一者。
本網站的文件使用 API 金鑰。

`MINIO_KMS_KES_ENDPOINT`	MinIO `Play` KES 服務的端點。
`MINIO_KMS_KES_KEY_FILE`	對應於 KES 服務上身分的私密金鑰檔案。該身分必須授與建立、產生和解密金鑰的權限。請指定與上一個步驟中 `KES_KEY_FILE` 環境變數相同的身分金鑰檔案。
`MINIO_KMS_KES_CERT_FILE`	對應於 KES 服務上身分的公用憑證檔案。該身分必須授與建立、產生和解密金鑰的權限。請指定與上一個步驟中 `KES_CERT_FILE` 環境變數相同的身分憑證。
`MINIO_KMS_KES_KEY_NAME`	用於執行 SSE 加密作業的外部金鑰 (EK) 名稱。KES 會從已設定的金鑰管理系統 (KMS) 擷取 EK。請指定在上一個步驟中建立的金鑰名稱。

3) 重新啟動 MinIO 部署以啟用 SSE-S3

您必須重新啟動 MinIO 部署以套用組態變更。使用 mc admin service restart 命令重新啟動部署。

mc admin service restart ALIAS

請將 ALIAS 取代為要重新啟動的部署的別名。

4) 設定自動儲存貯體加密

選用

如果您打算僅使用用戶端驅動的 SSE-S3，則可以略過此步驟。

使用 mc encrypt set 命令，啟用自動 SSE-S3 保護寫入特定儲存貯體的所有物件。

mc encrypt set sse-s3 ALIAS/BUCKET

請將 ALIAS 取代為您啟用 SSE-S3 的 MinIO 部署的別名。
請將 BUCKET 取代為您想要啟用自動 SSE-S3 的儲存貯體或儲存貯體前置詞的完整路徑。

安全抹除和鎖定

SSE-S3 使用在伺服器啟動時使用 MINIO_KMS_KES_KEY_NAME 環境變數指定的 EK 來保護物件。因此，MinIO 需要存取該 EK 才能解密該物件。

停用 EK 會暫時鎖定部署中已加密的 SSE-S3 物件，使其無法讀取。您稍後可以啟用 EK 以恢復正常的讀取作業。
刪除 EK 會使部署中所有已加密的 SSE-S3 物件永久無法讀取。如果 KMS 沒有或不支援 EK 的備份，則此程序是不可逆的。

EK 的範圍取決於

哪些儲存貯體指定了自動 SSE-S3 加密，以及
哪些寫入作業要求了 SSE-S3 加密。

加密程序

注意

以下章節描述 MinIO 的內部邏輯和功能。此資訊純粹是教育性的，對於設定或實作任何 MinIO 功能並非必要。

SSE-S3 使用由已設定的金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 來執行加密作業和保護物件。下表說明了加密程序的每個階段

階段	描述
啟用 SSE 的寫入作業	MinIO 接收要求 SSE-S3 加密的寫入作業。MinIO 使用指定給 `MINIO_KMS_KES_KEY_NAME` 的金鑰名稱作為外部金鑰 (EK)。
產生資料加密金鑰 (DEK)	MinIO 使用 EK 產生資料加密金鑰 (DEK)。具體而言，MinIO 金鑰加密服務 (KES) 會使用 EK 作為「根」金鑰，向 KMS 要求新的加密金鑰。 KES 會傳回 DEK 的純文字和經過 EK 加密的表示。MinIO 會將加密的表示儲存為物件中繼資料的一部分。
產生金鑰加密金鑰 (KEK)	MinIO 使用決定性演算法來產生 256 位元的唯一金鑰加密金鑰 (KEK)。金鑰衍生演算法使用虛擬隨機函式，該函式採用純文字 DEK、隨機產生的初始化向量和由儲存貯體和物件名稱等值組成的內容。 MinIO 會在每次執行加密或解密作業時產生 KEK，並且絕不會將 KEK 儲存到磁碟機。
產生物件加密金鑰 (OEK)	MinIO 會產生隨機的 256 位元唯一物件加密金鑰 (OEK)，並使用該金鑰來加密物件。MinIO 絕不會將 OEK 的純文字表示儲存在磁碟機上。純文字 OEK 會在加密作業期間駐留在 RAM 中。
加密物件	MinIO 會在將物件儲存到磁碟機之前使用 OEK 來加密物件。然後，MinIO 會使用 KEK 來加密 OEK。 MinIO 將 OEK 和 DEK 的加密表示形式儲存在元數據中。