使用者管理

概觀

MinIO 使用者包含唯一的存取金鑰 (使用者名稱) 和對應的秘密金鑰 (密碼)。客戶端必須透過指定現有 MinIO 使用者的有效存取金鑰 (使用者名稱) 和對應的秘密金鑰 (密碼) 來驗證其身分。

每個使用者可以有一個或多個指定的原則，明確列出該使用者有權存取的操作和資源。使用者也可以從他們所屬的群組繼承原則。

MinIO 預設拒絕存取使用者已指派或繼承的原則中未明確允許的所有操作或資源。您必須明確指派一個原則，描述使用者授權的操作和資源，或將使用者指派給具有相關原則的群組。有關更多資訊，請參閱存取管理。

此頁面記錄 MinIO 內部身分提供者 (IDP) 的使用者管理。MinIO 還可以使用 OpenID Connect (OIDC) 或 Active Directory/LDAP 身分提供者 (IDP) 來進行身分外部管理。有關更多資訊，請參閱

啟用外部身分管理會停用 MinIO 內部 IDP，但建立存取金鑰除外。

MinIO 存取金鑰（以前稱為「服務帳戶」）是已驗證的 MinIO 使用者的子身分，包括外部管理的身分。每個存取金鑰都根據附加到其父使用者的原則或父使用者所屬的群組繼承其權限。存取金鑰還支援可選的內嵌原則，以進一步限制對父使用者可用的操作和資源的子集的存取。

MinIO 使用者可以產生任意數量的存取金鑰。這允許應用程式擁有者為其應用程式產生任意存取金鑰，而無需 MinIO 管理員採取行動。由於產生的存取金鑰與父系具有相同或更少的權限，因此管理員可以專注於管理頂層父使用者，而無需微觀管理產生的存取金鑰。

您可以使用 MinIO 控制台或使用 mc admin user svcacct add 命令來建立存取金鑰。透過這些方法建立的身份驗證不會過期，除非您移除存取金鑰或父帳戶。

您也可以透過 AssumeRole STS API 端點，以程式化的方式建立安全權杖服務帳戶。STS 權杖預設在 1 小時後過期，但您可以設定最長 7 天的過期時間。

存取金鑰用於程式化存取

存取金鑰支援應用程式進行程式化存取。您無法使用存取金鑰登入 MinIO 控制台。

MinIO 部署有一個 root 使用者，無論配置的身份管理器如何，都可以存取部署中的所有操作和資源。當 minio 伺服器首次啟動時，它會透過檢查以下環境變數的值來設定 root 使用者憑證：

輪替 root 使用者憑證需要更新部署中所有 MinIO 伺服器的其中一個或兩個變數。為 root 憑證指定長、唯一和隨機的字串。請在儲存存取金鑰和密鑰時採取所有可能的預防措施，確保只有已知且信任的、需要對部署進行超級使用者存取的人員才能檢索 root 憑證。

如果這些變數未設定，minio 會預設使用 minioadmin 作為存取金鑰和密鑰。無論部署環境如何，MinIO 都強烈不建議使用預設憑證。

已棄用舊版 Root 使用者環境變數

MinIO RELEASE.2021-04-22T15-44-28Z 及更新版本已棄用以下用於設定或更新 root 使用者憑證的變數：

使用 mc admin user add 命令在 MinIO 部署上建立新使用者

mc admin user add ALIAS ACCESSKEY SECRETKEY

為 ACCESSKEY 和 SECRETKEY 指定唯一、隨機且長度夠長的字串。您的組織可能針對產生用於存取金鑰或密鑰的值有特定的內部或法規要求。

建立使用者後，使用 mc admin policy attach 將 MinIO 基於策略的存取控制與新使用者關聯。以下命令會指定內建的 readwrite 策略

mc admin policy attach ALIAS readwrite --user=USERNAME

將 USERNAME 替換為上一步中建立的 ACCESSKEY。

使用 mc admin user rm 命令移除 MinIO 部署上的使用者

mc admin user rm ALIAS USERNAME