金鑰加密服務設定

MinIO 伺服器包含三組環境變數，用於管理 MinIO 伺服器如何與金鑰加密服務 (KES)、金鑰管理服務 (KMS) 或靜態金鑰檔案互動。您只能定義三組中的一組。如果定義了多種類型的環境變數組，MinIO 會傳回錯誤。

注意

這些設定沒有與 mc admin config set 一起使用的組態設定選項。

在啟動或重新啟動 MinIO 程序之前，在主機系統中定義這些環境變數的任一組。有關如何定義環境變數，請參閱您的作業系統文件。

重要

每個組態設定都會控制基本的 MinIO 行為和功能。MinIO 強烈建議在應用於生產環境之前，先在較低的環境（例如 DEV 或 QA）中測試組態變更。

金鑰加密服務

定義以下變數以使用金鑰加密服務 (KES) 連接到受支援的第三方金鑰管理服務供應商。

MINIO_KMS_KES_ENDPOINT: MinIO 金鑰加密服務 (KES) 程序用於支援 SSE-S3 和 MinIO 後端加密作業的端點。使用 , 分隔多個 KES 端點。

MINIO_KMS_KES_KEY_NAME

在 KES 伺服器上設定的金鑰管理系統 (KMS) 上的外部金鑰名稱，用於執行加密/解密作業。MinIO 將此金鑰用於以下用途：

重要

在 MinIO 部署上啟用 SSE 會自動使用預設加密金鑰加密該部署的後端資料。

MinIO *必須* 存取 KES 和外部 KMS 才能解密後端並正常啟動。KMS **必須** 維護並提供對 MINIO_KMS_KES_KEY_NAME 的存取權。您無法稍後停用 KES 或「復原」稍後的 SSE 設定。

MINIO_KMS_KES_API_KEY

使用從 kes identity new 命令取得的 KES API 金鑰向加密服務驗證身份的首選方法。

MINIO_KMS_KES_KEY_FILE

與 MINIO_KMS_KES_CERT_FILE x.509 憑證關聯的私鑰，用於向 KES 伺服器驗證身份。KES 伺服器要求客戶端出示其憑證以執行相互 TLS (mTLS)。

請參閱 KES wiki 以取得關於 KES 存取控制的更完整文件。

MINIO_KMS_KES_CERT_FILE

要呈現給 KES 伺服器的 x.509 憑證。KES 伺服器要求客戶端出示其憑證以執行相互 TLS (mTLS)。

KES 伺服器從憑證計算身份，並將其與配置的政策進行比較。KES 伺服器僅授予 minio 伺服器對政策明確授予的那些操作的存取權。

請參閱 KES wiki 以取得關於 KES 存取控制的更完整文件。

MINIO_KMS_KES_CAPATH

選填

允許驗證自我簽署或第三方 CA 的 KES 伺服器憑證。指定您的 KES 部署的 CA 憑證所在位置的路徑。

如果您使用公用憑證授權單位，則不需要此變數。

定義以下變數以使用 MinIO KMS 來管理金鑰。

MINIO_KMS_SERVER: MinIO 金鑰管理服務 (KMS) 處理程序的端點，用於支援 SSE-S3 和 MinIO 後端加密操作。以 , 分隔多個 KMS 端點。

提供靜態 KMS 金鑰或金鑰檔案以用於加密。

MINIO_KMS_SECRET_KEY: 形式為 <key-name>:<base64-32byte-key> 的靜態 KMS 金鑰的 base64 形式。實作 KMS API 的子集。