使用每個儲存桶金鑰的伺服器端加密 (SSE-KMS)

快速入門

以下程序使用 play MinIO KES 沙箱，以在評估和早期開發環境中支援使用 SSE-KMS 的 SSE。

對於擴展的開發或生產環境，請使用以下支援的外部金鑰管理服務 (KMS) 之一。

• AWS Secrets Manager

• Azure Key Vault

• Entrust KeyControl

• Fortanix SDKMS

• Google Cloud Secret Manager

• HashiCorp Vault Keystore

• Thales CipherTrust Manager（以前稱為 Gemalto KeySecure）

此程序需要以下元件

• 在具有網路連線至來源部署的機器上安裝 mc。請參閱 mc 的 安裝快速入門，以取得下載和安裝 mc 的說明。

• 在具有網際網路連線的機器上安裝 MinIO 金鑰加密服務 (KES)。請參閱 kes 的 入門 指南，以取得下載、安裝和設定 KES 的說明。

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

kes key create my-minio-sse-kms-key

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

mc admin service restart ALIAS

mc encrypt set sse-kms my-minio-sse-kms-key ALIAS/BUCKET

安全清除和鎖定

SSE-KMS 使用 EK 保護物件，此金鑰指定為儲存貯體自動加密設定的一部分，*或* 作為寫入操作的一部分。因此，MinIO *必須* 存取該 EK 才能解密該物件。

• 停用 EK 會暫時鎖定以該 EK 加密的物件，使其無法讀取。您稍後可以啟用 EK 以恢復對這些物件的正常讀取操作。

• 刪除 EK 會使所有由該 EK 加密的物件 *永久* 無法讀取。如果 KMS 沒有或不支援 EK 的備份，則此過程是 *不可逆轉的*。

單個 EK 的範圍取決於

• 哪些儲存貯體指定該 EK 用於自動 SSE-KMS 加密，*以及*

• 哪些寫入操作在請求 SSE-KMS 加密時指定了該 EK。

例如，假設 MinIO 部署每個儲存貯體使用一個 EK。停用單個 EK 會使關聯儲存貯體中的所有物件無法讀取，而不影響其他儲存貯體。如果部署改為對所有物件和儲存貯體使用一個 EK，則停用該 EK 會使部署中的所有物件無法讀取。

加密過程

SSE-KMS 使用由已設定的金鑰管理系統 (KMS) 管理的外部金鑰 (EK)，以執行加密操作並保護物件。下表描述了加密過程的每個階段

對於讀取操作，MinIO 會擷取 EK 以解密 DEK，進而解密物件。然後，MinIO 會重新產生 KEK，解密 OEK，並解密物件。