伺服器端加密每部署金鑰 (SSE-S3)

MinIO 伺服器端加密 (SSE) 會在寫入作業期間保護物件，讓用戶端能夠利用伺服器處理能力在儲存層 (靜態加密) 保護物件。SSE 也為安全鎖定和抹除的監管和合規要求提供金鑰功能。

MinIO SSE 使用 MinIO 金鑰加密服務 (KES) 和外部金鑰管理服務 (KMS)，以便大規模執行安全的加密操作。MinIO 也支援用戶端管理的金鑰管理，應用程式完全負責建立和管理用於 MinIO SSE 的加密金鑰。

MinIO SSE-S3 使用金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 來加密/解密物件。啟動 MinIO 伺服器時，您必須使用 MINIO_KMS_KES_KEY_NAME 環境變數來指定 EK。MinIO 對於所有 SSE-S3 加密操作都使用相同的 EK。

您可以使用 mc encrypt set 命令來啟用預設儲存區 SSE-S3 加密

mc encrypt set sse-s3 play/mybucket

將 play/mybucket 取代為您要在其上啟用自動 SSE-KMS 加密的 別名 和儲存區。

MinIO SSE-S3 在功能上與 AWS S3 使用 Amazon S3 管理金鑰的伺服器端加密相容，同時擴展支援以包含下列 KMS 提供者

快速入門

重要

在 MinIO 部署上啟用 SSE 會使用預設加密金鑰自動加密該部署的後端資料。

MinIO 需要存取 KES 和外部 KMS 才能解密後端並正常啟動。KMS 必須維護並提供對 MINIO_KMS_KES_KEY_NAME 的存取權。您無法稍後停用 KES，也無法在稍後「取消」SSE 設定。

下列程序使用 play MinIO KES 沙箱，以支援評估和早期開發環境中具有 SSE-S3 的 SSE。

對於擴充開發或生產環境，請使用下列其中一項支援的外部金鑰管理服務 (KMS)

重要

MinIO KES Play 沙箱是公開的，並授予對所有建立的外部金鑰 (EK) 的根存取權。儲存在 Play 沙箱上的任何 EK 都可能會隨時被存取或銷毀，導致受保護的資料容易受到攻擊或永久無法讀取。

絕不要使用 Play 沙箱來保護您無法承受遺失或洩露的資料。
絕不要使用會洩露您組織的私人、機密或內部命名慣例的名稱來產生 EK。
絕不要將 Play 沙箱用於生產環境。

此程序需要下列元件

在可網路連線到來源部署的機器上安裝 mc。請參閱 mc 的安裝快速入門，以取得有關下載和安裝 mc 的說明。
在可連線網際網路的機器上安裝 MinIO 金鑰加密服務 (KES)。請參閱 KES 入門指南，以取得下載、安裝和設定 KES 的說明。

1) 為 SSE-S3 加密建立加密金鑰

使用 kes 命令列工具，建立新的外部金鑰 (EK) 以用於 SSE-S3 加密。

下列命令會擷取連線至 KES play 沙箱的 KES 伺服器的根身分。

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

在終端機或 Shell 中設定下列環境變數

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

`KES_CLIENT_KEY`	KES 伺服器上身分的私密金鑰。該身分必須至少授與 `/v1/create`、`/v1/generate` 和 `/v1/list` API 端點的存取權。此步驟使用 MinIO `play` KES 沙箱的 `root` 身分，該身分可存取 KES 伺服器上的所有操作。
`KES_CLIENT_CERT`	KES 伺服器上身分的對應憑證。此步驟使用 MinIO `play` KES 沙箱的 `root` 身分，該身分可存取 KES 伺服器上的所有操作。

下列命令會透過 KES CLI 建立新的 EK。

kes key create my-minio-sse-s3-key

本教學課程使用範例名稱 my-minio-sse-s3-key 以方便參考。指定唯一的金鑰名稱，以防止與現有金鑰衝突。

2) 設定 MinIO 以進行 SSE-S3 物件加密

在部署中每個 MinIO 伺服器主機上的 Shell 或終端機中，指定下列環境變數

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

注意

API 金鑰是向 KES 伺服器驗證身分的偏好方式，因為它提供簡化且安全的 KES 伺服器驗證流程。
或者，指定 MINIO_KMS_KES_KEY_FILE 和 MINIO_KMS_KES_CERT_FILE，而非 MINIO_KMS_KES_API_KEY。

API 金鑰與基於憑證的驗證互斥。指定 API 金鑰變數或金鑰檔案和憑證檔案變數其中一個。
本網站的文件使用 API 金鑰。

`MINIO_KMS_KES_ENDPOINT`	MinIO `Play` KES 服務的端點。
`MINIO_KMS_KES_KEY_FILE`	對應於 KES 服務上身分的私密金鑰檔案。該身分必須授與建立、產生和解密金鑰的權限。指定與上一個步驟中 `KES_KEY_FILE` 環境變數相同的身分金鑰檔案。
`MINIO_KMS_KES_CERT_FILE`	對應於 KES 服務上身分的公用憑證檔案。該身分必須授與建立、產生和解密金鑰的權限。指定與上一個步驟中 `KES_CERT_FILE` 環境變數相同的身分憑證。
`MINIO_KMS_KES_KEY_NAME`	用於執行 SSE 加密操作的外部金鑰 (EK) 名稱。KES 從設定的金鑰管理系統 (KMS) 擷取 EK。指定上一個步驟中建立的金鑰名稱。

3) 重新啟動 MinIO 部署以啟用 SSE-S3

您必須重新啟動 MinIO 部署以套用組態變更。使用 mc admin service restart 命令重新啟動部署。

mc admin service restart ALIAS

將 ALIAS 取代為要重新啟動的部署的別名。

4) 設定自動儲存貯體加密

選用

如果您打算僅使用用戶端驅動的 SSE-S3，則可以跳過此步驟。

使用 mc encrypt set 命令，以啟用自動 SSE-S3 保護寫入特定儲存貯體的所有物件。

mc encrypt set sse-s3 ALIAS/BUCKET

將 ALIAS 取代為啟用 SSE-S3 的 MinIO 部署的 別名。
將 BUCKET 取代為您要啟用自動 SSE-S3 的儲存貯體或儲存貯體前置詞的完整路徑。

安全清除和鎖定

SSE-S3 使用伺服器啟動時，使用 MINIO_KMS_KES_KEY_NAME 環境變數指定的 EK 來保護物件。因此，MinIO 需要存取該 EK 才能解密該物件。

停用 EK 會暫時鎖定部署中以 SSE-S3 加密的物件，使其無法讀取。您稍後可以啟用 EK 以恢復正常的讀取操作。
刪除 EK 會使部署中所有以 SSE-S3 加密的物件永久無法讀取。如果 KMS 沒有或不支援 EK 的備份，此程序是不可逆轉的。

EK 的範圍取決於

哪些儲存貯體指定自動 SSE-S3 加密，以及
哪些寫入操作要求 SSE-S3 加密。

加密程序

注意

以下章節說明 MinIO 的內部邏輯和功能。此資訊純粹是教育性的，對於設定或實作任何 MinIO 功能並非必要。

SSE-S3 使用設定的金鑰管理系統 (KMS) 管理的外部金鑰 (EK) 來執行加密操作和保護物件。下表說明加密程序的每個階段

階段	描述
啟用 SSE 的寫入操作	MinIO 收到要求 SSE-S3 加密的寫入操作。MinIO 使用指定為 `MINIO_KMS_KES_KEY_NAME` 的金鑰名稱作為外部金鑰 (EK)。
產生資料加密金鑰 (DEK)	MinIO 使用 EK 產生資料加密金鑰 (DEK)。具體來說，MinIO 金鑰加密服務 (KES) 使用 EK 作為「根」金鑰，從 KMS 要求新的加密金鑰。 KES 會傳回 DEK 的純文字和以 EK 加密的表示法。MinIO 會將加密的表示法儲存為物件中繼資料的一部分。
產生金鑰加密金鑰 (KEK)	MinIO 使用確定性演算法產生 256 位元的唯一金鑰加密金鑰 (KEK)。金鑰衍生演算法使用虛擬亂數函式，該函式採用純文字 DEK、隨機產生的初始化向量以及包含儲存貯體和物件名稱等值的內容。 MinIO 會在每次加密或解密操作時產生 KEK，並且永遠不會將 KEK 儲存到磁碟機。
產生物件加密金鑰 (OEK)	MinIO 會產生隨機的 256 位元唯一物件加密金鑰 (OEK)，並使用該金鑰來加密物件。MinIO 永遠不會將 OEK 的純文字表示法儲存到磁碟機。純文字 OEK 在加密操作期間會駐留在 RAM 中。
加密物件	MinIO 使用 OEK 在將物件儲存到硬碟之前對其進行加密。然後，MinIO 使用 KEK 對 OEK 進行加密。 MinIO 將 OEK 和 DEK 的加密表示形式儲存為中繼資料的一部分。