安全檢查清單

在規劃生產環境、分散式 MinIO 部署的安全組態時，請使用以下檢查清單。

必要步驟

	在 MinIO 或選定的第三方身分提供者 (LDAP/Active Directory 或 OpenID) 上定義群組原則
	在 MinIO 或選定的第三方身分提供者上定義個別存取原則
	（僅適用於 Kubernetes 部署）將租戶配置為使用選定的第三方身分提供者
	允許 TCP 流量通過防火牆存取 MinIO 伺服器 S3 API 監聽埠（預設值：`9000`）。
	允許 TCP 流量通過防火牆存取MinIO 伺服器主控台監聽埠（建議預設值：`9090`）。

靜態加密

MinIO 透過金鑰加密服務 (KES) 支援以下外部 KMS 提供者

	下載並安裝 MinIO 金鑰加密服務 (KES)
	啟用 TLS
	為 KES 產生私密金鑰和公開金鑰
	為 MinIO 產生私密金鑰和公開金鑰
	建立 KES 組態檔並啟動服務
	為金鑰管理服務 (KMS) 產生外部金鑰
	將 MinIO 連線到 KES
	啟用伺服器端加密

傳輸中加密（「In flight」）

	啟用 TLS
	為每個存取 MinIO 的內部和外部網域新增個別的憑證和金鑰
	使用支援的 TLS 1.3 或 TLS 1.2 密碼產生公開和私密 TLS 金鑰
	設定信任的憑證授權機構 (CA) 儲存
	公開您的 Kubernetes 服務，例如使用 NGINX
	（選用）驗證憑證，例如使用 https://www.sslchecker.com/certdecoder