使用者管理

概觀

MinIO 使用者由唯一的存取金鑰 (使用者名稱) 和對應的密鑰 (密碼) 組成。用戶端必須透過指定現有 MinIO 使用者的有效存取金鑰 (使用者名稱) 和對應的密鑰 (密碼) 來驗證其身分。

每個使用者可以有一個或多個已指派的 政策，其中明確列出該使用者有權存取的動作和資源。使用者也可以從他們所屬的 群組 繼承政策。

根據預設，MinIO 會拒絕存取使用者指派或繼承的 政策 未明確允許的所有動作或資源。您必須明確指派描述使用者授權動作和資源的 政策，或者將使用者指派給具有相關政策的 群組。如需更多資訊，請參閱 存取管理。

此頁面記錄 MinIO 內部身分提供者 (IDP) 的使用者管理。MinIO 也使用 OpenID Connect (OIDC) 或 Active Directory/LDAP 身分提供者 (IDP) 進行身分外部管理。如需更多資訊，請參閱

• OpenID Connect 存取管理

• Active Directory / LDAP 存取管理

啟用外部身分管理會停用 MinIO 內部 IDP，但建立 存取金鑰 除外。

存取金鑰

MinIO 存取金鑰 (以前稱為「服務帳戶」) 是已驗證 MinIO 使用者的子身分，包括 外部管理的身分。每個存取金鑰都會根據附加到其父使用者的 政策 或父使用者所屬的群組繼承其權限。存取金鑰也支援可選的內嵌政策，該政策會進一步限制對父使用者可用的動作和資源的子集的存取。

MinIO 使用者可以產生任意數量的存取金鑰。這允許應用程式擁有者為其應用程式產生任意存取金鑰，而無需 MinIO 管理員採取任何動作。由於產生的存取金鑰具有與父級相同或更少的權限，因此管理員可以專注於管理最上層的父級使用者，而無需微觀管理產生的存取金鑰。

您可以使用 MinIO 主控台 或使用 mc admin user svcacct add 命令來建立存取金鑰。使用這些方法建立的身分不會過期，直到您移除存取金鑰或父帳戶為止。

您也可以使用 AssumeRole STS API 端點，以程式化的方式建立安全令牌服務帳戶。STS 令牌預設會在 1 小時後過期，但您可以將到期時間設定為從建立起最多 7 天。

MinIO root 使用者

MinIO 部署有一個 root 使用者，可以存取部署中的所有操作和資源，無論設定的身分管理器為何。當 minio 伺服器第一次啟動時，它會檢查以下環境變數的值，來設定 root 使用者的憑證

• MINIO_ROOT_USER

• MINIO_ROOT_PASSWORD

輪換 root 使用者憑證需要更新部署中所有 MinIO 伺服器的任一或兩個變數。請為 root 憑證指定長、唯一且隨機的字串。請採取所有可能的預防措施來儲存存取金鑰和密鑰，確保只有已知且信任，並且需要對部署具有超級使用者存取權的人員才能檢索 root 憑證。

• MinIO 強烈建議不要將 root 使用者用於一般用戶端存取，無論環境為何（開發、預備或生產）。

• MinIO 強烈建議建立使用者，使每個用戶端都可以存取執行其指定工作負載所需的最小操作和資源集。

如果這些變數未設定，minio 會將存取金鑰和密鑰預設為 minioadmin 和 minioadmin。MinIO 強烈建議無論部署環境為何，都不要使用預設憑證。

使用者管理

mc admin user add ALIAS ACCESSKEY SECRETKEY

mc admin policy attach ALIAS readwrite --user=USERNAME

mc admin user rm ALIAS USERNAME