存取管理

總覽

MinIO 使用基於原則的存取控制 (PBAC) 來定義已驗證使用者可以存取的授權動作和資源。每個原則都描述了一個或多個動作和條件，這些動作和條件概述了使用者或使用者群組的權限。

MinIO PBAC 的建構與 AWS IAM 原則語法、結構和行為相容。MinIO 文件盡力涵蓋 IAM 特定行為和功能。對於 AWS IAM 特定主題的更完整文件，請考慮參閱IAM 文件。

mc admin policy命令支援在 MinIO 部署上建立和管理原則。請參閱命令參考以取得使用範例。

基於標籤的原則條件

內建原則

MinIO 提供下列內建原則，以指派給使用者或群組

consoleAdmin

授予對 MinIO 部署上所有資源的所有 S3 和管理 API 操作的完整存取權。相當於以下一組動作

• s3:*

• admin:*

readonly

授予對 MinIO 部署上任何物件的唯讀權限。GET 動作必須套用於特定物件，而無需任何清單。相當於以下一組動作

• s3:GetBucketLocation

• s3:GetObject

例如，此策略特別支援對特定路徑上的物件執行 GET 操作（例如 GET play/mybucket/object.file），例如：

• mc cp

• mc stat

• mc head

• mc cat

故意排除列出權限，因為典型的使用案例不希望「唯讀」角色能夠完全探索物件儲存資源（列出所有儲存桶和物件）。

readwrite

授予 MinIO 伺服器上所有儲存桶和物件的讀取和寫入權限。等同於 s3:*。

diagnostics

授予對 MinIO 部署執行診斷操作的權限。具體來說，包含以下操作：

• admin:ServerTrace

• admin:Profiling

• admin:ConsoleLog

• admin:ServerInfo

• admin:TopLocksInfo

• admin:OBDInfo

• admin:BandwidthMonitor

• admin:Prometheus

writeonly

授予 MinIO 部署中任何命名空間（儲存桶和物件路徑）的唯寫權限。PUT 操作必須套用至特定的物件位置，而無需任何列出操作。等同於 s3:PutObject 操作。

使用 mc admin policy attach 將策略關聯到 MinIO 部署上的使用者或群組。

例如，考慮以下使用者表格。每個使用者都被指派一個內建策略或一個支援的操作。此表格描述了如果以該使用者身分驗證，客戶端可以執行的一部分操作：

每個使用者只能存取內建角色明確授予的那些資源和操作。MinIO 預設會拒絕存取任何其他資源或操作。

策略文件結構

MinIO 策略文件使用與 AWS IAM 策略文件相同的綱要。

以下範例文件提供了一個範本，用於建立自訂策略，以搭配 MinIO 部署使用。如需有關 IAM 策略元素的更完整文件，請參閱IAM JSON 策略元素參考。

任何單個策略文件的最大大小為 20KiB。附加到使用者或群組的策略文件數量沒有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 對於 Statement.Action 陣列，請指定一個或多個支援的 S3 API 操作。

• 對於 Statement.Resource 鍵，請指定要限制策略的儲存桶或儲存桶前置詞。您可以依照 S3 資源規格使用 * 和 ? 萬用字元。

  根據模式比對，* 萬用字元可能會導致策略意外套用到多個儲存桶或前置詞。例如，arn:aws:s3:::data* 將會比對儲存桶 data、data_private 和 data_internal。將 * 單獨指定為資源鍵，則會將策略套用到部署上的所有儲存桶和前置詞。

• 對於 Statement.Condition 鍵，您可以指定一個或多個支援的條件。

支援的 S3 策略操作

MinIO 策略文件支援 IAM S3 操作鍵的子集。本節也包含特定操作支援的任何條件鍵，超出了一組通用的支援鍵。

以下操作控制對常見 S3 操作的存取權。其餘小節記錄了更多進階 S3 操作的操作

s3:*

所有 MinIO S3 操作的選取器。將此操作套用到給定的資源，允許使用者對該資源執行任何 S3 操作。

s3:CreateBucket

控制對 CreateBucket S3 API 操作的存取權。

s3:DeleteBucket

控制對 DeleteBucket S3 API 操作的存取權。

s3:ForceDeleteBucket

控制使用 x-minio-force-delete 旗標對 DeleteBucket S3 API 操作的存取權。移除非空儲存桶時需要此操作。

s3:GetBucketLocation

控制對 GetBucketLocation S3 API 操作的存取權。

s3:ListAllMyBuckets

控制對 ListBuckets S3 API 操作的存取權。

s3:DeleteObject

控制對 DeleteObject S3 API 操作的存取權。

s3:GetObject

控制對 GetObject S3 API 操作的存取權。

支援以下額外的條件鍵

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:ListBucket

控制對 ListObjectsV2 S3 API 操作的存取權。

支援以下額外的條件鍵

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

控制對 PutObject S3 API 操作的存取權。

支援以下額外的條件鍵

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

控制對 PutObjectTagging S3 API 操作的存取權。

支援以下額外的條件鍵

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

控制對 GetObjectTagging S3 API 操作的存取權。

支援以下額外的條件鍵

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

控制對 DeleteObjectTagging S3 API 操作的存取權。

支援以下額外的條件鍵

s3:versionid
s3:ExistingObjectTag/<key>

支援的 S3 政策條件鍵

MinIO 政策文件支援 IAM 條件語句。

每個條件元素都包含運算子和條件鍵。MinIO 支援 IAM 條件鍵的子集。有關任何列出的條件鍵的完整資訊，請參閱IAM 條件元素文件

MinIO 支援以下條件鍵，適用於所有支援的操作

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

• aws:PrincipalType

• aws:userid

• aws:username

• x-amz-content-sha256

• s3:signatureAge

有關特定 S3 操作支援的其他鍵，請參閱該操作的參考文件。

mc admin 政策操作鍵

MinIO 支援以下操作，用於定義 mc admin 操作的政策。這些操作僅對 MinIO 部署有效，並不適用於其他 S3 相容服務

admin:*

所有管理操作鍵的選取器。

admin:Heal

允許 heal 命令

admin:StorageInfo

允許列出伺服器資訊

admin:DataUsageInfo

允許列出資料使用資訊

admin:TopLocksInfo

允許列出最常使用的鎖定

admin:Profiling

允許分析

admin:ServerTrace

允許列出伺服器追蹤

admin:ConsoleLog

允許在終端機上列出主控台記錄

admin:KMSCreateKey

允許建立新的 KMS 主金鑰

admin:KMSKeyStatus

允許取得 KMS 金鑰狀態

admin:ServerInfo

允許列出伺服器資訊

admin:OBDInfo

允許取得叢集內建診斷資訊

admin:ServerUpdate

允許 MinIO 二進位更新

admin:ServiceRestart

允許重新啟動 MinIO 服務。

admin:ServiceStop

允許停止 MinIO 服務。

admin:ConfigUpdate

允許 MinIO 組態管理

admin:CreateUser

允許建立 MinIO 使用者

admin:DeleteUser

允許刪除 MinIO 使用者

admin:ListUsers

允許列出使用者權限

admin:EnableUser

允許啟用使用者權限

admin:DisableUser

允許停用使用者權限

admin:GetUser

允許對使用者資訊進行 GET 存取

admin:AddUserToGroup

允許將使用者新增至群組權限

admin:RemoveUserFromGroup

允許從群組移除使用者權限

admin:GetGroup

允許取得群組資訊

admin:ListGroups

允許列出群組權限

admin:EnableGroup

允許啟用群組權限

admin:DisableGroup

允許停用群組權限

admin:CreatePolicy

允許建立政策權限

admin:DeletePolicy

允許刪除政策權限

admin:GetPolicy

允許取得政策權限

admin:AttachUserOrGroupPolicy

允許將政策附加到使用者/群組

admin:ListUserPolicies

允許列出使用者政策

admin:CreateServiceAccount

允許建立 MinIO 存取金鑰

admin:UpdateServiceAccount

允許更新 MinIO 存取金鑰

admin:RemoveServiceAccount

允許刪除 MinIO 存取金鑰

admin:ListServiceAccounts

允許列出 MinIO 存取金鑰

admin:SetBucketQuota

允許設定儲存桶配額

admin:GetBucketQuota

允許取得儲存桶配額

admin:SetBucketTarget

允許設定儲存桶目標。

admin:GetBucketTarget

允許取得儲存桶目標。

admin:SetTier

允許使用 mc ilm tier 命令建立和修改遠端儲存層。

admin:ListTier

允許使用 mc ilm tier 命令列出已設定的遠端儲存層。

admin:BandwidthMonitor

允許檢索與目前頻寬消耗相關的指標。

admin:Prometheus

允許存取 MinIO 指標。只有在 MinIO 需要驗證才能抓取指標時才需要。

admin:ListBatchJobs

允許存取以列出作用中的批次工作。

admin:DescribeBatchJobs

允許存取以檢視執行中批次工作的定義詳細資訊。

admin:StartBatchJob

允許使用者開始批次工作執行。

admin:CancelBatchJob

允許使用者停止目前正在處理中的批次工作。

admin:Rebalance

允許存取以開始、查詢或停止在具有不同可用儲存空間的集區之間重新平衡物件。

mc admin 政策條件金鑰

MinIO 支援以下條件，用於定義 mc admin 動作的政策。

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

如需任何列出條件金鑰的完整資訊，請參閱 IAM 條件元素文件。

政策變數

MinIO 支援使用政策變數，以便自動將已驗證使用者和/或操作中的內容替換到使用者指派的政策中。使用 ${POLICYVARIABLE} 格式，將變數指定為政策的一部分，作為 Condition 或 Resource 定義。MinIO 政策變數的功能類似於 AWS IAM 政策元素：變數和標籤。

每個 MinIO 身分提供者都支援其自己的一組政策變數。

• MinIO 政策變數

• OpenID 政策變數

• Active Directory / LDAP 政策變數

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${aws:username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${jwt:preferred_username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${jwt:preferred_username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${ldap:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${ldap:username}/*"]
      }
   ]
}