密钥加密服务设置

MinIO Server 提供三组环境变量，用于管理 MinIO Server 与 Key Encryption Service (KES)、Key Management Service (KMS) 或静态密钥文件的交互方式。 这三组中只能定义一组。 如果定义了多种类型的环境变量组，MinIO 会返回错误。

在启动或重启 MinIO 进程之前，请在宿主系统中定义其中任意一组环境变量。 有关如何定义环境变量，请参考操作系统文档。

Key Encryption Service

定义以下变量以使用 Key Encryption Service (KES) 连接到 受支持的第三方 Key Management Service 提供商。

MINIO_KMS_KES_ENDPOINT

envvar

MinIO Key Encryption Service (KES) 进程用于支持 SSE-S3 和 MinIO 后端加密操作的 endpoint。 多个 KES endpoint 使用 , 分隔。

MINIO_KMS_KES_KEY_NAME

envvar

KES 服务器上配置的 Key Management system (KMS) 中外部密钥名称，用于执行加密和解密操作。 MinIO 将此密钥用于以下用途：

• 加密后端数据（IAM、服务器配置）。
• SSE-KMS 的默认服务端加密密钥。
• SSE-S3 的服务端加密密钥。

MINIO_KMS_KES_API_KEY

envvar

使用通过 kes identity new 命令获取的 KES API key 与加密服务进行身份认证的首选方式。

此环境变量与 MINIO_KMS_KES_KEY_FILE 和 MINIO_KMS_KES_CERT_FILE 环境变量互斥。

MINIO_KMS_KES_KEY_FILE

envvar

与 MINIO_KMS_KES_CERT_FILE x.509 证书关联的私钥，用于向 KES 服务器进行身份认证。 KES 服务器要求客户端提供证书以执行 mutual TLS (mTLS)。

有关 KES 访问控制的完整文档，请参见 KES wiki。

还必须设置 MINIO_KMS_KES_CERT_FILE。 此变量与 MINIO_KMS_KES_API_KEY 互斥。

MINIO_KMS_KES_CERT_FILE

envvar

提供给 KES 服务器的 x.509 证书。 KES 服务器要求客户端提供证书以执行 mutual TLS (mTLS)。

KES 服务器会根据证书计算 identity，并将其与已配置策略进行比对。 KES 服务器仅向 minio 服务器授予策略中明确允许的操作访问权限。

有关 KES 访问控制的完整文档，请参见 KES wiki。

还必须设置 MINIO_KMS_KES_KEY_FILE。 此变量与 MINIO_KMS_KES_API_KEY 互斥。

MINIO_KMS_KES_CAPATH

envvar

Optional

允许使用自签名或第三方 CA 验证 KES 服务器证书。 指定 KES 部署所使用的 CA 证书路径。

如果使用公共证书颁发机构，则不需要此变量。

MINIO_KMS_KES_KEY_PASSWORD

envvar

Optional

用于加密和解密 TLS 私钥的密码（如果使用）。

MinIO Key Management Server (KMS)

定义以下变量以使用 MinIO KMS 管理密钥。

MINIO_KMS_SERVER

envvar

MinIO Key Management Service (KMS) 进程用于支持 SSE-S3 和 MinIO 后端加密操作的 endpoint。 多个 KMS endpoint 使用 , 分隔。

MINIO_KMS_ENCLAVE

envvar

密钥和身份所在的 MinIO KMS Enclave。

MINIO_KMS_SSE_KEY

envvar

当调用未指定密钥身份时，用于 SSE-S3 加密的默认密钥。

MINIO_KMS_API_KEY

envvar

用于向 MinIO KMS 服务进行身份认证的凭据。

静态密钥文件

提供静态 KMS 密钥或密钥文件用于加密。

MINIO_KMS_SECRET_KEY

envvar

静态 KMS 密钥的 base64 形式，格式为 <key-name>:<base64-32byte-key>。 实现了部分 KMS API。

MINIO_KMS_SECRET_KEY_FILE

envvar

读取静态 KMS 密钥的文件路径。