服务器端加密每个部署密钥 (SSE-S3)
MinIO 服务器端加密 (SSE) 在写入操作中保护对象，允许客户端利用服务器的处理能力在存储层（静态加密）保护对象。SSE 还为围绕安全锁定和擦除的法规和合规性要求提供了关键功能。
MinIO SSE 使用 MinIO 密钥加密服务 (KES) 和外部密钥管理服务 (KMS) 来大规模执行安全加密操作。MinIO 还支持客户端管理的密钥管理，即应用程序全权负责创建和管理用于 MinIO SSE 的加密密钥。
MinIO SSE-S3 使用由密钥管理系统 (KMS) 管理的外部密钥 (EK) 对对象进行加密/解密。在启动 MinIO 服务器时，你必须使用 MINIO_KMS_KES_KEY_NAME 环境变量指定 EK。MinIO 对所有 SSE-S3 加密操作使用相同的 EK。
你可以使用 mc encrypt set 命令启用存储桶默认的 SSE-S3 加密。
mc encrypt set sse-s3 play/mybucket
将
play/mybucket替换为你想要启用自动 SSE-KMS 加密的别名和存储桶。
MinIO SSE-S3 在功能上与 AWS S3 使用 Amazon S3 托管密钥的服务器端加密兼容，同时扩展了对以下 KMS 提供商的支持：
快速入门
重要
在 MinIO 部署上启用 SSE 会使用默认加密密钥自动加密该部署的后端数据。
MinIO *需要*访问 KES 和外部 KMS 才能解密后端并正常启动。KMS **必须**维护并提供对 MINIO_KMS_KES_KEY_NAME 的访问权限。您不能在之后禁用 KES 或“撤销”SSE 配置。
以下过程使用 play MinIO KES 沙箱，以在评估和早期开发环境中支持使用 SSE-S3 的 SSE。
对于扩展开发或生产环境，请使用以下受支持的外部密钥管理服务 (KMS) 之一：
重要
MinIO KES Play 沙箱是公开的，并授予对所有已创建的外部密钥 (EK) 的根访问权限。存储在 Play 沙箱上的任何 EK 都可能随时被访问或销毁，从而使受保护的数据易受攻击或永久不可读。
切勿使用
Play沙箱来保护你不能丢失或泄露的数据。切勿使用会泄露你组织的私有、机密或内部命名约定的名称来生成 EK。
切勿在生产环境中使用
Play沙箱。
此过程需要以下组件：
在可访问互联网的计算机上安装 MinIO 密钥加密服务 (KES)。有关下载、安装和配置 KES 的说明，请参阅 KES 入门指南。
1) 为 SSE-S3 加密创建加密密钥
使用 kes 命令行工具创建一个新的外部密钥 (EK)，用于 SSE-S3 加密。
以下命令检索连接到 KES play 沙箱的 KES 服务器的根身份。
curl -sSL --tlsv1.2 \
-O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
-O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'
在终端或 shell 中设置以下环境变量：
export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert
|
KES 服务器上某个身份的私钥。该身份必须至少授予对 |
|---|---|
|
KES 服务器上身份的相应证书。此步骤使用 MinIO |
以下命令通过 KES CLI 创建一个新的 EK。
kes key create my-minio-sse-s3-key
本教程使用示例名称 my-minio-sse-s3-key 以便参考。请指定一个唯一的密钥名称，以防止与现有密钥冲突。
2) 为 SSE-S3 对象加密配置 MinIO
在部署中的每个 MinIO 服务器主机的 shell 或终端中指定以下环境变量：
export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key
注意
API 密钥是与 KES 服务器进行身份验证的首选方式，因为它为 KES 服务器提供了一种简化且安全的身份验证过程。
或者，指定
MINIO_KMS_KES_KEY_FILE和MINIO_KMS_KES_CERT_FILE而不是MINIO_KMS_KES_API_KEY。API 密钥与基于证书的身份验证是互斥的。请指定 API 密钥变量 *或* 密钥文件和证书文件变量。
本网站上的文档使用 API 密钥。
MinIO |
|
KES 服务上某个身份对应的私钥文件。该身份必须授予创建、生成和解密密钥的权限。指定与上一步中 |
|
KES 服务上某个身份对应的公共证书文件。该身份必须授予创建、生成和解密密钥的权限。指定与上一步中 |
|
用于执行 SSE 加密操作的外部密钥 (EK) 的名称。KES 从配置的密钥管理系统 (KMS) 检索 EK。指定在上一步中创建的密钥的名称。 |
3) 重启 MinIO 部署以启用 SSE-S3
您必须重启 MinIO 部署以应用配置更改。使用 mc admin service restart 命令重启部署。
mc admin service restart ALIAS
将 ALIAS 替换为要重新启动的部署的别名。
4) 配置自动存储桶加密
可选
如果你只打算使用客户端驱动的 SSE-S3，可以跳过此步骤。
使用 mc encrypt set 命令对写入特定存储桶的所有对象启用自动 SSE-S3 保护。
mc encrypt set sse-s3 ALIAS/BUCKET
安全擦除和锁定
SSE-S3 使用在服务器启动时通过 MINIO_KMS_KES_KEY_NAME 环境变量指定的 EK 来保护对象。因此，MinIO *需要* 访问该 EK 才能解密该对象。
禁用 EK 会通过使其不可读来暂时锁定部署中经 SSE-S3 加密的对象。你可以稍后启用 EK 来恢复正常的读取操作。
删除 EK 会使部署中所有经 SSE-S3 加密的对象*永久*不可读。如果 KMS 没有或不支持 EK 的备份，则此过程是*不可逆*的。
EK 的范围取决于：
哪些存储桶指定了自动 SSE-S3 加密，*以及*
哪些写入操作请求了 SSE-S3 加密。
加密过程
注意
以下部分描述了 MinIO 的内部逻辑和功能。此信息纯属教学性质，对于配置或实现任何 MinIO 功能都不是必需的。
SSE-S3 使用由配置的密钥管理系统 (KMS) 管理的外部密钥 (EK) 来执行加密操作和保护对象。下表描述了加密过程的每个阶段：
阶段 |
描述 |
|---|---|
启用 SSE 的写入操作 |
MinIO 收到一个请求 SSE-S3 加密的写入操作。MinIO 使用指定给 |
生成数据加密密钥 (DEK) |
MinIO 使用 EK 生成一个数据加密密钥 (DEK)。具体来说，MinIO 密钥加密服务 (KES) 使用 EK 作为“根”密钥，向 KMS 请求一个新的加密密钥。 KES 返回 DEK 的纯文本表示形式和 EK 加密的表示形式。MinIO 将加密后的表示形式存储为对象元数据的一部分。 |
生成密钥加密密钥 (KEK) |
MinIO 使用确定性算法生成一个 256 位唯一的密钥加密密钥 (KEK)。密钥派生算法使用一个伪随机函数，该函数接收纯文本 DEK、一个随机生成的初始化向量以及一个包含诸如存储桶和对象名称等值的上下文。 MinIO 在每次加密或解密操作时生成 KEK，并且*永远不会*将 KEK 存储到驱动器。 |
生成对象加密密钥 (OEK) |
MinIO 生成一个随机的 256 位唯一对象加密密钥 (OEK)，并使用该密钥来加密对象。MinIO 永远不会将 OEK 的纯文本表示形式存储在驱动器上。纯文本 OEK 在加密操作期间驻留在 RAM 中。 |
加密对象 |
MinIO 在将对象存储到驱动器*之前*，使用 OEK 来加密该对象。然后，MinIO 使用 KEK 加密 OEK。 MinIO 将 OEK 和 DEK 的加密表示形式存储为元数据的一部分。 |
