访问管理

概述

MinIO 使用基于策略的访问控制 (PBAC) 来定义经过身份验证的用户有权访问的授权操作和资源。每个策略都描述了一个或多个操作和条件，这些操作和条件概述了用户或用户组的权限。

MinIO PBAC 构建为与 AWS IAM 策略语法、结构和行为兼容。MinIO 文档尽最大努力涵盖特定于 IAM 的行为和功能。请考虑参考IAM 文档以获取有关 AWS IAM 特定主题的更完整文档。

mc admin policy 命令支持在 MinIO 部署上创建和管理策略。请参阅命令参考以获取使用示例。

基于标签的策略条件

内置策略

MinIO 提供以下内置策略，用于分配给用户或组

consoleAdmin

授予对 MinIO 部署上所有资源的所有 S3 和管理 API 操作的完全访问权限。等效于以下操作集

• s3:*

• admin:*

readonly

授予对 MinIO 部署上的任何对象只读权限。GET 操作**必须**应用于特定对象，无需任何列出操作。等效于以下操作集

• s3:GetBucketLocation

• s3:GetObject

例如，此策略专门支持对特定路径上的对象执行 GET 操作（例如 GET play/mybucket/object.file），例如

• mc cp

• mc stat

• mc head

• mc cat

故意排除列出权限，因为典型用例不希望“只读”角色能够完全发现（列出所有存储桶和对象）对象存储资源。

readwrite

授予对 MinIO 服务器上的所有存储桶和对象读写权限。等效于 s3:*。

diagnostics

授予对 MinIO 部署执行诊断操作的权限。具体包括以下操作

• admin:ServerTrace

• admin:Profiling

• admin:ConsoleLog

• admin:ServerInfo

• admin:TopLocksInfo

• admin:OBDInfo

• admin:BandwidthMonitor

• admin:Prometheus

writeonly

授予对 MinIO 部署上的任何命名空间（存储桶和对象路径）的只写权限。PUT 操作**必须**应用于特定对象位置，无需任何列出操作。等效于 s3:PutObject 操作。

使用 mc admin policy attach 将策略关联到 MinIO 部署上的用户或组。

例如，考虑以下用户表。每个用户都分配了一个 内置策略 或支持的 操作。该表描述了如果以该用户身份进行身份验证，客户端可以执行的操作子集

每个用户只能访问内置角色**明确**授予的那些资源和操作。默认情况下，MinIO 拒绝访问任何其他资源或操作。

策略文档结构

MinIO 策略文档使用与 AWS IAM 策略 文档相同的架构。

以下示例文档提供了用于创建自定义策略以与 MinIO 部署一起使用的模板。有关 IAM 策略元素的更完整文档，请参阅 IAM JSON 策略元素参考。

任何单个策略文档的最大大小为 20KiB。可以附加到用户或组的策略文档数量没有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 对于 Statement.Action 数组，请指定一个或多个 支持的 S3 API 操作。

• 对于 Statement.Resource 键，请指定要限制策略的存储桶或存储桶前缀。您可以根据 S3 资源规范 使用 * 和 ? 通配符。

  * 通配符可能导致策略意外应用于多个存储桶或前缀，具体取决于 模式匹配。例如，arn:aws:s3:::data* 将匹配存储桶 data、data_private 和 data_internal。仅将 * 指定为资源键会将策略应用于部署上的所有存储桶和前缀。

• 对于 Statement.Condition 键，您可以指定一个或多个 支持的条件。

支持的 S3 策略操作

MinIO 策略文档支持 IAM S3 操作键 的一个子集。本节还包括特定操作支持的任何 条件键，这些键超出了支持键的通用集合。

以下操作控制对常见 S3 操作的访问。其余子部分记录了更高级 S3 操作的操作

s3:*

选择器，用于**所有** MinIO S3 操作。将此操作应用于给定资源允许用户对该资源执行**任何** S3 操作。

s3:CreateBucket

控制对 CreateBucket S3 API 操作的访问。

s3:DeleteBucket

控制对 DeleteBucket S3 API 操作的访问。

s3:ForceDeleteBucket

控制对带有 x-minio-force-delete 标志的操作的 DeleteBucket S3 API 操作的访问。删除非空存储桶需要此操作。

s3:GetBucketLocation

控制对 GetBucketLocation S3 API 操作的访问。

s3:ListAllMyBuckets

控制对 ListBuckets S3 API 操作的访问。

s3:DeleteObject

控制对 DeleteObject S3 API 操作的访问。

s3:GetObject

控制对 GetObject S3 API 操作的访问。

支持以下其他 条件键

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:ListBucket

控制对 ListObjectsV2 S3 API 操作的访问。

支持以下其他 条件键

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

控制对 PutObject S3 API 操作的访问。

支持以下其他 条件键

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

控制对 PutObjectTagging S3 API 操作的访问。

支持以下其他 条件键

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

控制对 GetObjectTagging S3 API 操作的访问。

支持以下其他 条件键

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

控制对 DeleteObjectTagging S3 API 操作的访问。

支持以下其他 条件键

s3:versionid
s3:ExistingObjectTag/<key>

支持的 S3 策略条件键

MinIO 策略文档支持 IAM 条件语句。

每个条件元素包含 运算符 和条件键。MinIO 支持 IAM 条件键的一个子集。有关任何列出条件键的完整信息，请参阅 IAM 条件元素文档

MinIO 支持以下条件键，适用于所有支持的 操作

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

• aws:PrincipalType

• aws:userid

• aws:username

• x-amz-content-sha256

• s3:signatureAge

有关特定 S3 操作支持的其他键，请参阅该操作的参考文档。

mc admin 策略操作键

MinIO 支持以下操作，用于定义 mc admin 操作的策略。这些操作 *仅* 对 MinIO 部署有效，并且 *不* 适用于其他与 S3 兼容的服务

admin:*

所有 admin 操作键的选择器。

admin:Heal

允许执行 heal 命令

admin:StorageInfo

允许列出服务器信息

admin:DataUsageInfo

允许列出数据使用信息

admin:TopLocksInfo

允许列出顶级锁

admin:Profiling

允许分析

admin:ServerTrace

允许列出服务器跟踪

admin:ConsoleLog

允许在终端上列出控制台日志

admin:KMSCreateKey

允许创建新的 KMS 主密钥

admin:KMSKeyStatus

允许获取 KMS 密钥状态

admin:ServerInfo

允许列出服务器信息

admin:OBDInfo

允许获取集群板载诊断信息

admin:ServerUpdate

允许 MinIO 二进制文件更新

admin:ServiceRestart

允许重启 MinIO 服务。

admin:ServiceStop

允许停止 MinIO 服务。

admin:ConfigUpdate

允许 MinIO 配置管理

admin:CreateUser

允许创建 MinIO 用户

admin:DeleteUser

允许删除 MinIO 用户

admin:ListUsers

允许列出用户权限

admin:EnableUser

允许启用用户权限

admin:DisableUser

允许禁用用户权限

admin:GetUser

允许对用户信息执行 GET 操作

admin:AddUserToGroup

允许将用户添加到组的权限

admin:RemoveUserFromGroup

允许将用户从组中移除的权限

admin:GetGroup

允许获取组信息

admin:ListGroups

允许列出组权限

admin:EnableGroup

允许启用组权限

admin:DisableGroup

允许禁用组权限

admin:CreatePolicy

允许创建策略权限

admin:DeletePolicy

允许删除策略权限

admin:GetPolicy

允许获取策略权限

admin:AttachUserOrGroupPolicy

允许将策略附加到用户/组

admin:ListUserPolicies

允许列出用户策略

admin:CreateServiceAccount

允许创建 MinIO 访问密钥

admin:UpdateServiceAccount

允许更新 MinIO 访问密钥

admin:RemoveServiceAccount

允许删除 MinIO 访问密钥

admin:ListServiceAccounts

允许列出 MinIO 访问密钥。

admin:SetBucketQuota

允许设置存储桶配额。

admin:GetBucketQuota

允许获取存储桶配额。

admin:SetBucketTarget

允许设置存储桶目标。

admin:GetBucketTarget

允许获取存储桶目标。

admin:SetTier

允许使用 mc ilm tier 命令创建和修改远程存储层级。

admin:ListTier

允许使用 mc ilm tier 命令列出已配置的远程存储层级。

admin:BandwidthMonitor

允许检索与当前带宽消耗相关的指标。

admin:Prometheus

允许访问 MinIO 指标。仅当 MinIO 需要身份验证才能抓取指标时才需要。

admin:ListBatchJobs

允许访问列出活动批处理作业。

admin:DescribeBatchJobs

允许访问查看正在运行的批处理作业的定义详细信息。

admin:StartBatchJob

允许用户开始批处理作业运行。

admin:CancelBatchJob

允许用户停止当前正在处理的批处理作业。

admin:Rebalance

允许访问启动、查询或停止跨具有不同可用存储空间的池的对象重新平衡。

mc admin 策略条件键

MinIO 支持以下条件，用于定义 mc admin 操作 的策略。

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

有关任何列出的条件键的完整信息，请参阅 IAM 条件元素文档。

策略变量

MinIO 支持使用策略变量，以便自动将来自已认证用户和/或操作的上下文替换到用户的已分配策略或策略中。使用 ${POLICYVARIABLE} 格式将变量指定到策略，作为 Condition 或 Resource 定义的一部分。MinIO 策略变量的功能类似于 AWS IAM 策略元素：变量和标签。

每个 MinIO 身份提供程序 支持其自己的一组策略变量。

• MinIO 策略变量

• OpenID 策略变量

• Active Directory / LDAP 策略变量

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${aws:username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${jwt:preferred_username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${jwt:preferred_username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${ldap:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${ldap:username}/*"]
      }
   ]
}