安全检查清单

在计划生产环境、分布式 MinIO 部署的安全配置时，请使用以下检查清单。

必需步骤

	在 MinIO 或选定的第三方身份提供商（LDAP/活动目录或 OpenID）上定义组策略。
	在 MinIO 或选定的第三方身份提供商上定义单个访问策略。
	（仅适用于 Kubernetes 部署）配置租户以使用选定的第三方身份提供商。
	为 TCP 流量授予对 MinIO 服务器 S3 API 监听端口（默认值：`9000`）的防火墙访问权限。
	为 TCP 流量授予对MinIO 服务器控制台监听端口（推荐默认值：`9090`）的防火墙访问权限。

静态加密

MinIO 通过密钥加密服务 (KES) 支持以下外部 KMS 提供商

	下载并安装 MinIO 密钥加密服务 (KES)
	启用 TLS
	为 KES 生成私钥和公钥
	为 MinIO 生成私钥和公钥
	创建 KES 配置文件并启动服务
	为密钥管理服务 (KMS) 生成外部密钥
	将 MinIO 连接到 KES
	启用服务器端加密

传输中加密（“飞行中”）

	启用 TLS
	为访问 MinIO 的每个内部和外部域添加单独的证书和密钥
	使用支持的 TLS 1.3 或 TLS 1.2 密码生成公共和私有 TLS 密钥
	配置受信任的证书颁发机构 (CA) 存储
	公开您的 Kubernetes 服务，例如使用 NGINX
	（可选）验证证书，例如使用https://www.sslchecker.com/certdecoder