安全检查清单

在规划生产环境中分布式 MinIO 部署的安全配置时，请使用以下检查清单。

必需步骤

	在 MinIO 或选定的第三方身份提供者（LDAP/Active Directory 或 OpenID）上定义组策略
	在 MinIO 或选定的第三方身份提供者上定义个人访问策略
	（仅适用于 Kubernetes 部署）配置租户使用选定的第三方身份提供者
	授予防火墙对 TCP 流量访问 MinIO 服务器 S3 API 监听端口（默认：`9000`）的权限。
	授予防火墙对 TCP 流量访问 MinIO 服务器控制台监听端口（推荐默认值：`9090`）的权限。

静止状态加密

MinIO 通过密钥加密服务 (KES) 支持以下外部 KMS 提供者

	下载并安装 MinIO 密钥加密服务 (KES)
	启用 TLS
	为 KES 生成私钥和公钥
	为 MinIO 生成私钥和公钥
	创建 KES 配置文件并启动服务
	为密钥管理服务 (KMS) 生成外部密钥
	将 MinIO 连接到 KES
	启用服务器端加密

传输中加密（“飞行中”）

	启用 TLS
	为访问 MinIO 的每个内部和外部域添加单独的证书和密钥
	使用支持的密码生成公钥和私钥 TLS 密钥，以用于 TLS 1.3 或 TLS 1.2
	配置受信任的证书颁发机构 (CA) 存储
	公开您的 Kubernetes 服务，例如使用 NGINX
	（可选）验证证书，例如使用 https://www.sslchecker.com/certdecoder