数据加密 (SSE)

MinIO 服务器端加密 (SSE) 在写入操作的一部分中保护对象，允许客户端利用服务器处理能力在存储层（加密时）保护对象。SSE 还为安全锁定和擦除方面的监管和合规性要求提供关键功能。

MinIO SSE 使用 MinIO 密钥加密服务 (KES) 和外部密钥管理服务 (KMS) 来执行大规模的安全加密操作。MinIO 还支持客户管理的密钥管理，应用程序完全负责创建和管理用于 MinIO SSE 的加密密钥。

MinIO 支持以下 KMS 作为中央密钥存储

MinIO SSE 需要启用网络加密 (TLS).

支持的加密类型

MinIO SSE 与 AWS 服务器端加密在功能和 API 上兼容，并支持以下加密策略

SSE-KMS 推荐

MinIO 支持使用存储在外部 KMS 上的特定外部密钥 (EK) 自动启用对写入存储桶的所有对象的 SSE-KMS 加密。客户端可以通过在写入操作的一部分中指定明确的密钥来覆盖存储桶默认的 EK。

对于没有自动 SSE-KMS 加密的存储桶，客户端可以在写入操作的一部分中指定 EK。

MinIO 在启用服务器端加密的一部分中加密后端数据。启用 SSE-KMS 加密后无法禁用。

与 SSE-S3 和 SSE-C 相比，SSE-KMS 提供更细粒度和可定制的加密，建议使用其他支持的加密方法。

有关在本地（非生产）MinIO 部署中启用 SSE-KMS 的教程，请参见快速入门.

SSE-S3

MinIO 支持使用存储在外部 KMS 上的 EK 自动启用对写入存储桶的所有对象的 SSE-S3 加密。MinIO SSE-S3 支持针对整个部署的一个 EK。

对于没有自动 SSE-S3 加密的存储桶，客户端可以在写入操作的一部分中请求 SSE 加密。

MinIO 在启用服务器端加密的一部分中加密后端数据。启用 SSE-KMS 加密后无法禁用。

有关在本地（非生产）MinIO 部署中启用 SSE-s3 的教程，请参见快速入门.

SSE-C

客户端在写入对象的写入操作的一部分中指定 EK。MinIO 使用指定的 EK 执行 SSE-S3。

SSE-C 不支持存储桶默认加密设置，并且需要客户端执行所有密钥管理操作。