擦除码计算器 
参考硬件 对象服务器端加密
MinIO 服务器端加密 (SSE) 在写入操作期间保护对象，允许客户端利用服务器处理能力在存储层 (加密在存储时) 保护对象。SSE 还为安全锁定和擦除方面的监管和合规要求提供关键功能。
MinIO SSE 使用 MinIO 密钥加密服务 (KES) 和外部密钥管理服务 (KMS) 来执行大规模的安全加密操作。MinIO 还支持客户管理的密钥管理，其中应用程序对创建和管理用于 MinIO SSE 的加密密钥负全部责任。
MinIO SSE 在功能和 API 方面与 AWS 服务器端加密 兼容，并支持以下加密策略
MinIO 支持使用存储在外部 KMS 上的特定外部密钥 (EK) 自动启用写入到桶的所有对象的 SSE-KMS 加密。客户端可以通过在写入操作中指定显式密钥来覆盖桶默认的 EK。
对于没有自动 SSE-KMS 加密的桶，客户端可以在写入操作中指定 EK。
MinIO 在启用服务器端加密时会加密后端数据。启用 SSE-KMS 加密后，您无法禁用它。
与 SSE-S3 和 SSE-C 相比，SSE-KMS 提供了更细粒度和可定制的加密，建议使用 SSE-KMS 代替其他支持的加密方法。
有关在本地 (非生产) MinIO 部署中启用 SSE-KMS 的教程，请参见 快速入门。对于生产 MinIO 部署，请使用以下指南之一
MinIO 支持使用存储在外部 KMS 上的 EK 自动启用写入到桶的所有对象的 SSE-S3 加密。MinIO SSE-S3 支持为整个部署使用 一个 EK。
对于没有自动 SSE-S3 加密的桶，客户端可以在写入操作中请求 SSE 加密。
MinIO 在启用服务器端加密时会加密后端数据。启用 SSE-KMS 加密后，您无法禁用它。
有关在本地 (非生产) MinIO 部署中启用 SSE-s3 的教程，请参见 快速入门。对于生产 MinIO 部署，请使用以下指南之一
客户端在写入操作中为对象指定 EK。MinIO 使用指定的 EK 执行 SSE-S3。
SSE-C 不支持桶默认加密设置，要求客户端执行所有密钥管理操作。
MinIO SSE 需要启用 网络加密 (TLS)。
安全擦除和锁定
MinIO 需要访问用作 SSE 操作一部分的加密密钥 (EK) 和 外部密钥管理系统 (KMS) 才能解密对象。您可以使用此依赖关系通过禁用对用于加密的 EK 或 KMS 的访问来安全地擦除和锁定对象以防止访问。
一般策略包括但不限于
密封 KMS，使其不再可被 MinIO 服务器访问。这会锁定由存储在 KMS 上的任何 EK 保护的所有 SSE-KMS 或 SSE-S3 加密对象。只要 KMS 保持密封状态，加密对象将保持不可读。
密封/卸载 EK。这会锁定由该 EK 保护的所有 SSE-KMS 或 SSE-S3 加密对象。只要 CMK(s) 保持密封状态，加密对象将保持不可读。
删除一个 EK。这将使所有由该 EK 保护的 SSE-KMS 或 SSE-S3 加密对象永久无法读取。删除 EK 和删除数据相结合，可以满足有关数据安全删除的监管要求。
删除 EK 通常是不可逆的。在有意删除主密钥之前，请格外小心。
有关更多信息，请参阅
