安全清单

在规划生产环境中分布式 MinIO 部署的安全配置时，请使用以下清单。

必需步骤

	在 MinIO 或选定的第三方身份提供者 (LDAP/活动目录或 OpenID) 上定义组策略
	在 MinIO 或选定的第三方身份提供者上定义个人访问策略
	(仅适用于 Kubernetes 部署) 配置租户以使用选定的第三方身份提供者
	授予防火墙访问权限，允许 TCP 流量访问 MinIO 服务器 S3 API 监听端口 (默认值：`9000`)。
	授予防火墙访问权限，允许 TCP 流量访问 MinIO 服务器控制台监听端口 (推荐默认值：`9090`)。

静止时加密

MinIO 通过密钥加密服务 (KES) 支持以下外部 KMS 提供商

	下载并安装 MinIO 密钥加密服务 (KES)
	启用 TLS
	为 KES 生成私钥和公钥
	为 MinIO 生成私钥和公钥
	创建 KES 配置文件并启动服务
	为密钥管理服务 (KMS) 生成外部密钥
	将 MinIO 连接到 KES
	启用服务器端加密

传输中加密 (“传输中”)

	启用 TLS
	为访问 MinIO 的每个内部和外部域添加单独的证书和密钥
	使用支持的密码为 TLS 1.3 或 TLS 1.2 生成公钥和私钥 TLS 密钥
	配置受信任的证书颁发机构 (CA) 存储
	公开您的 Kubernetes 服务，例如使用 NGINX
	(可选) 验证证书，例如使用 https://www.sslchecker.com/certdecoder