对象的服务器端加密

• 1: 使用按存储桶划分密钥的服务端加密（SSE-KMS）
• 2: 部署级服务端加密密钥（SSE-S3）
• 3: 使用客户端管理密钥的服务端加密（SSE-C）

1 - 使用按存储桶划分密钥的服务端加密（SSE-KMS）

MinIO 服务端加密（SSE）在写入操作过程中保护对象，使客户端能够利用服务端的处理能力在存储层保护对象（静态加密）。 SSE 还为围绕安全锁定和擦除的监管与合规要求提供关键能力。

MinIO SSE 使用 MinIO Key Encryption Service (KES) 和受支持的 外部密钥管理服务（KMS），以安全地大规模执行加密操作。 MinIO 还支持由客户端管理密钥的模式，此时应用程序对为 MinIO SSE 创建和管理加密密钥承担全部责任。

MinIO SSE-KMS 使用由密钥管理系统（KMS）管理的外部密钥（EK）对对象进行加密或解密。 每个存储桶和对象都可以拥有单独的 EK，从而在部署中支持更细粒度的加密操作。 只有在 MinIO 同时能够访问 KMS 以及 用于加密该对象的 EK 时，才能解密该对象。

你可以使用 mc encrypt set 命令启用存储桶默认的 SSE-KMS 加密：

mc encrypt set sse-kms EXTERNALKEY play/mybucket

• 将 EXTERNALKEY 替换为用于加密该存储桶中对象的 EK 名称。
• 将 play/mybucket 替换为你要启用自动 SSE-KMS 加密的 alias 和存储桶。

MinIO SSE-KMS 在功能上与 AWS S3 使用存储在 AWS 中的 KMS 密钥进行服务端加密 兼容，同时将支持扩展到以下 KMS 提供商：

• AWS Secrets Manager
• Azure Key Vault
• Entrust KeyControl
• Fortanix SDKMS
• Google Cloud Secret Manager
• HashiCorp Vault Keystore
• Thales CipherTrust Manager (formerly Gemalto KeySecure)

快速开始

以下过程使用 play MinIO KES 沙箱，在评估和早期开发环境中为 SSE 提供 SSE-KMS 支持。

对于扩展开发环境或生产环境，请使用以下受支持的外部密钥管理服务（KMS）之一：

• AWS Secrets Manager
• Azure Key Vault
• Entrust KeyControl
• Fortanix SDKMS
• Google Cloud Secret Manager
• HashiCorp Vault Keystore
• Thales CipherTrust Manager (formerly Gemalto KeySecure)

此过程需要以下组件：

• 在一台能够通过网络访问源部署的机器上安装 mc。 有关下载和安装 mc 的说明，请参阅 mc 安装快速开始。
• 在一台可以访问互联网的机器上安装 MinIO Key Encryption Service (KES)。 有关下载、安装和配置 KES 的说明，请参阅 kes 快速开始 指南。

1) 为 SSE-KMS 加密创建加密密钥

使用 kes 命令行工具创建一个新的外部密钥（EK），供 SSE-KMS 加密使用。

以下命令获取 play KES 服务器的 root 身份：

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

在终端或 shell 中设置以下环境变量：

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

以下命令通过 KES 创建一个新的 EK。

kes key create my-minio-sse-kms-key

本教程使用示例名称 my-minio-sse-kms-key 以便引用。 请指定唯一的密钥名称，以避免与现有密钥冲突。

2) 配置 MinIO 以进行 SSE-KMS 对象加密

在部署中的每台 MinIO 服务器主机上，于 shell 或终端中指定以下环境变量：

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

3) 重启 MinIO 部署以启用 SSE-KMS

你必须重启 MinIO 部署以应用配置变更。 使用 mc admin service restart 命令重启该部署。

mc admin service restart ALIAS

将 ALIAS 替换为要重启的部署的 alias。

4) 配置自动存储桶加密

使用 mc encrypt set 命令，为写入特定存储桶的所有对象启用自动 SSE-KMS 保护。

mc encrypt set sse-kms my-minio-sse-kms-key ALIAS/BUCKET

• 将 ALIAS 替换为已启用 SSE-KMS 的 MinIO 部署的 alias。
• 将 BUCKET 替换为你要启用自动 SSE-KMS 的 存储桶或存储桶前缀的完整路径。

写入指定存储桶的对象会自动使用指定的 EK 加密。

对于每个要启用自动 SSE-KMS 加密的存储桶，请重复此步骤。 你可以按存储桶或存储桶前缀生成额外的密钥，从而将每个 EK 的作用范围限制为对象子集。

安全擦除与锁定

SSE-KMS 使用在存储桶自动加密设置中指定的 EK，或在写入操作中指定的 EK 来保护对象。 因此，MinIO 在解密该对象时 必须 能够访问该 EK。

• 禁用 EK 会暂时锁定使用该 EK 加密的对象，使其变得不可读。 之后你可以重新启用该 EK，以恢复这些对象的正常读取操作。
• 删除 EK 会使所有由该 EK 加密的对象 永久 不可读。 如果 KMS 没有该 EK 的备份或不支持其备份，则此过程 不可逆。

单个 EK 的作用范围取决于：

• 哪些存储桶将该 EK 指定为自动 SSE-KMS 加密所用密钥， 以及
• 哪些写入操作在请求 SSE-KMS 加密时指定了该 EK。

例如，假设一个 MinIO 部署为每个存储桶使用一个 EK。 禁用其中一个 EK 会使关联存储桶中的所有对象不可读，而不会影响其他存储桶。 如果该部署改为对所有对象和存储桶使用同一个 EK，则禁用该 EK 会使部署中的所有对象都不可读。

加密过程

SSE-KMS 使用由已配置密钥管理系统（KMS）管理的外部密钥（EK） 来执行加密操作并保护对象。下表描述了加密过程的各个阶段：

对于读取操作，MinIO 会先获取 EK 以解密 DEK。 随后 MinIO 会重新生成 KEK、解密 OEK，并解密该对象。

2 - 部署级服务端加密密钥（SSE-S3）

MinIO 服务端加密（SSE）在写入操作期间保护对象，使客户端能够利用服务端的处理能力， 在存储层保护对象（静态加密）。SSE 还为围绕安全锁定和擦除的监管与合规要求提供关键能力。

MinIO SSE 使用 MinIO Key Encryption Service (KES) 和外部 Key Management Service (KMS) 以安全方式大规模执行加密操作。MinIO 还支持 客户端自主管理密钥，即由应用全权负责创建和管理供 MinIO SSE 使用的加密密钥。

MinIO SSE-S3 使用由 Key Management System (KMS) 管理的 EK 对对象进行加/解密。 你必须在启动 MinIO 服务器时通过 MINIO_KMS_KES_KEY_NAME 环境变量指定 该 EK。对于 所有 SSE-S3 加密操作，MinIO 都使用同一个 EK。

你可以使用 mc encrypt set 命令启用存储桶默认 SSE-S3 加密：

mc encrypt set sse-s3 play/mybucket

• 将 play/mybucket 替换为你要启用自动 SSE-KMS 加密的 alias 和存储桶。

MinIO SSE-S3 在功能上兼容 AWS S3 Server-Side Encryption with Amazon S3-Managed Keys， 同时将支持扩展到以下 KMS 提供商：

• AWS Secrets Manager
• Azure KeyVault
• Entrust KeyControl
• Fortanix SDKMS
• Google Cloud Secret Manager
• HashiCorp Vault
• Thales CipherTrust Manager (formerly Gemalto KeySecure)

快速开始

以下流程使用 play MinIO KES 沙箱，在评估和早期开发环境中为 SSE-S3 提供 SSE 支持。

对于较长期的开发环境或生产环境，请使用以下受支持的外部 Key Management Services (KMS) 之一：

• AWS Secrets Manager
• Azure KeyVault
• Entrust KeyControl
• Fortanix SDKMS
• Google Cloud Secret Manager
• HashiCorp Vault
• Thales CipherTrust Manager (formerly Gemalto KeySecure)

此流程需要以下组件：

• 在一台能够通过网络访问源部署的机器上安装 mc。 有关下载和安装 mc 的说明，请参阅 mc Installation Quickstart。
• 在一台可访问互联网的机器上安装 MinIO Key Encryption Service (KES)。 有关下载、安装和配置 KES 的说明，请参阅 KES Getting Started 指南。

1) 为 SSE-S3 加密创建加密密钥

使用 kes 命令行工具创建一个新的 EK，供 SSE-S3 加密使用。

以下命令获取已连接到 KES play 沙箱的 KES 服务器的 root identity：

curl -sSL --tlsv1.2 \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
  -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

在终端或 shell 中设置以下环境变量：

export KES_CLIENT_KEY=root.key
export KES_CLIENT_CERT=root.cert

以下命令通过 KES CLI 创建一个新的 EK：

kes key create my-minio-sse-s3-key

本教程使用示例名称 my-minio-sse-s3-key 以便引用。 请指定唯一的密钥名称，以避免与现有密钥冲突。

2) 配置 MinIO 以启用 SSE-S3 对象加密

在部署中每个 MinIO 服务器主机的 shell 或终端中设置以下环境变量：

export MINIO_KMS_KES_ENDPOINT=https://play.min.io:7373
export MINIO_KMS_KES_API_KEY=<API-key-identity-string-from-KES> # Replace with the key string for your credentials
export MINIO_KMS_KES_KEY_NAME=my-minio-sse-s3-key

3) 重启 MinIO 部署以启用 SSE-S3

必须重启 MinIO 部署以应用配置变更。 使用 mc admin service restart 命令重启部署。

mc admin service restart ALIAS

将 ALIAS 替换为要重启的部署的 alias。

4) 配置存储桶自动加密

可选

如果你只打算使用客户端驱动的 SSE-S3，可以跳过此步骤。

使用 mc encrypt set 命令，为写入特定存储桶的所有对象启用自动 SSE-S3 保护。

mc encrypt set sse-s3 ALIAS/BUCKET

• 将 ALIAS 替换为已启用 SSE-S3 的 MinIO 部署的 alias。
• 将 BUCKET 替换为你要启用自动 SSE-S3 的 存储桶或存储桶前缀的完整路径。

安全擦除与锁定

SSE-S3 使用服务器启动时通过 MINIO_KMS_KES_KEY_NAME 环境变量指定的 EK 来保护对象。因此，MinIO 必须 访问该 EK 才能解密该对象。

• 禁用该 EK 会使部署中经 SSE-S3 加密的对象暂时无法读取，从而被临时锁定。 你之后可以重新启用该 EK，以恢复正常读取操作。
• 删除该 EK 会使部署中所有经 SSE-S3 加密的对象 永久 无法读取。 如果 KMS 没有该 EK 的备份或不支持其备份，此过程 不可逆。

该 EK 的作用范围取决于：

• 哪些存储桶指定了自动 SSE-S3 加密，以及
• 哪些写入操作请求了 SSE-S3 加密。

加密过程

SSE-S3 使用由已配置的 Key Management System (KMS) 管理的 EK 来执行加密操作并 保护对象。下表描述了加密过程的各个阶段：

3 - 使用客户端管理密钥的服务端加密（SSE-C）

MinIO Server-Side Encryption (SSE) 在写入操作过程中保护对象， 使客户端能够利用服务端处理能力在存储层实现对象保护 （静态加密，encryption-at-rest）。SSE 还提供满足安全锁定与擦除相关 监管和合规要求所需的关键能力。

本页中的步骤用于配置并启用使用客户端管理密钥的服务端加密 （SSE-C）。MinIO SSE-C 支持由客户端在对象写入磁盘 之前 驱动对象加密。客户端在执行读取操作时必须提供正确的密钥 才能解密对象。

MinIO SSE-C 在功能上兼容 Amazon Server-Side Encryption with Customer-Provided Keys.

安全擦除与锁定

SSE-C 在写入操作期间使用客户端指定的 EK 来保护对象。 前提是客户端侧的密钥管理支持禁用或删除这些密钥：

• 禁用 EK 会通过使使用该 EK 加密的对象变得不可读，

  从而暂时锁定这些对象。之后您可以重新启用该 EK， 以恢复对这些对象的正常读取操作。

• 删除 EK 会使所有使用该 EK 加密的对象

  永久 不可读。如果客户端侧 KMS 不支持 对 EK 进行备份，则该过程 不可逆。

单个 EK 的影响范围取决于在请求 SSE-C 加密时 有多少次写入操作指定了该 EK。

注意事项

复制场景中的 SSE-C

经过压缩的 SSE-C 加密对象与 MinIO bucket replication 或 site replication 不兼容。 请使用 SSE-KMS 或 SSE-S3，以确保加密对象与复制兼容。

SSE-C 会覆盖 SSE-S3 和 SSE-KMS

使用 SSE-C 加密对象后，MinIO 将不会再对该对象应用 SSE-KMS 或 SSE-S3 加密。

快速开始

MinIO SSE-C 要求客户端执行所有密钥创建和存储操作。

本流程使用 mc 对源 MinIO 部署执行操作。 请在可访问该源部署网络的机器上安装 mc。 有关下载和安装 mc 的说明，请参见 mc Installation Quickstart。

SSE-C 密钥 必须 是一个 256 位原始编码字符串或十六进制编码字符串。 客户端应用负责生成并存储该加密密钥。 MinIO 不会 存储 SSE-C 加密密钥，并且在没有客户端管理密钥的情况下无法解密 SSE-C 加密对象。

1) 生成加密密钥

生成一个 256 位 base64 原始编码字符串或十六进制编码字符串作为加密密钥。

以下示例生成一个满足加密密钥要求的字符串。 生成的字符串适用于非生产环境：

cat /dev/urandom | head -c 32 | base64 -

请遵循您所在组织关于生成加密安全密钥的要求。

复制该加密密钥，以便在下一步中使用。

2) 使用 SSE-C 加密对象

MinIO 支持使用以下 AWS S3 请求头指定 SSE-C 加密：

• X-Amz-Server-Side-Encryption-Customer-Algorithm 设置为 AES256。
• X-Amz-Server-Side-Encryption-Customer-Key 设置为加密密钥值。
• X-Amz-Server-Side-Encryption-Customer-Key-MD5 设置为加密密钥的 128 位 MD5 摘要。

MinIO mc 命令行工具及兼容 S3 的 SDK 提供了设置这些请求头的特定语法。 某些 mc 命令（例如 mc cp）包含用于启用 SSE-S3 加密的 专用参数：

mc cp ~/data/mydata.json ALIAS/BUCKET/mydata.json \
   --encrypt-key "ALIAS/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo="

• 将 ALIAS 替换为您要写入 SSE-C 加密对象的 MinIO 部署的 alias。
• 将 BUCKET 替换为您要写入 SSE-C 加密对象的存储桶或存储桶前缀的完整路径。

3) 复制 SSE-C 加密对象

MinIO 支持使用以下 AWS S3 请求头，将 SSE-C 加密对象复制到另一个兼容 S3 的服务：

• X-Amz-Copy-Source-Server-Side-Encryption-Algorithm 设置为 AES256
• X-Amz-Copy-Source-Server-Side-Encryption-Key 设置为加密密钥值。 如果指定的密钥与用于对该对象执行 SSE-C 加密的密钥不匹配， 复制操作将失败。
• X-Amz-Copy-Source-Server-Side-Encryption-Key-MD5 设置为加密密钥的 128 位 MD5 摘要。

MinIO mc 命令行工具及兼容 S3 的 SDK 提供了设置这些请求头的特定语法。 某些 mc 命令（例如 mc cp）包含用于启用 SSE-S3 加密的 专用参数：

mc cp SOURCE/BUCKET/mydata.json TARGET/BUCKET/mydata.json  \
--encrypt-key "SOURCE/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo=,TARGET/BUCKET/=c2VjcmV0ZW5jcnlwdGlvbmtleWNoYW5nZW1lMTIzNAo="

• 将 SOURCE/BUCKET 替换为您要读取 加密对象所在的 MinIO 部署的 alias， 以及您要读取 SSE-C 加密对象的存储桶或存储桶前缀的完整路径。
• 将 TARGET/BUCKET 替换为您要写入 加密对象的 MinIO 部署的 alias， 以及您要写入 SSE-C 加密对象的存储桶或存储桶前缀的完整路径。