MinIO 使用 KMS 加密 IAM 与配置数据MINIO_KMS_SECRET_KEY 静态密钥与 KES 接入实战【免费下载链接】minioMinIO is a high-performance, S3 compatible object store, open sourced under GNU AGPLv3 license.项目地址: https://gitcode.com/GitHub_Trending/mi/minio本文围绕 MinIO 仓库中 docs/kms/IAM.md 展开讲清楚 MinIO 如何用 KMS密钥管理系统加密集群的 IAM 身份数据与配置数据既包括最简单的静态密钥MINIO_KMS_SECRET_KEY快速上手也包括向完整 KES 外部 KMS 部署平滑迁移的路径。读完本文你可以为单机或分布式 MinIO 部署配置静态密钥加密理解其底层加解密实现HMAC-SHA-256 派生 AES-GCM/ChaCha20Poly1305并能在升级集群时正确处理 IAM 数据的透明迁移。1. 统一密钥管理KMS 同时保护 S3 对象与 IAM/配置数据MinIO 支持使用 KMS 提供的密钥加密配置config与 IAM 资产。核心行为规则是未启用 KMS 时MinIO 将配置、IAM 数据以明文形式存储在后端做纠删编码后落盘但不加密启用 KMS 后MinIO 将 IAM/配置数据与 SSE-S3 对象数据统一交由 KMS 管理密钥加密。这一设计来自 MinIO 对密钥管理架构的合并改造。改造前存在两套独立机制——S3 对象在有 KMS 时用 KMS 加密而 IAM/配置数据用 root 凭据基于内存硬函数 Argon2 派生密钥加密。改造后统一为 KMS 方案带来三方面收益密钥管理集中化只需一条路径即可变更或轮换加密密钥不再有对象密钥一套、IAM 密钥一套的两套机制降低服务启动时间原先用 root 凭据加密 IAM 数据必须调用 Argon2 这类有意消耗大量内存和 CPU 的内存硬函数新的 KMS 方案可使用比其低若干数量级成本的密钥派生函数root 凭据变更简化过去 root 凭据参与 IAM 数据加解密轮换时必须让新旧凭据同时在线、并在轮换完成后移除旧凭据两步流程现在 root 凭据可以直接变更不再承担加密职责。SSE-S3 一侧的完整 KMS 接入KES 端点配置、自动加密等可参考同目录的 KMS Guide。2. 快速上手用 MINIO_KMS_SECRET_KEY 单密钥加密不引入外部 KMS 时MinIO 支持用一个静态密钥充当最小化 KMS。只需设置环境变量MINIO_KMS_SECRET_KEY并启动或重启MinIO 服务器即可。2.1 密钥格式MINIO_KMS_SECRET_KEYkey-name:base64-value其中base64-value必须是 Base64 编码的32 字节256 位随机密钥。2.2 生成 256 位随机密钥$ cat /dev/urandom | head -c 32 | base64 - OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw2.3 设置环境变量并启动export MINIO_KMS_SECRET_KEYmy-minio-key:OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw要点与限制密钥名称上例中的my-minio-key可任意选取但它会成为该内置 KMS 的唯一默认主密钥名丢失MINIO_KMS_SECRET_KEY意味着数据丢失再也无法解密已加密的 IAM/配置数据请妥善离线备份分布式部署中每个 MinIO 服务器进程必须配置完全相同的MINIO_KMS_SECRET_KEY否则各节点无法解密同一份 IAM 数据。此外源码中静态密钥还支持从文件读取环境变量名为MINIO_KMS_SECRET_KEY_FILE定义见 internal/kms/config.go。从源码实现看若该路径相对路径不存在MinIO 会回退到 Docker 秘密约定路径/run/secrets下查找同名文件见 internal/kms/config.go这方便了容器化部署注入密钥文件且MINIO_KMS_SECRET_KEY与MINIO_KMS_SECRET_KEY_FILE二者只能配置其一同时设置会报invalid configuration for static KMS key错误。3. 源码级剖析静态密钥如何充当 KMS3.1 启动链路从环境变量到 GlobalKMS服务器启动时cmd/common-main.go 中的handleKMSConfig负责装配全局 KMS调用kms.IsPresent()校验环境变量组合是否合法三套 KMS 配置互斥缺一即报错调用kms.Connect(...)依据环境变量建立连接若默认主密钥不存在则自动CreateKey随后写入全局变量GlobalKMS。之后IAM 数据的落盘与读取路径都会检查它——在 cmd/iam-object-store.go 中当GlobalKMS ! nil时对 IAM 字节调用config.EncryptBytes(GlobalKMS, ...)加密后存储读取时再config.DecryptBytes解密。这就是KMS 存在与否决定 IAM 数据加密与否这一行为的直接来源。kms.Connect的优先级逻辑见 internal/kms/config.go依次判定存在MINIO_KMS_SERVERMinIO KMS 端点→ 建立 MinKMS 客户端连接存在MINIO_KMS_KES_ENDPOINTKES 端点→ 建立 KES mTLS 客户端连接否则回退到静态密钥读取MINIO_KMS_SECRET_KEY_FILE或MINIO_KMS_SECRET_KEY交给ParseSecretKey解析。IsPresent见 internal/kms/config.go同时负责完整性校验例如 KES 配置必须同时给出端点与默认密钥名且 API Key 与客户端证书两种认证方式互斥。3.2 内置 KMS 的加解密实现ParseSecretKey见 internal/kms/secret-key.go按第一个冒号把字符串拆为keyID与 Base64 值解码后要求恰好 32 字节NewBuiltin会显式校验否则报kms: invalid key length。该内置 KMS 是一个完整的 KMS 接口实现GenerateKey生成 28 字节随机数拆出 16 字节 IV 与 12 字节 nonce用主密钥对 IV 做 HMAC-SHA256 派生出一次性 AES-256 封密密钥再用 AES-GCM 加密随机生成的 32 字节数据密钥DEK关联数据associated data绑定请求上下文以防密文被挪用到其他对象最终密文格式与 KES / MinKMS 的密文兼容见 internal/kms/secret-key.goDecrypt支持 KES/MinKMS 风格的二进制密文并兼容历史 JSON 格式密文——parseCiphertext会识别以{开头、}结尾的旧式 JSON 密文字段aead/iv/nonce/bytes将其转换为二进制布局从而保证静态密钥与 KES 之间切换时旧密文仍可解密。解密支持 AES-256-GCM-HMAC-SHA-256 与 ChaCha20Poly1305 两种算法见 internal/kms/secret-key.go限制内置 KMS 只有单密钥——ListKeys最多返回一个密钥CreateKey对非同名密钥直接返回不支持。单元测试 TestSingleKeyRoundtrip 验证了生成密钥 → 用密文解密 → 明文一致的完整往返TestDecryptKey则用固定的 ChaCha20Poly1305 历史密文样例验证了向后兼容解密路径。4. 从静态密钥平滑迁移到完整 KES 部署静态密钥方案可以随时升级为完整的 KES 部署且无需重新加密任何数据——只需把原密钥导入 KESkes key create my-minio-key OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw由于密钥名与 32 字节密钥值不变此前用静态密钥加密的 IAM/配置密文在 KES 侧依然可以解密。迁移后MinIO 侧改为设置 KES 相关环境变量常量定义见 internal/kms/config.go环境变量说明MINIO_KMS_KES_ENDPOINTKES 端点支持逗号分隔的多个端点且支持[...]省略号批量展开MINIO_KMS_KES_KEY_NAME用于 IAM 数据的默认密钥名对应上例的my-minio-keyMINIO_KMS_KES_API_KEYKES API Key 认证与客户端证书二选一API Key 方式优先推荐MINIO_KMS_KES_KEY_FILEmTLS 客户端私钥路径MINIO_KMS_KES_CERT_FILEmTLS 客户端证书路径MINIO_KMS_KES_KEY_PASSWORD可选解密带密码保护的客户端私钥MINIO_KMS_KES_CAPATH可选校验 KES 服务器证书的 CA 文件/目录关于带密码保护的私钥MinIO 支持加密的 KES 客户端私钥在MINIO_KMS_KES_KEY_FILE中放置 password-protected 私钥时通过MINIO_KMS_KES_KEY_PASSWORD提供密码但只支持私钥加密不支持证书加密——证书不是机密本身在 TLS 握手中就以明文传输。源码中的加载逻辑会对 PEM 私钥做x509.IsEncryptedPEMBlock判断并解密见 internal/kms/config.go。典型的 n 个 MinIO 实例经 m 个 KES 服务器访问 1 个中心 KMS 的部署形态以及 KES Hashicorp Vault / 云厂商 KMS 等的选型可参考 KMS Guide 中的架构示意与配置指南。5. 环境变量速查源自源码常量定义以下变量均可在 internal/kms/config.go 中查到权威定义与注释环境变量所属方案作用MINIO_KMS_SERVERMinIO KMSKMS 端点列表逗号分隔MINIO_KMS_ENCLAVEMinIO KMS密钥与身份所在的 enclaveMINIO_KMS_SSE_KEYMinIO KMSSSE-S3 或未指定密钥 ID 时的默认密钥MINIO_KMS_API_KEYMinIO KMS访问 MinIO KMS 的凭据MINIO_KMS_KES_ENDPOINTKES一个或多个 KES 端点MINIO_KMS_KES_KEY_NAMEKESIAM 数据默认密钥名MINIO_KMS_KES_API_KEYKESAPI Key 凭据与证书互斥MINIO_KMS_KES_KEY_FILE/CERT_FILEKESmTLS 私钥 / 证书路径MINIO_KMS_KES_KEY_PASSWORDKES加密私钥的口令MINIO_KMS_KES_CAPATHKES服务器 CA 路径MINIO_KMS_SECRET_KEY静态密钥key-name:base64-32B单密钥MINIO_KMS_SECRET_KEY_FILE静态密钥从文件读取静态密钥6. FAQ为什么改、如何升级、是否兼容为什么做这次改动前文已述此前对象加密与 IAM/配置加密是两套机制root 凭据同时承担数据访问与加密两个职责。统一到 KMS 后密钥轮换只有一条路径启动阶段不再需要 Argon2 这类内存硬函数root 凭据也能一步更换详见 docs/kms/IAM.md FAQ 一节。运行安全的 MinIO 是否必须上企业级 KMS不需要。MinIO 不依赖任何第三方 KMS 供应商官方文档明确给出三个档位不配 KMS——IAM 数据明文存储静态单密钥MINIO_KMS_SECRET_KEY——IAM 数据全部加密密钥经环境变量注入KES 受支持的 KMS 作为安全密钥库——例如 MinIO KES Hashicorp Vault 的组合。已有 MinIO 集群能直接升级吗可以。升级后 MinIO 会尝试透明迁移已有 IAM 数据无 KMS 则存明文有 KMS 则用 KMS 重新加密。是否向后兼容该改动并非对所有部署完全向后兼容需要留意两点原先原生 Hashicorp Vault 集成已被废弃不再受支持要使用第三方 KMSKES 成为必选项由于配置数据本身改用 KMS 加密KMS 配置不能再存放于 MinIO 配置文件中只能通过环境变量提供。如果此前用mc admin config之类的命令设置过 KMS 配置升级时需要相应调整部署方式。文档同时说明尽管存在上述不兼容点官方预期绝大多数部署不会因此受到负面影响。升级会不会导致集群不可用影响 SLA / 停机不会。升级本身不引起停机唯一的变化是首次启动时由于要迁移存量 IAM 数据引导过程可能略慢但通常不明显。迁移完成后后续重启速度应与之前持平甚至更快。7. 小结未启用 KMS 时 MinIO 的 IAM/配置数据是明文存储启用 KMS 后统一走密钥加密这是当前仓库中的既定行为最小实践是设置MINIO_KMS_SECRET_KEYkey-name:base64-32B或MINIO_KMS_SECRET_KEY_FILE分布式集群所有节点必须使用同一密钥密钥丢失即数据不可恢复底层实现上静态密钥通过 HMAC-SHA256 派生 AES-GCM/ChaCha20Poly1305 生成与解封 DEK密文格式与 KES/MinKMS 兼容并保留对旧式 JSON 密文的解密能力因此向 KES 的迁移只需kes key create导入同名同值密钥升级集群时 IAM 数据透明迁移不产生停机但注意第三方 KMS 必须经由 KES且 KMS 配置只能由环境变量提供。关键源码与文档索引docs/kms/IAM.md、docs/kms/README.md、internal/kms/config.go、internal/kms/secret-key.go、internal/kms/secret-key_test.go、cmd/common-main.go、cmd/iam-object-store.go。【免费下载链接】minioMinIO is a high-performance, S3 compatible object store, open sourced under GNU AGPLv3 license.项目地址: https://gitcode.com/GitHub_Trending/mi/minio创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 MinIO 使用 KMS 加密 IAM 与配置数据：MINIO_KMS_SECRET_KEY 静态密钥与 KES 接入实战
MinIO 使用 KMS 加密 IAM 与配置数据MINIO_KMS_SECRET_KEY 静态密钥与 KES 接入实战【免费下载链接】minioMinIO is a high-performance, S3 compatible object store, open sourced under GNU AGPLv3 license.项目地址: https://gitcode.com/GitHub_Trending/mi/minio本文围绕 MinIO 仓库中 docs/kms/IAM.md 展开讲清楚 MinIO 如何用 KMS密钥管理系统加密集群的 IAM 身份数据与配置数据既包括最简单的静态密钥MINIO_KMS_SECRET_KEY快速上手也包括向完整 KES 外部 KMS 部署平滑迁移的路径。读完本文你可以为单机或分布式 MinIO 部署配置静态密钥加密理解其底层加解密实现HMAC-SHA-256 派生 AES-GCM/ChaCha20Poly1305并能在升级集群时正确处理 IAM 数据的透明迁移。1. 统一密钥管理KMS 同时保护 S3 对象与 IAM/配置数据MinIO 支持使用 KMS 提供的密钥加密配置config与 IAM 资产。核心行为规则是未启用 KMS 时MinIO 将配置、IAM 数据以明文形式存储在后端做纠删编码后落盘但不加密启用 KMS 后MinIO 将 IAM/配置数据与 SSE-S3 对象数据统一交由 KMS 管理密钥加密。这一设计来自 MinIO 对密钥管理架构的合并改造。改造前存在两套独立机制——S3 对象在有 KMS 时用 KMS 加密而 IAM/配置数据用 root 凭据基于内存硬函数 Argon2 派生密钥加密。改造后统一为 KMS 方案带来三方面收益密钥管理集中化只需一条路径即可变更或轮换加密密钥不再有对象密钥一套、IAM 密钥一套的两套机制降低服务启动时间原先用 root 凭据加密 IAM 数据必须调用 Argon2 这类有意消耗大量内存和 CPU 的内存硬函数新的 KMS 方案可使用比其低若干数量级成本的密钥派生函数root 凭据变更简化过去 root 凭据参与 IAM 数据加解密轮换时必须让新旧凭据同时在线、并在轮换完成后移除旧凭据两步流程现在 root 凭据可以直接变更不再承担加密职责。SSE-S3 一侧的完整 KMS 接入KES 端点配置、自动加密等可参考同目录的 KMS Guide。2. 快速上手用 MINIO_KMS_SECRET_KEY 单密钥加密不引入外部 KMS 时MinIO 支持用一个静态密钥充当最小化 KMS。只需设置环境变量MINIO_KMS_SECRET_KEY并启动或重启MinIO 服务器即可。2.1 密钥格式MINIO_KMS_SECRET_KEYkey-name:base64-value其中base64-value必须是 Base64 编码的32 字节256 位随机密钥。2.2 生成 256 位随机密钥$ cat /dev/urandom | head -c 32 | base64 - OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw2.3 设置环境变量并启动export MINIO_KMS_SECRET_KEYmy-minio-key:OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw要点与限制密钥名称上例中的my-minio-key可任意选取但它会成为该内置 KMS 的唯一默认主密钥名丢失MINIO_KMS_SECRET_KEY意味着数据丢失再也无法解密已加密的 IAM/配置数据请妥善离线备份分布式部署中每个 MinIO 服务器进程必须配置完全相同的MINIO_KMS_SECRET_KEY否则各节点无法解密同一份 IAM 数据。此外源码中静态密钥还支持从文件读取环境变量名为MINIO_KMS_SECRET_KEY_FILE定义见 internal/kms/config.go。从源码实现看若该路径相对路径不存在MinIO 会回退到 Docker 秘密约定路径/run/secrets下查找同名文件见 internal/kms/config.go这方便了容器化部署注入密钥文件且MINIO_KMS_SECRET_KEY与MINIO_KMS_SECRET_KEY_FILE二者只能配置其一同时设置会报invalid configuration for static KMS key错误。3. 源码级剖析静态密钥如何充当 KMS3.1 启动链路从环境变量到 GlobalKMS服务器启动时cmd/common-main.go 中的handleKMSConfig负责装配全局 KMS调用kms.IsPresent()校验环境变量组合是否合法三套 KMS 配置互斥缺一即报错调用kms.Connect(...)依据环境变量建立连接若默认主密钥不存在则自动CreateKey随后写入全局变量GlobalKMS。之后IAM 数据的落盘与读取路径都会检查它——在 cmd/iam-object-store.go 中当GlobalKMS ! nil时对 IAM 字节调用config.EncryptBytes(GlobalKMS, ...)加密后存储读取时再config.DecryptBytes解密。这就是KMS 存在与否决定 IAM 数据加密与否这一行为的直接来源。kms.Connect的优先级逻辑见 internal/kms/config.go依次判定存在MINIO_KMS_SERVERMinIO KMS 端点→ 建立 MinKMS 客户端连接存在MINIO_KMS_KES_ENDPOINTKES 端点→ 建立 KES mTLS 客户端连接否则回退到静态密钥读取MINIO_KMS_SECRET_KEY_FILE或MINIO_KMS_SECRET_KEY交给ParseSecretKey解析。IsPresent见 internal/kms/config.go同时负责完整性校验例如 KES 配置必须同时给出端点与默认密钥名且 API Key 与客户端证书两种认证方式互斥。3.2 内置 KMS 的加解密实现ParseSecretKey见 internal/kms/secret-key.go按第一个冒号把字符串拆为keyID与 Base64 值解码后要求恰好 32 字节NewBuiltin会显式校验否则报kms: invalid key length。该内置 KMS 是一个完整的 KMS 接口实现GenerateKey生成 28 字节随机数拆出 16 字节 IV 与 12 字节 nonce用主密钥对 IV 做 HMAC-SHA256 派生出一次性 AES-256 封密密钥再用 AES-GCM 加密随机生成的 32 字节数据密钥DEK关联数据associated data绑定请求上下文以防密文被挪用到其他对象最终密文格式与 KES / MinKMS 的密文兼容见 internal/kms/secret-key.goDecrypt支持 KES/MinKMS 风格的二进制密文并兼容历史 JSON 格式密文——parseCiphertext会识别以{开头、}结尾的旧式 JSON 密文字段aead/iv/nonce/bytes将其转换为二进制布局从而保证静态密钥与 KES 之间切换时旧密文仍可解密。解密支持 AES-256-GCM-HMAC-SHA-256 与 ChaCha20Poly1305 两种算法见 internal/kms/secret-key.go限制内置 KMS 只有单密钥——ListKeys最多返回一个密钥CreateKey对非同名密钥直接返回不支持。单元测试 TestSingleKeyRoundtrip 验证了生成密钥 → 用密文解密 → 明文一致的完整往返TestDecryptKey则用固定的 ChaCha20Poly1305 历史密文样例验证了向后兼容解密路径。4. 从静态密钥平滑迁移到完整 KES 部署静态密钥方案可以随时升级为完整的 KES 部署且无需重新加密任何数据——只需把原密钥导入 KESkes key create my-minio-key OSMMvkKUTCvQs9YL/CVMIMt43HFhkUpqJxTmGl6rYw由于密钥名与 32 字节密钥值不变此前用静态密钥加密的 IAM/配置密文在 KES 侧依然可以解密。迁移后MinIO 侧改为设置 KES 相关环境变量常量定义见 internal/kms/config.go环境变量说明MINIO_KMS_KES_ENDPOINTKES 端点支持逗号分隔的多个端点且支持[...]省略号批量展开MINIO_KMS_KES_KEY_NAME用于 IAM 数据的默认密钥名对应上例的my-minio-keyMINIO_KMS_KES_API_KEYKES API Key 认证与客户端证书二选一API Key 方式优先推荐MINIO_KMS_KES_KEY_FILEmTLS 客户端私钥路径MINIO_KMS_KES_CERT_FILEmTLS 客户端证书路径MINIO_KMS_KES_KEY_PASSWORD可选解密带密码保护的客户端私钥MINIO_KMS_KES_CAPATH可选校验 KES 服务器证书的 CA 文件/目录关于带密码保护的私钥MinIO 支持加密的 KES 客户端私钥在MINIO_KMS_KES_KEY_FILE中放置 password-protected 私钥时通过MINIO_KMS_KES_KEY_PASSWORD提供密码但只支持私钥加密不支持证书加密——证书不是机密本身在 TLS 握手中就以明文传输。源码中的加载逻辑会对 PEM 私钥做x509.IsEncryptedPEMBlock判断并解密见 internal/kms/config.go。典型的 n 个 MinIO 实例经 m 个 KES 服务器访问 1 个中心 KMS 的部署形态以及 KES Hashicorp Vault / 云厂商 KMS 等的选型可参考 KMS Guide 中的架构示意与配置指南。5. 环境变量速查源自源码常量定义以下变量均可在 internal/kms/config.go 中查到权威定义与注释环境变量所属方案作用MINIO_KMS_SERVERMinIO KMSKMS 端点列表逗号分隔MINIO_KMS_ENCLAVEMinIO KMS密钥与身份所在的 enclaveMINIO_KMS_SSE_KEYMinIO KMSSSE-S3 或未指定密钥 ID 时的默认密钥MINIO_KMS_API_KEYMinIO KMS访问 MinIO KMS 的凭据MINIO_KMS_KES_ENDPOINTKES一个或多个 KES 端点MINIO_KMS_KES_KEY_NAMEKESIAM 数据默认密钥名MINIO_KMS_KES_API_KEYKESAPI Key 凭据与证书互斥MINIO_KMS_KES_KEY_FILE/CERT_FILEKESmTLS 私钥 / 证书路径MINIO_KMS_KES_KEY_PASSWORDKES加密私钥的口令MINIO_KMS_KES_CAPATHKES服务器 CA 路径MINIO_KMS_SECRET_KEY静态密钥key-name:base64-32B单密钥MINIO_KMS_SECRET_KEY_FILE静态密钥从文件读取静态密钥6. FAQ为什么改、如何升级、是否兼容为什么做这次改动前文已述此前对象加密与 IAM/配置加密是两套机制root 凭据同时承担数据访问与加密两个职责。统一到 KMS 后密钥轮换只有一条路径启动阶段不再需要 Argon2 这类内存硬函数root 凭据也能一步更换详见 docs/kms/IAM.md FAQ 一节。运行安全的 MinIO 是否必须上企业级 KMS不需要。MinIO 不依赖任何第三方 KMS 供应商官方文档明确给出三个档位不配 KMS——IAM 数据明文存储静态单密钥MINIO_KMS_SECRET_KEY——IAM 数据全部加密密钥经环境变量注入KES 受支持的 KMS 作为安全密钥库——例如 MinIO KES Hashicorp Vault 的组合。已有 MinIO 集群能直接升级吗可以。升级后 MinIO 会尝试透明迁移已有 IAM 数据无 KMS 则存明文有 KMS 则用 KMS 重新加密。是否向后兼容该改动并非对所有部署完全向后兼容需要留意两点原先原生 Hashicorp Vault 集成已被废弃不再受支持要使用第三方 KMSKES 成为必选项由于配置数据本身改用 KMS 加密KMS 配置不能再存放于 MinIO 配置文件中只能通过环境变量提供。如果此前用mc admin config之类的命令设置过 KMS 配置升级时需要相应调整部署方式。文档同时说明尽管存在上述不兼容点官方预期绝大多数部署不会因此受到负面影响。升级会不会导致集群不可用影响 SLA / 停机不会。升级本身不引起停机唯一的变化是首次启动时由于要迁移存量 IAM 数据引导过程可能略慢但通常不明显。迁移完成后后续重启速度应与之前持平甚至更快。7. 小结未启用 KMS 时 MinIO 的 IAM/配置数据是明文存储启用 KMS 后统一走密钥加密这是当前仓库中的既定行为最小实践是设置MINIO_KMS_SECRET_KEYkey-name:base64-32B或MINIO_KMS_SECRET_KEY_FILE分布式集群所有节点必须使用同一密钥密钥丢失即数据不可恢复底层实现上静态密钥通过 HMAC-SHA256 派生 AES-GCM/ChaCha20Poly1305 生成与解封 DEK密文格式与 KES/MinKMS 兼容并保留对旧式 JSON 密文的解密能力因此向 KES 的迁移只需kes key create导入同名同值密钥升级集群时 IAM 数据透明迁移不产生停机但注意第三方 KMS 必须经由 KES且 KMS 配置只能由环境变量提供。关键源码与文档索引docs/kms/IAM.md、docs/kms/README.md、internal/kms/config.go、internal/kms/secret-key.go、internal/kms/secret-key_test.go、cmd/common-main.go、cmd/iam-object-store.go。【免费下载链接】minioMinIO is a high-performance, S3 compatible object store, open sourced under GNU AGPLv3 license.项目地址: https://gitcode.com/GitHub_Trending/mi/minio创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考