访问管理

概述

MinIO 使用基于策略的访问控制（PBAC）来定义经过身份验证的用户有权访问的授权操作和资源。 每个策略描述一个或多个动作和条件概述权限的用户 or group的用户。

MinIO PBAC 专为兼容 AWS IAM 策略语法、结构和行为而构建。 MinIO 文档会尽力涵盖 IAM 特定的行为和功能。 建议参考IAM 文档有关 AWS IAM 特定主题的更完整文档。

Themc admin policy该命令支持在 MinIO 部署上创建和管理策略。 有关使用示例，请参阅命令参考文档。

基于标签的策略条件

内置策略

MinIO 提供以下内置策略用于分配给用户 or 群组:

控制台管理员

授予对 MinIO 部署中所有资源的所有 S3 和管理 API 操作的完全访问权限。等同于以下操作集合：

• s3:*

• admin:*

只读

授予对 MinIO 部署中任何对象的只读权限。GET 操作必须应用于特定对象，无需任何列表。 等同于以下一组操作：

• s3:GetBucketLocation

• s3:GetObject

例如，此策略专门支持对特定路径上的对象执行GET操作（例如，GET play/mybucket/object.file)，例如：

• mc cp

• mc stat

• mc head

• mc cat

排除列出权限是故意的，因为典型使用场景并不希望"只读"角色对对象存储资源具有完全可发现性（列出所有存储桶和对象）。

读写

授予对 MinIO 服务器上所有存储桶和对象的读写权限。相当于s3:*.

诊断

授予对 MinIO 部署执行诊断操作的权限。 具体包括以下操作：

• admin:ServerTrace

• admin:Profiling

• admin:ConsoleLog

• admin:ServerInfo

• admin:TopLocksInfo

• admin:OBDInfo

• admin:BandwidthMonitor

• admin:Prometheus

只写

授予对任何命名空间（存储桶和对象路径）的仅写权限 MinIO 部署。PUT 操作必须应用于特定对象 位置，无需任何列表。 相当于s3:PutObject动作。

使用mc admin policy attach将策略关联到 MinIO 部署中的用户或组。

例如，考虑以下用户表。每个用户被分配了一个内置策略或 受支持的行动该表描述了客户端在通过该用户身份验证后可以执行的操作子集：

每个用户只能访问那些资源和操作明确地由内置角色授予的权限。MinIO 默认拒绝访问任何其他资源或操作。

策略文档结构

MinIO 策略文档使用与AWS IAM Policy文档。

以下示例文档提供了一个模板，用于创建与MinIO部署配合使用的自定义策略。 有关IAM策略元素的更完整文档，请参阅IAM JSON 策略元素参考.

单个策略文档的最大容量为20KiB。 附加到用户或组的策略文档数量没有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 对于Statement.Actionarray, specify one or more支持的 S3 API 操作.

• 对于Statement.Resourcekey, 指定要限制策略的存储桶或存储桶前缀。 您可以使用*和?通配符字符按照S3 Resource Spec.

  The*通配符可能导致策略意外应用于多个存储桶或前缀模式匹配例如，arn:aws:s3:::data*将匹配这些存储桶data, data_private和data_internal仅指定*由于资源键将策略应用于部署中的所有存储桶和前缀。

• 对于Statement.Condition键，您可以指定一个或多个支持的 Conditions.

支持的 S3 策略操作

MinIO 策略文档支持 IAM 的子集功能S3 Action keys本节还包括任何条件键除了通用支持键集之外，还受到特定操作的支持。

以下操作控制对常见 S3 操作的访问权限。 其余小节将记录更高级 S3 操作的相关操作：

s3:*

选择器用于全部MinIO S3 operations. Applying this action to a given resource allows the user to perform任何对该资源的 S3 操作。

s3:CreateBucket

控制对CreateBucketS3 API 操作

s3:DeleteBucket

控制对DeleteBucketS3 API 操作

s3:ForceDeleteBucket

控制对DeleteBucketS3 API 操作，用于执行与x-minio-force-deleteflag. 删除非空存储桶时需要此参数。

s3:GetBucketLocation

控制对GetBucketLocationS3 API 操作。

s3:ListAllMyBuckets

控制对ListBucketsS3 API 操作。

s3:DeleteObject

控制对DeleteObjectS3 API 操作。

s3:GetObject

控制对GetObjectS3 API 操作。

支持以下附加功能条件键:

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:GetObjectAttributes

控制对GetObjectAttributesS3 API 操作。

s3:GetObjectVersionAttributes

控制对GetObjectAttributesS3 API 对版本化对象的操作。

s3:RestoreObject

控制对RestoreObjectS3 API 操作。

s3:ListBucket

控制对ListObjectsV2S3 API 操作。

支持以下附加功能条件键:

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

控制对PutObjectS3 API 操作。

支持以下附加功能条件键:

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

控制对PutObjectTaggingS3 API 操作。

支持以下附加功能条件键:

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

控制对GetObjectTaggingS3 API 操作。

支持以下附加功能条件键:

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

控制对DeleteObjectTaggingS3 API 操作。

支持以下附加功能条件键:

s3:versionid
s3:ExistingObjectTag/<key>

支持的 S3 策略条件键

MinIO policy documents support IAM条件语句.

每个条件元素由运算符和条件键。MinIO 支持 IAM 条件键的一个子集。 有关任何列出的条件键的完整信息，请参阅IAM 条件元素文档

MinIO 支持以下适用于所有受支持操作的条件键：动作:

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

• aws:PrincipalType

• aws:userid

• aws:username

• x-amz-content-sha256

• s3:signatureAge

有关特定 S3 操作支持的附加键，请参阅该操作的参考文档。

mc admin策略操作键

MinIO支持以下操作用于定义策略mc admin这些操作是仅适用于 MinIO 部署并且是不适用于其他 S3 兼容服务的用途：

admin:*

所有管理员操作键的选择器。

admin:治疗

允许治疗命令

admin:StorageInfo

允许列出服务器信息

admin:DataUsageInfo

允许列出数据使用信息

admin:TopLocksInfo

允许列出顶级锁

admin:性能分析

允许性能分析

admin:ServerTrace

允许列出服务器跟踪

admin:ConsoleLog

允许在终端上列出控制台日志

admin:KMSCreateKey

允许创建新的KMS主密钥

虽然此选项仍受支持，kms:CreateKey首选。

admin:KMSKeyStatus

允许获取KMS密钥状态

虽然此选项仍受支持，kms:KeyStatus首选。

admin:ServerInfo

允许列出服务器信息

admin:OBDInfo

允许获取集群车载诊断信息

admin:ServerUpdate

允许 MinIO 二进制更新

admin:ServiceRestart

允许重启 MinIO 服务。

admin:ServiceStop

允许停止 MinIO 服务。

admin:ConfigUpdate

允许 MinIO 配置管理

admin:CreateUser

允许创建 MinIO 用户

admin:DeleteUser

允许删除 MinIO 用户

admin:ListUsers

允许列出用户权限

admin:EnableUser

允许启用用户权限

admin:DisableUser

允许禁用用户权限

admin:GetUser

允许对用户信息的GET权限

admin:AddUserToGroup

允许将用户添加到组权限

admin:RemoveUserFromGroup

允许移除用户到组的权限

admin:GetGroup

允许获取群组信息

admin:ListGroups

允许列出群组权限

admin:EnableGroup

允许启用组权限

admin:DisableGroup

允许禁用组权限

admin:CreatePolicy

允许创建策略权限

admin:DeletePolicy

允许删除策略权限

admin:GetPolicy

允许获取策略权限

admin:AttachUserOrGroupPolicy

允许将策略附加到用户/组

admin:ListUserPolicies

允许列出用户策略

admin:CreateServiceAccount

允许创建 MinIO 访问密钥

admin:UpdateServiceAccount

允许更新 MinIO 访问密钥

admin:RemoveServiceAccount

允许删除 MinIO 访问密钥

admin:ListServiceAccounts

允许列出 MinIO 访问密钥

admin:SetBucketQuota

允许设置存储桶配额

admin:GetBucketQuota

允许获取存储桶配额

admin:SetBucketTarget

允许设置存储桶目标

admin:GetBucketTarget

允许获取存储桶目标

admin:SetTier

允许使用远程存储层创建和修改功能mc ilm tier命令。

admin:ListTier

允许使用以下命令列出已配置的远程存储层级mc ilm tier命令。

admin:BandwidthMonitor

允许检索与当前带宽消耗相关的指标。

admin:Prometheus

允许访问 MinIO指标仅当 MinIO 需要身份验证才能抓取指标时才需要。

admin:ListBatchJobs

允许访问以列出活动的批处理作业。

admin:DescribeBatchJob

允许访问查看正在运行的批处理作业的定义详细信息。

admin:StartBatchJob

允许用户开始批处理作业运行。

admin:CancelBatchJob

允许用户停止当前正在处理的批处理作业。

admin:重新平衡

允许启动、查询或停止在不同可用存储空间的池之间重新平衡对象的操作。

KMS 策略操作密钥

MinIO 支持通过策略限制密钥管理服务（KMS）操作。

您可以在策略中使用以下任意 KMS 操作来限制 KMS 活动：

kms:Status

检查 KMS 的状态。

kms:Metrics

获取 Prometheus 格式的指标。

kms:API

列出支持的 API 端点。

kms:Version

检索 KMS 版本。

kms:CreateKey

创建一个新的KMS密钥。

kms:ListKeys

获取现有 KMS 密钥列表。

kms:KeyStatus

获取指定KMS密钥的状态。

要选择所有可用的 KMS 策略操作，请使用kms:*.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateKey",
                "kms:KeyStatus",
                "kms:ListKeys"
            ],
            "Resource": [
                "arn:minio:kms:::keys-abc-*",
                "arn:minio:kms:::myuser-*"
            ]
        }
    ]
}

mc admin策略条件键

MinIO 支持以下用于定义策略的条件：mc admin 动作.

• aws:Referer

• aws:SourceIp

• aws:UserAgent

• aws:SecureTransport

• aws:CurrentTime

• aws:EpochTime

有关任何列出的条件键的完整信息，请参阅IAM 条件元素文档.

策略变量

MinIO 支持使用策略变量来自动将经过身份验证的用户和/或操作的上下文替换到分配给用户的策略中。 使用${POLICYVARIABLE}format 将变量指定为策略的一部分Condition or Resource定义。 MinIO 策略变量的功能类似于AWS IAM 策略元素：变量和标签.

每个 MinIO身份提供者支持其自身的一组策略变量：

• MinIO Policy Variables

• OpenID 策略变量

• Active Directory / LDAP 策略变量

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${aws:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${aws:username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${jwt:preferred_username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${jwt:preferred_username}/*"]
      }
   ]
}

{
"Version": "2012-10-17",
"Statement": [
      {
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket"],
         "Condition": {"StringLike": {"s3:prefix": ["${ldap:username}/*"]}}
      },
      {
         "Action": [
         "s3:GetObject",
         "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::mybucket/${ldap:username}/*"]
      }
   ]
}