身份与访问管理 on SILO

用户管理

Mon, 01 Jan 0001 00:00:00 +0000

MinIO 用户由唯一的访问密钥（用户名）及其对应的密钥（密码）组成。客户端必须同时指定现有 MinIO 用户的有效访问密钥（用户名）及其对应的密钥（密码），才能完成身份认证。

Mon, 01 Jan 0001 00:00:00 +0000

MinIO 支持使用兼容 OpenID Connect (OIDC) 的 Identity Provider (IDP)，例如 Okta、KeyCloak、Dex、Google 或 Facebook，来进行外部用户身份管理。

对于由外部 OpenID Connect (OIDC) 兼容提供方管理的身份，MinIO 可以通过以下两种方式之一，将策略分配给已认证用户。

Mon, 01 Jan 0001 00:00:00 +0000

组是用户的集合。每个组都可以分配一个或多个策略，这些策略会显式列出允许或拒绝组成员访问的操作和资源。

例如，考虑以下几个组。每个组都分配了一个内置策略或受支持的策略操作。每个组还分配了一个或多个用户。每个用户的完整权限集合由其显式分配的权限以及从其所属各组继承的权限共同组成。对于用户被分配或继承的策略中未显式允许的任何资源或操作，MinIO 默认都会拒绝访问。

Mon, 01 Jan 0001 00:00:00 +0000

MinIO 支持配置单个 Active Directory 或 LDAP (AD/LDAP) 服务，用于对用户身份进行外部管理。启用 AD/LDAP 外部身份管理会禁用 MinIO 内部 IDP。

对于由外部 AD/LDAP 提供方管理的身份，MinIO 会使用用户的 Distinguished Name，并尝试将其映射到现有的策略。

Mon, 01 Jan 0001 00:00:00 +0000

MinIO Identity Management Plugin 提供了一个 REST 接口，用于通过 Webhook 服务将认证委托给外部身份管理器。

启用后，客户端应用程序使用 AssumeRoleWithCustomToken STS API 扩展为 MinIO 生成访问令牌。 MinIO 通过向已配置的插件端点发起 POST 请求来验证该令牌，并根据返回的响应判断客户端的认证状态。

Mon, 01 Jan 0001 00:00:00 +0000

MinIO 使用基于策略的访问控制 (PBAC) 来定义已认证用户可访问的授权操作和资源。每个策略描述一条或多条 actions 与 conditions，用于说明某个 user 或 group 中用户的权限。

MinIO PBAC 在设计上兼容 AWS IAM 策略语法、结构和行为。 MinIO 文档会尽力覆盖 IAM 特定行为和功能。若需要更完整的 AWS IAM 特定主题文档，请参考 IAM documentation。

Mon, 01 Jan 0001 00:00:00 +0000

MinIO Access Management Plugin 提供了一个 REST 接口，可通过 Webhook 服务将授权流程卸载到外部系统。

启用后，MinIO 会将每次 API 调用的请求及凭证详情发送到已配置的外部 HTTP(S) 端点，并查找 ALLOW 或 DENY 响应。因此，MinIO 可以将访问管理委托给外部系统，而不是依赖 S3 基于策略的访问控制。