访问管理

概述

MinIO 使用 基于策略的访问控制 (PBAC) 来定义已认证用户可访问的授权操作和资源。 每个策略描述一条或多条 actions 与 conditions，用于说明某个 user 或 group 中用户的权限。

MinIO PBAC 在设计上兼容 AWS IAM 策略语法、结构和行为。 MinIO 文档会尽力覆盖 IAM 特定行为和功能。 若需要更完整的 AWS IAM 特定主题文档，请参考 IAM documentation。

mc admin policy 命令支持在 MinIO 部署上创建和管理策略。 用法示例请参见命令参考。

基于标签的策略条件

内置策略

MinIO 提供以下内置策略，可分配给 users 或 groups：

consoleAdmin

userpolicy

授予对 MinIO 部署上所有资源执行全部 S3 和管理 API 操作的完整访问权限。 等价于以下 action 集合：

• s3:*
• admin:*

readonly

userpolicy

授予对 MinIO 部署上任意对象的只读权限。 GET 操作 必须 作用于某个具体对象，且不要求具备任何列举权限。 等价于以下 action 集合：

• s3:GetBucketLocation
• s3:GetObject

例如，该策略专门支持对特定路径下对象执行 GET 操作（例如 GET play/mybucket/object.file），例如：

• mc cp
• mc stat
• mc head
• mc cat

有意排除列举权限，因为典型使用场景并不希望“只读”角色对对象存储资源具有完整可发现性 （列出所有存储桶和对象）。

readwrite

userpolicy

授予对 MinIO 服务器上所有存储桶和对象的读写权限。 等价于 s3:*。

diagnostics

userpolicy

授予在 MinIO 部署上执行诊断操作的权限。 具体包括以下 action：

• admin:ServerTrace
• admin:Profiling
• admin:ConsoleLog
• admin:ServerInfo
• admin:TopLocksInfo
• admin:OBDInfo
• admin:BandwidthMonitor
• admin:Prometheus

writeonly

userpolicy

授予对 MinIO 部署中任意命名空间（存储桶及对象路径）的只写权限。 PUT 操作 必须 作用于某个具体对象位置，且不要求具备任何列举权限。 等价于 s3:PutObject action。

使用 mc admin policy attach 将策略关联到 MinIO 部署上的用户或组。

例如，考虑下表中的用户。每个用户都被分配了一个 内置策略 或某个受支持的 action。该表描述了客户端以对应用户身份完成认证后可执行的一部分操作：

每个用户只能访问内置角色 显式 授予的那些资源和操作。 默认情况下，MinIO 会拒绝访问任何其他资源或 action。

策略文档结构

MinIO 策略文档使用与 AWS IAM Policy 文档相同的模式。

以下示例文档为在 MinIO 部署中创建自定义策略提供了模板。 有关 IAM 策略元素的更完整文档，请参见 IAM JSON Policy Elements Reference。

任意单个策略文档的最大大小为 20KiB。 可附加到用户或组的策略文档数量没有限制。

{
   "Version" : "2012-10-17",
   "Statement" : [
      {
         "Effect" : "Allow",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      },
      {
         "Effect" : "Deny",
         "Action" : [ "s3:<ActionName>", ... ],
         "Resource" : "arn:aws:s3:::*",
         "Condition" : { ... }
      }
   ]
}

• 对于 Statement.Action 数组，指定一个或多个 受支持的 S3 API 操作。

• 对于 Statement.Resource 键，指定要对策略进行限制的存储桶或存储桶前缀。 可以按照 S3 Resource Spec 使用 * 和 ? 通配符。

  * 通配符可能会基于 模式匹配，导致策略被意外应用到多个存储桶或前缀。 例如，arn:aws:s3:::data* 会匹配存储桶 data、data_private 和 data_internal。 如果资源键仅指定 *，则该策略会应用到部署上的所有存储桶和前缀。

• 对于 Statement.Condition 键，可以指定一个或多个 受支持的 Conditions。

受支持的 S3 策略 Action

MinIO 策略文档支持 IAM S3 Action keys 的一个子集。 本节还包括特定 action 在通用受支持键之外额外支持的任何 condition keys。

以下 action 用于控制常见 S3 操作的访问。 其余小节记录更高级的 S3 操作所对应的 action：

s3:*

policy-action

选择器，用于匹配 所有 MinIO S3 操作。 将该 action 应用于某个资源后，用户即可对该资源执行 任意 S3 操作。

s3:CreateBucket

policy-action

控制对 CreateBucket S3 API 操作的访问。

s3:DeleteBucket

policy-action

控制对 DeleteBucket S3 API 操作的访问。

s3:ForceDeleteBucket

policy-action

控制对带有 x-minio-force-delete 标志的 DeleteBucket S3 API 操作的访问。 删除非空存储桶时需要此权限。

s3:GetBucketLocation

policy-action

控制对 GetBucketLocation S3 API 操作的访问。

s3:ListAllMyBuckets

policy-action

控制对 ListBuckets S3 API 操作的访问。

s3:DeleteObject

policy-action

控制对 DeleteObject S3 API 操作的访问。

s3:GetObject

policy-action

控制对 GetObject S3 API 操作的访问。

支持以下附加 condition keys：

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:ExistingObjectTag/<key>
s3:versionid

s3:GetObjectAttributes

policy-action

控制对 GetObjectAttributes S3 API 操作的访问。

s3:GetObjectVersionAttributes

policy-action

控制对带版本对象执行 GetObjectAttributes S3 API 操作的访问。

s3:RestoreObject

policy-action

控制对 RestoreObject S3 API 操作的访问。

s3:ListBucket

policy-action

控制对 ListObjectsV2 S3 API 操作的访问。

支持以下附加 condition keys：

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObject

policy-action

控制对 PutObject S3 API 操作的访问。

支持以下附加 condition keys：

s3:x-amz-copy-source
s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-metadata-directive
s3:x-amz-storage-class
s3:versionid
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectTagging

policy-action

控制对 PutObjectTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectTagging

policy-action

控制对 GetObjectTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectTagging

policy-action

控制对 DeleteObjectTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

存储桶配置

s3:GetBucketPolicy

policy-action

控制对 GetBucketPolicy S3 API 操作的访问。

s3:PutBucketPolicy

policy-action

控制对 PutBucketPolicy S3 API 操作的访问。

s3:DeleteBucketPolicy

policy-action

控制对 DeleteBucketPolicy S3 API 操作的访问。

s3:GetBucketTagging

policy-action

控制对 GetBucketTagging S3 API 操作的访问。

s3:PutBucketTagging

policy-action

控制对 PutBucketTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetBucketPolicyStatus

policy-action

控制对 GetBucketPolicyStatus S3 API 操作的访问。

分段上传

s3:AbortMultipartUpload

policy-action

控制对 AbortMultipartUpload S3 API 操作的访问。

s3:ListMultipartUploadParts

policy-action

控制对 ListParts S3 API 操作的访问。

s3:ListBucketMultipartUploads

policy-action

控制对 ListMultipartUploads S3 API 操作的访问。

版本控制与保留

s3:PutBucketVersioning

policy-action

控制对 PutBucketVersioning S3 API 操作的访问。

s3:GetBucketVersioning

policy-action

控制对 GetBucketVersioning S3 API 操作的访问。

s3:DeleteObjectVersion

policy-action

控制对 DeleteObjectVersion S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:ListBucketVersions

policy-action

控制对 ListBucketVersions S3 API 操作的访问。

支持以下附加 condition keys：

s3:prefix
s3:delimiter
s3:max-keys

s3:PutObjectVersionTagging

policy-action

控制对 PutObjectVersionTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:GetObjectVersionTagging

policy-action

控制对 GetObjectVersionTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:DeleteObjectVersionTagging

policy-action

控制对 DeleteObjectVersionTagging S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:GetObjectVersion

policy-action

控制对 GetObjectVersion S3 API 操作的访问。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:BypassGovernanceRetention

policy-action

控制对处于 GOVERNANCE 保留模式下锁定对象的以下 S3 API 操作的访问：

• s3:PutObjectRetention
• s3:PutObject
• s3:DeleteObject

更多信息请参见 S3 文档中的 s3:BypassGovernanceRetention。

支持以下附加 condition keys：

s3:versionid
s3:object-lock-remaining-retention-days
s3:object-lock-retain-until-date
s3:object-lock-mode
s3:object-lock-legal-hold
s3:RequestObjectTagKeys
s3:RequestObjectTag/<key>

s3:PutObjectRetention

policy-action

控制对 PutObjectRetention S3 API 操作的访问。

对于任何指定了 保留元数据 的 PutObject 操作，都需要此权限。

支持以下附加 condition keys：

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:x-amz-object-lock-remaining-retention-days
s3:x-amz-object-lock-retain-until-date
s3:x-amz-object-lock-mode
s3:versionid

s3:GetObjectRetention

policy-action

控制对 GetObjectRetention S3 API 操作的访问。

若要在 GetObject 或 HeadObject 操作的响应中包含 对象锁定元数据，则需要此权限。

支持以下附加 condition keys：

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:versionid

s3:GetObjectLegalHold

policy-action

控制对 GetObjectLegalHold S3 API 操作的访问。

若要在 GetObject 或 HeadObject 操作的响应中包含 对象锁定元数据，则需要此权限。

s3:PutObjectLegalHold

policy-action

控制对 PutObjectLegalHold S3 API 操作的访问。

对于任何指定了 legal hold 元数据 的 PutObject 操作，都需要此权限。

支持以下附加 condition keys：

s3:x-amz-server-side-encryption
s3:x-amz-server-side-encryption-customer-algorithm
s3:object-lock-legal-hold
s3:versionid

s3:GetBucketObjectLockConfiguration

policy-action

控制对 GetObjectLockConfiguration S3 API 操作的访问。

s3:PutBucketObjectLockConfiguration

policy-action

控制对 PutObjectLockConfiguration S3 API 操作的访问。

存储桶通知

s3:GetBucketNotification

policy-action

控制对 GetBucketNotification S3 API 操作的访问。

s3:PutBucketNotification

policy-action

控制对 PutBucketNotification S3 API 操作的访问。

s3:ListenNotification

policy-action

用于控制与 MinIO 存储桶通知 相关 API 操作的 MinIO 扩展。

此 action 不 用于其他兼容 S3 的服务。

s3:ListenBucketNotification

policy-action

用于控制与 MinIO 存储桶通知 相关 API 操作的 MinIO 扩展。

此 action 不 用于其他兼容 S3 的服务。

对象生命周期管理

s3:PutLifecycleConfiguration

policy-action

控制对 PutLifecycleConfiguration S3 API 操作的访问。

s3:GetLifecycleConfiguration

policy-action

控制对 GetLifecycleConfiguration S3 API 操作的访问。

对象加密

s3:PutEncryptionConfiguration

policy-action

控制对 PutEncryptionConfiguration S3 API 操作的访问。

s3:GetEncryptionConfiguration

policy-action

控制对 GetEncryptionConfiguration S3 API 操作的访问。

存储桶复制

s3:GetReplicationConfiguration

policy-action

控制对 GetBucketReplication S3 API 操作的访问。

s3:PutReplicationConfiguration

policy-action

控制对 PutBucketReplication S3 API 操作的访问。

s3:ReplicateObject

policy-action

用于控制与 服务器端存储桶复制 相关 API 操作的 MinIO 扩展。

MinIO 服务器端复制需要此权限。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:ReplicateDelete

policy-action

用于控制与 服务器端存储桶复制 相关 API 操作的 MinIO 扩展。

作为 MinIO 服务器端复制的一部分，在同步 删除操作 时需要此权限。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:ReplicateTags

policy-action

用于控制与 服务器端存储桶复制 相关 API 操作的 MinIO 扩展。

MinIO 服务器端复制需要此权限。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

s3:GetObjectVersionForReplication

policy-action

用于控制与 服务器端存储桶复制 相关 API 操作的 MinIO 扩展。

MinIO 服务器端复制需要此权限。

支持以下附加 condition keys：

s3:versionid
s3:ExistingObjectTag/<key>

受支持的 S3 策略条件键

MinIO 策略文档支持 IAM 条件语句。

每个条件元素都由 operators 和条件键组成。MinIO 支持 IAM 条件键的一个子集。 有关任何列出条件键的完整信息，请参见 IAM Condition Element Documentation

对于所有受支持的 actions，MinIO 支持以下条件键：

• aws:Referer
• aws:SourceIp
• aws:UserAgent
• aws:SecureTransport
• aws:CurrentTime
• aws:EpochTime
• aws:PrincipalType
• aws:userid
• aws:username
• x-amz-content-sha256
• s3:signatureAge

对于特定 S3 action 支持的其他键，请参见该 action 的参考文档。

MinIO 扩展条件键

MinIO 在 S3 标准条件键基础上扩展了以下键：

sts:DurationSeconds

新增: MinIO

SERVER RELEASE.2024-02-06T21-36-22Z