网络加密（TLS）

概述

MinIO 支持传输层安全性（TLS）1.2+ 版本的入站和出站流量加密。 MinIO 能够自动检测在默认或自定义搜索路径中指定的证书，并为所有连接启用 TLS。 MinIO 支持来自客户端的服务器名称指示（SNI）请求，MinIO 会尝试根据客户端指定的主机名定位相应的 TLS 证书。

MinIO 需要至少一个单一的默认TLS证书，并且可以支持多个TLS证书以支持SNI连接。 MinIO使用TLS主题备用名称（SAN）列表来确定向客户端返回哪个证书。 如果MinIO找不到其SAN覆盖客户端请求的主机名的TLS证书，MinIO将使用默认证书并尝试建立握手。

您可以指定一个单一的TLS证书，该证书涵盖MinIO部署接受连接的所有可能SAN。

此配置需要最少的设置，但必然会将 TLS SAN 中配置的所有主机名暴露给连接的客户端。 根据您的 TLS 配置，这可能包括内部或私有的 SAN 域名。

您可以改为指定多个按域名分隔的TLS证书，并为任何不匹配的主机名请求设置一个默认证书。 这种配置需要更多设置，但仅暴露返回的TLS SAN数组中配置的那些主机名。

MinIO TLS on Kubernetes

MinIO Kubernetes Operator 为 MinIO 租户提供三种配置 TLS 的方法：

使用集群签名 API 实现自动 TLS

对于具有有效TLS 集群签名证书MinIO Kubernetes Operator 能够自动生成 TLS 证书，同时部署 or 修改一个 MinIO 租户。

Kubernetes TLS API 在生成新 TLS 证书时使用 Kubernetes 集群证书颁发机构（CA）签名算法。 参见支持的 TLS 密码套件有关 MinIO 支持的 TLS 密码套件和推荐签名算法的完整列表。

默认情况下，Kubernetes会在每个pod上放置一个证书包，位置在/var/run/secrets/kubernetes.io/serviceaccount/ca.crt此CA捆绑包应包含用于签署MinIO租户TLS证书的集群或根CA。 部署在Kubernetes集群内的其他应用程序可以信任此集群证书，以通过MinIO 服务 DNS 名称（例如，https://minio.minio-tenant-1.svc.cluster-domain.example:443).

主题备用名称证书

如果您拥有自定义主题备用名称 (SAN) 证书，不同时一个通配符证书，TLS证书SAN必须应用到其父节点的主机名。 如果没有通配符，SAN 必须完全匹配才能连接到租户。

cert-manager 证书管理

MinIO Operator 支持使用cert-manager作为其内置自动证书管理功能的完全替代方案oruser-driven manual certificate management. 有关使用 cert-manager 部署 MinIO Operator 和租户的说明，请参阅cert-manager page.

手动证书管理

The Tenant CRD specspec.externalCertsSecretsupp .. include:: /includes/common/common-configure-keycloak-identity-management.rst

开始之后:

start-configure-keycloak-minio-cli

指定端口的opaque or kubernetes.io/tls类型secrets包含private.key和public.crt用于 TLS。

您可以指定多个证书以支持分配了多个主机名的租户。

MinIO Baremetal TLS

MinIO Server 会为每个节点搜索 TLS 密钥和证书，并使用这些凭据启用 TLS。 MinIO 在发现并验证证书后会自动启用 TLS。 搜索位置取决于您的 MinIO 配置：

${HOME}/.minio/certs

minio server --certs-dir /opt/minio/certs ...

放置默认域名的TLS证书（例如minio.example.net) 在/certs目录，其中私钥作为private.key和公共证书public.crt.

对于分布式 MinIO 部署，部署中的每个节点都必须具有匹配的 TLS 证书配置。

mv myCA.crt ${HOME}/.minio/certs/CAs

mv myCA.crt /opt/minio/certs/CAs/

mv myCA.crt ${HOME}/certs/CAs

mv myCA.crt /opt/minio/certs/CAs/