网络加密（TLS）

启用 TLS

以下各节介绍了如何为MinIO启用TLS。 您可以使用来自知名证书颁发机构、内部或私有CA或自签名证书的TLS证书。

在开始之前，请注意以下几点要点：

• 每个节点配置TLS

• 请确保证书对运行MinIO服务器进程的用户可读。

• 更新 MINIO_VOLUMES 和任何需要使用 HTTPS URL的服务。

使用 cert-manager 进行证书管理

MinIO 操作员支持使用 cert-manager 完全替代其内置的自动证书管理 或 用户驱动的手动证书管理。 有关使用 cert-manager 部署 MinIO 操作员和租户的说明，请参阅 cert-manager 页面 。

MinIO 服务器会搜索每个节点的 TLS 密钥和证书，并使用这些凭据启用 TLS。 搜索位置取决于您的 MinIO 配置：

Default Path

默认情况下，MinIO 服务器在以下目录中查找每个节点的 TLS 密钥和证书：

${HOME}/.minio/certs

其中 ${HOME} 是运行 MinIO Server 进程的用户的 home 目录。 如果 ${HOME}/.minio/certs 目录不存在，您可能需要创建它。

对于由 systemd 管理的部署，这必须对应于运行 MinIO 进程的 USER 。 如果该用户没有 home 目录，请使用 Custom Path 选项代替。

Custom Path

您可以使用 minio server --certs-dir 或 -S 参数为 MinIO 服务器指定一个搜索证书的路径。

例如，以下命令片段指导 MinIO 进程使用 /opt/minio/certs 目录获取 TLS 证书。

minio server --certs-dir /opt/minio/certs ...

运行 MinIO 服务的用户 必须 具有读取和写入此目录的权限。

将默认域（例如 minio.example.net ）的 TLS 证书放在 /certs 目录中，私钥命名为 private.key ， 公证书命名为 public.crt 。

例如:

/path/to/certs
  private.key
  public.crt

您可以使用 MinIO 的 certgen 工具来生成自签名的证书，以便在启用了 TLS 的情况下评估 MinIO。 例如，以下命令生成一个自签名的证书，其中包含与 MinIO 服务器主机相关的一组 IP 和 DNS 主机名（SANs）：

certgen -host "localhost,minio-*.example.net"

将生成的 public.crt 和 private.key 文件放置到 /path/to/certs 目录中，以启用 MinIO 部署的 TLS 功能。 应用程序可以使用 public.crt 作为受信任的证书颁发机构，以允许连接到MinIO部署，而无需禁用证书验证。

如果您正在重新配置一个之前未启用TLS的现有部署，请更新环境变量 MINIO_VOLUMES，将其指定为 https 而不是 http 。 您可能还需要更新应用程序或客户端使用的URL。

MinIO服务器会在以下目录中搜索TLS密钥和证书：

${HOME}/.minio/certs

对于使用自定义TLS目录启动的部署（如： minio server --certs-dir ），请使用该目录而不是默认目录。

要将TLS证书放置在默认域（例如 minio.example.net ）的 /certs 目录中，您需要将私钥命名为 private.key ，将公证书命名为 public.crt 。

例如：

${HOME}/.minio/certs
  private.key
  public.crt

其中 ${HOME} 是运行 MinIO Server 进程的用户的 home 目录。 如果 ${HOME}/.minio/certs 目录不存在，您可能需要创建它。

您可以使用MinIO的 certgen 工具来生成自签名的证书，以便在启用TLS的情况下评估MinIO。 例如，以下命令生成一个自签名证书，其中包含与 MinIO 服务器主机关联的一组 IP 和 DNS SAN：

certgen -host "localhost,minio-*.example.net"

将生成的 public.crt 和 private.key 放入 /.minio/certs 目录中，为 MinIO 部署启用 TLS。 应用程序可以使用 public.crt 作为受信任的证书颁发机构，以允许连接到MinIO部署，而无需禁用证书验证。

如果您正在重新配置一个之前未启用TLS的现有部署，请更新环境变量 MINIO_VOLUMES，将其指定为 https 而不是 http 。 您可能还需要更新应用程序或客户端使用的URL。

${HOME}/.minio/certs
  private.key
  public.crt
  s3-example.net/
    private.key
    public.crt
  internal-example.net/
    private.key
    public.crt

第三方证书颁发机构

MinIO 服务器会验证每个连接客户端所呈现的 TLS 证书，以确保它们与主机系统的受信任根证书存储中的证书相对应。

您可以将额外的受信任的证书颁发机构（CA）文件放置在以下目录中：

${HOME}/.minio/certs/CAs

其中 ${HOME} 是运行 MinIO Server 进程的用户的 home 目录。 如果 ${HOME}/.minio/certs 目录不存在，您可能需要创建它。

对于使用自定义TLS目录启动的部署（ minio server --certs-dir），服务器会在指定目录下的 /certs/CAs 路径中搜索。

将每个 CA 的证书文件放置到 /CAs 子目录中。 确保 MinIO 部署中的所有主机在那个目录中有一致的受信任的 CA 集合。 如果 MinIO 服务器无法将传入客户端的 TLS 证书发行者与任何可用的证书颁发机构（CA）进行匹配，服务器将拒绝该连接，认为其无效。

自签名、内部、私有证书以及带有中级证书的公共证书颁发机构（CAs）

如果使用的是非全局或非公共证书颁发机构签名的证书， 或者 使用的是需要使用中级证书的全局证书颁发机构，那么您必须将这些证书颁发机构提供给 MinIO 服务器。 如果 MinIO 服务器没有必要的证书颁发机构，当连接到其他服务时，它可能会返回与 TLS 验证相关的警告或错误。

将 CA 证书放置在 /certs/CAs 文件夹中。 这个文件夹的根路径取决于您是使用默认证书路径 还是 自定义证书路径（使用 minio server --certs-dir 命令或 -S ）

mv myCA.crt ${HOME}/.minio/certs/CAs

mv myCA.crt /opt/minio/certs/CAs/

如果提供的文件不是 X.509 证书，MinIO 会忽略它，并可能返回验证该 CA 签名的证书的错误。