MinIO 在 CentOS 的安全安装与加固清单
一 环境准备与最小权限运行
- 更新系统并安装基础工具：执行 sudo yum update -y 与 sudo yum install -y wget。创建专用系统用户与数据目录，避免使用 root 直接运行：sudo groupadd -r minio && sudo useradd -r -g minio -s /sbin/nologin minio；sudo mkdir -p /data/minio/{data,config,certs,logs}；sudo chown -R minio:minio /data/minio。下载并部署二进制：wget https://dl.min.io/server/minio/release/linux-amd64/minio -O /usr/local/bin/minio && sudo chmod +x /usr/local/bin/minio。以上做法遵循最小权限与目录隔离原则，便于后续安全加固与审计。
二 以 Systemd 托管并配置安全参数
- 推荐使用 systemd 托管并设置环境变量文件 /etc/default/minio，内容示例：MINIO_VOLUMES=“/data/minio”；MINIO_ROOT_USER=“StrongAdmin”；MINIO_ROOT_PASSWORD=“VeryStrongPass!2026”；MINIO_CONSOLE_ADDRESS=“:9001”（API 默认 :9000）。创建服务文件 /etc/systemd/system/minio.service，关键项：User=minio、Group=minio、EnvironmentFile=/etc/default/minio、ExecStart=/usr/local/bin/minio server $MINIO_OPTS $MINIO_VOLUMES、Restart=on-failure、RestartSec=5、LimitNOFILE=65536。说明：LimitNOFILE 提升文件描述符上限，有助于高并发场景；服务以非特权用户运行，降低风险。
三 网络与端口加固
- 防火墙仅开放必要端口：sudo firewall-cmd --permanent --zone=public --add-port=9000/tcp；sudo firewall-cmd --permanent --zone=public --add-port=9001/tcp；sudo firewall-cmd --reload。若启用 SELinux，放行端口：sudo semanage port -a -t http_port_t -p tcp 9000；sudo semanage port -a -t http_port_t -p tcp 9001。监听地址建议绑定内网或受控网段，必要时通过反向代理或安全组限制来源 IP，减少暴露面。
四 启用 TLS 加密与证书管理
- 自签名或 CA 签发证书均可，证书与私钥文件建议命名为 public.crt 与 private.key，并放置在目录 /data/minio/certs（或自定义目录），确保 minio 用户可读：sudo chown -R minio:minio /data/minio/certs。启动命令添加 --certs-dir /data/minio/certs 或在服务环境变量中设置 MINIO_CERTS_DIR。生产环境优先使用有效 CA 证书或反向代理（如 Nginx/ALB）终止 TLS，证书与私钥集中管理、自动续期（如 certbot）。
五 认证、访问控制与日志审计
- 必须修改默认凭据（minioadmin/minioadmin），通过 MINIO_ROOT_USER / MINIO_ROOT_PASSWORD 设置强口令；为应用创建最小权限的 IAM 用户/策略，禁用控制台 root 的长期登录，采用短期凭证或外部身份源；启用访问日志以便审计：Environment=MINIO_ACCESS_LOG_ENABLED=true，日志写入 /data/minio/logs；如需服务端加密，配置 KMS 主密钥：Environment=MINIO_KMS_MASTER_KEY=your-256-bit-key。部署完成后，使用 mc 验证：mc alias set myminio https://:9000 && mc ls myminio，确认连通性与权限生效。
