CentOS 上安装与部署 MinIO 的关键注意事项
一 系统与权限准备
- 保持系统更新并安装基础依赖：执行 yum update -y，安装 wget/unzip 等工具，避免因依赖缺失导致安装失败。
- 为 MinIO 创建专用系统用户与组（如 minio:minio），避免使用 root 直接运行；将数据和日志目录的所有权赋予该用户，提升安全性与可维护性。
- 规划数据与日志目录（如 /data/minio、/opt/module/minio/logs），并确保挂载点磁盘空间充足、I/O 性能满足业务需求。
二 部署方式与目录规范
- 三种常见方式：
- 直接下载 Linux-amd64 二进制文件并放入 /usr/local/bin；
- 使用 RPM 包 安装（可导入 GPG 并配置 YUM 仓库）；
- 使用 Docker 运行容器（便于隔离与升级）。
- 目录与配置建议：
- 二进制或 RPM 部署时，将数据目录与配置分离，常见为 /data/minio（数据）与 /etc/minio（配置）；
- 使用 systemd 管理服务时，推荐通过 EnvironmentFile（如 /etc/default/minio）集中管理环境变量，便于运维与审计。
三 网络与端口配置
- 开放访问端口：MinIO API 默认 9000/TCP，控制台默认 9001/TCP；如使用自定义端口，需同步调整防火墙与客户端配置。
- 防火墙与安全组：在 firewalld 中放行对应端口（例如 firewall-cmd --permanent --add-port=9000/tcp 与 9001/tcp，随后 firewall-cmd --reload）；云环境需同步配置安全组入站规则。
- 绑定地址：在 minio server 启动参数或 MINIO_OPTS 中显式设置 –address 为内网或指定 NODE_IP:9000，避免绑定到 0.0.0.0 引发不必要的暴露风险。
四 安全加固与访问控制
- 强口令与密钥：部署时通过 MINIO_ROOT_USER / MINIO_ROOT_PASSWORD 设置强密码；如使用旧环境变量 MINIO_ACCESS_KEY / MINIO_SECRET_KEY，注意其已在新版本中被标记为废弃，优先使用前者。
- 启用加密传输：生产环境务必配置 TLS/HTTPS，可通过 –certs-dir 指定证书目录或设置 MINIO_CERTS_DIR 环境变量。
- 访问控制与审计：启用 访问日志（如 MINIO_ACCESS_LOG_ENABLED=true），并结合 ACL/桶策略 实施最小权限原则；定期轮换密钥并限制控制台与 API 的访问来源。
五 运行与维护要点
- 资源与内核参数：提升文件句柄限制（如 LimitNOFILE=65536），并在 /etc/security/limits.conf 中设置 nofile 软硬限制，避免因打开文件数不足影响并发。
- 时间与一致性：多节点或分布式部署时，确保节点间 时间同步（建议 NTP），时间漂移过大会影响系统可用性与数据一致性。
- 日志与监控：配置日志输出到文件（如 MINIO_LOGGER_TYPE=file、MINIO_LOGGER_FILE），并接入监控系统与告警；定期查看服务状态与磁盘使用。
- 备份与升级：制定 定期备份 与恢复演练计划；保持 MinIO 版本 及时更新 以获取安全修复与功能改进；变更前在测试环境验证。
