管理

• 1: 管理部署
• 2: 批量复制
• 3: 管理对象
• 4: 批量密钥轮换
• 5: 安全与访问
• 6: 批量过期
• 7: SUBNET
• 8: Silo 控制台
• 9: 对象管理
  • 9.1: 存储桶版本控制
  • 9.2: 将对象迁移到远程 MinIO 部署
  • 9.3: Silo 对象锁定
  • 9.4: 将对象从 MinIO 迁移到 S3
  • 9.5: 对象删除
  • 9.6: 将对象从 MinIO 迁移到 GCS
  • 9.7: 对象生命周期管理
  • 9.8: 将对象从 MinIO 迁移到 Azure
  • 9.9: 对象自动过期
  • 9.10: 数据压缩
• 10: 监控存储桶与对象事件
  • 10.1: 存储桶通知
  • 10.2: 将事件发布到 AMQP (RabbitMQ)
  • 10.3: 将事件发布到 MQTT
  • 10.4: 将事件发布到 NATS
  • 10.5: 将事件发布到 NSQ
  • 10.6: 将事件发布到 Elasticsearch
  • 10.7: 将事件发布到 Kafka
  • 10.8: 将事件发布到 MySQL
  • 10.9: 将事件发布到 PostgreSQL
  • 10.10: 将事件发布到 Redis
  • 10.11: 将事件发布到 Webhook
• 11: 身份与访问管理
  • 11.1: Silo 身份管理
  • 11.2: 用户管理
  • 11.3: OpenID Connect 访问管理
  • 11.4: 组管理
  • 11.5: Active Directory / LDAP 访问管理
  • 11.6: Silo 外部身份管理插件
  • 11.7: 访问管理
  • 11.8: Silo 外部访问管理插件
• 12: 对象的服务器端加密
  • 12.1: 使用按存储桶划分密钥的服务端加密（SSE-KMS）
  • 12.2: 部署级服务端加密密钥（SSE-S3）
  • 12.3: 使用客户端管理密钥的服务端加密（SSE-C）
• 13: 存储桶复制
  • 13.1: 设置存储桶复制的要求
  • 13.2: 启用服务端单向存储桶复制
  • 13.3: 启用双向服务端存储桶复制
  • 13.4: 启用多站点服务端存储桶复制
  • 13.5: 从远程副本重新同步存储桶
• 14: 批处理框架
• 15: 核心管理概念

1 - 管理部署

你可以使用 MinIO Console 执行 MinIO 提供的多种部署监控与管理功能，例如：

• 通过查看指标仪表板、服务器日志或审计日志、追踪历史、S3 事件或驱动器健康状态，监控 部署活动与健康状况。
• 通过添加或管理 通知目标 来配置告警。
• 设置 站点复制，以同步数据中心，满足地理分散团队的及时访问需求，或用于灾难准备。
• 配置部署 设置。

监控

Monitoring 部分提供用于监控 MinIO 部署的界面。

该部分包含以下子部分： 如果已认证用户不具备 所需的管理权限，则某些子部分可能不可见。

指标

Console 的 Dashboard 部分显示 MinIO 部署的指标。 默认视图提供部署状态的高层概览，包括各个服务器和驱动器的运行时长与可用性。

Console 还支持通过查询已配置为抓取 MinIO 部署数据的 Prometheus 服务来显示时间序列和历史数据。 具体来说，MinIO Console 使用 Prometheus query API 获取已存储的指标数据并显示历史指标。 有关将 MinIO 指标抓取到 Prometheus 的更多信息，请参见 使用 Prometheus 进行监控与告警。

日志

Console 的 Logs 部分显示 MinIO 部署生成的 服务器日志。

• 使用 Nodes 下拉框将日志过滤到 MinIO 部署中的部分服务器节点。
• 使用 Log Types 下拉框将日志过滤到部分日志类型。
• 使用 Filter 对日志结果应用文本过滤条件

选择 Start Logs 按钮，开始使用所选过滤器和设置采集日志。

审计

Audit Log 部分提供用于查看由已配置 PostgreSQL 服务采集的 审计日志 的界面。

追踪

Trace 部分为部署中的一个或多个存储桶提供 HTTP 追踪功能。 该部分提供与 mc admin trace 类似的功能。

你可以修改追踪范围，仅显示特定的追踪调用。 默认仅显示与 S3 相关的 HTTP 追踪。

选择 Filters 可打开附加过滤器并应用到追踪输出，例如将追踪适用的 Path 限制为某个特定存储桶或存储桶前缀。

观察

Watch 部分显示所选存储桶上发生的 S3 事件。 该部分提供与 mc watch 类似的功能。

加密

Encryption 部分允许你查看已配置 Key Encryption Service 提供方的状态和指标。

事件

Events 部分提供用于查看、添加或删除 事件通知 目标的界面。

你可以使用此界面配置 MinIO，将通知事件推送到一个或多个目标端，包括 Redis、MySQL、Kafka、PostgreSQL、AMQP、MQTT、Elastic Search、NATS、NSQ 或 Webhook。

选择 Add Event Destination + 按钮，为部署添加新的事件目标。

你可以从列表中选择现有通知目标，查看其详细信息或删除该目标。

站点复制

Site Replication 部分提供用于添加和管理部署 站点复制 配置的界面。

配置站点复制时，要求现有存储桶或对象（如果有）只能存在于单个站点中。

加密

Encryption 设置提供用于列出、创建和删除密钥的界面，这些密钥可用于 MinIO 服务端加密。

你可以将此视图中创建或列出的密钥用于对象加密操作，包括设置 存储桶级默认密钥。

配置

Settings 部分提供用于查看和获取部署中所有 MinIO Server 的 配置设置 的界面。 使用 Export 和 Import 按钮可在不同部署之间导出和导入设置。

该部分包含以下子部分。

• Region
• Compression
• API
• Heal
• Scanner
• Etcd
• Logger Webhook
• Audit Webhook
• Audit Kafka

如果已认证用户不具备 所需的管理权限，则某些子部分可能不可见。

该界面的功能与使用 mc admin config get 或 mc admin config set 类似。 有关如何定义这些选项的详细信息，请参见这些命令。

某些配置设置可能需要重启 MinIO 部署才能生效。

2 - 批量复制

MinIO 批处理框架允许您使用 YAML 格式的作业定义文件（“批处理文件”）来创建、管理、监控和执行作业。 批处理作业直接在 MinIO 部署上运行，可利用服务端处理能力，而不受运行 MinIO Client 的本地机器限制。

replicate 批处理作业会将对象从一个 MinIO 部署（source 部署）复制到另一个 MinIO 部署（target 部署）。 source 或 target 中 必须 有一方是 local 部署。

与使用 mc mirror 相比，MinIO 部署之间的批量复制具有以下优势：

• 消除了客户端到集群网络成为潜在瓶颈的可能
• 用户只需要具备启动批处理作业的访问权限，而无需其他权限，因为作业完全在集群服务端运行
• 如果对象未能复制，作业可提供重试机制
• 批处理作业是一次性的、可编排的过程，可对复制进行精细控制
• （仅限 MinIO 到 MinIO）复制过程会将对象版本从源端复制到目标端

从 MinIO Server RELEASE.2023-05-04T21-44-30Z 开始，另一端部署既可以是另一个 MinIO 部署，也可以是使用实时存储类的任意 S3 兼容位置。 使用复制 YAML 文件中的筛选选项，可排除存储在需要先重新水化或通过其他恢复方式处理后才能提供请求对象的位置中的对象。 复制到此类远端时，批量复制采用 mc mirror 的行为。

行为

访问控制与要求

批量复制与 bucket replication 具有类似的访问和权限要求。

“source” 部署所使用的凭据必须具有类似以下的策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "admin:SetBucketTarget",
                "admin:GetBucketTarget",
                "admin:ListBatchJobs",
                "admin:DescribeBatchJob",
                "admin:StartBatchJob",
                "admin:CancelBatchJob"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteBucketConfiguration"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetObjectRetention",
                "s3:GetObjectLegalHold",
                "s3:PutReplicationConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationRuleConfiguration"
        }
    ]
}

“remote” 部署所使用的凭据必须具有类似以下的策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:GetBucketObjectLockConfiguration",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicationOnBucket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetReplicationConfiguration",
                "s3:ReplicateTags",
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionTagging",
                "s3:PutObject",
                "s3:PutObjectRetention",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutObjectLegalHold",
                "s3:DeleteObject",
                "s3:ReplicateObject",
                "s3:ReplicateDelete"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ],
            "Sid": "EnableReplicatingDataIntoBucket"
        }
    ]
}

有关向 MinIO 部署添加用户、访问密钥和策略的更完整文档，请参见 mc admin user、mc admin user svcacct 和 mc admin policy。

已配置 Active Directory/LDAP 或 OpenID Connect 用户管理的 MinIO 部署，也可以创建专用的 access keys 来支持批量复制。

筛选复制目标

批处理作业定义文件可按存储桶、前缀和/或筛选条件限制复制范围，从而只复制特定对象。 复制过程对对象和存储桶的访问，可能会受到您在 YAML 中为源端或目标端提供的凭据限制。

例如，您可以使用批处理作业执行一次性复制同步，将对象从本地部署 minio-local/invoices/ 上的某个存储桶推送到远程部署 minio-remote/invoices 上的某个存储桶。 您也可以将对象从远程部署 minio-remote/invoices 拉取到本地部署 minio-local/invoices。

小文件优化

从 RELEASE.2023-12-09T18-17-51Z 开始，批量复制默认会自动对小于 5MiB 的对象进行批量打包和压缩，以高效地在源端与远端之间传输数据。 远程 MinIO 部署可以检查这些打包后的对象，并立即应用生命周期管理分层规则。 该功能类似于 S3 Snowball Edge 提供的小文件批处理能力。

您可以在 replicate 作业配置中修改压缩设置。

复制批处理作业参考

YAML 必须 定义源部署和目标部署。 如果 source 部署是远程部署，则 target 部署 必须 为 local。 此外，YAML 还可以定义标志，用于筛选要复制的对象、为作业发送通知或定义作业的重试次数。

replicate:
  apiVersion: v1
  source:
    type: minio
    bucket: mybucket
    prefix:
      - prefix1
      - prefix2
...

对于 源部署

• 必需信息

  type:	必须为 minio。
  bucket:	部署上的存储桶。

• 可选信息

  prefix:	应复制对象的前缀。 从 MinIO Server RELEASE.2024-08-03T04-33-23Z 开始，Batch Job Replicate API 的 v2 允许您列出多个前缀。 将 replicate.apiVersion 指定为 v2，即可从多个前缀执行复制。
  endpoint:	用于复制批处理作业源端或目标端的部署位置。 例如，https://minio.example.net。 如果该部署就是命令中指定的 mc alias set，可省略此字段，让 MinIO 使用该别名对应的 endpoint 和 credentials 值。 源部署或远程部署中必须有一方是 “local” 别名。 非 “local” 部署必须指定 endpoint 和 credentials。
  path:	指示 MinIO 使用存储桶的 Path 或 Virtual Style（DNS）查找方式。 - 指定 on 使用 Path 风格 - 指定 off 使用 Virtual 风格 - 指定 auto 让 MinIO 自动判断正确的查找方式。 默认为 auto。
  credentials:	授予对象访问权限的 accesskey: 和 secretKey:，或 sessionToken:。 仅对非 local 部署指定此项。
  snowball	版本新增：RELEASE.2023-12-09T18-17-51Z 用于控制批量打包与压缩功能的配置选项。
  snowball.disable	指定 true 可在复制期间禁用批量打包与压缩功能。 默认为 false。
  snowball.batch	指定用于压缩打包的对象最大整数数量。 默认为 100。
  snowball.inmemory	指定 false 表示使用本地存储暂存归档，或指定 true 表示暂存到内存（RAM）。 默认为 true。
  snowball.compress	指定 true 可在线路传输中使用 S2/Snappy compression algorithm 生成压缩后的打包对象。 默认为 false，即不压缩。
  snowball.smallerThan	指定对象大小阈值，小于该值时 MinIO 应对对象执行批量打包。 默认为 5MiB。
  snowball.skipErrs	指定 false 可让 MinIO 在读取任意产生错误的对象时停止处理。 默认为 true。

对于 目标部署

• 必需信息

  type:	必须为 minio。
  bucket:	部署上的存储桶。

• 可选信息

  prefix:	要复制对象的前缀。
  endpoint:	目标部署的位置。 如果目标是命令中指定的 alias，则可以省略此项以及 credentials 字段。 如果目标是 “local”，则源端必须通过 endpoint 和 credentials 指定远程部署。
  credentials:	授予对象访问权限的 accesskey 和 secretKey，或 sessionToken。

对于 筛选条件

对于 通知

对于 重试次数

如果有任何因素中断作业，您可以定义该批处理作业的重试次数。 对于每次重试，您还可以定义两次尝试之间的等待时长。

replicate 作业类型的 YAML 描述文件示例

使用 mc batch generate 创建基础的 replicate 批处理作业，以便进一步自定义。

对于 local 部署，请勿指定 endpoint 或 credentials。 根据哪一方是 local，删除或注释掉源端或目标端部分中的这些行。

replicate:
  apiVersion: v1
  # source of the objects to be replicated
  source:
    type: TYPE # valid values are "s3" or "minio"
    bucket: BUCKET
    prefix: PREFIX # 'PREFIX' is optional
    # If your source is the 'local' alias specified to 'mc batch start', then the 'endpoint' and 'credentials' fields are optional and can be omitted
    # Either the 'source' or 'remote' *must* be the "local" deployment
    endpoint: "http[s]://HOSTNAME:PORT" 
    # path: "on|off|auto" # "on" enables path-style bucket lookup. "off" enables virtual host (DNS)-style bucket lookup. Defaults to "auto"
    credentials:
      accessKey: ACCESS-KEY # Required
      secretKey: SECRET-KEY # Required
    # sessionToken: SESSION-TOKEN # Optional only available when rotating credentials are used
    snowball: # automatically activated if the source is local
      disable: false # optionally turn-off snowball archive transfer
      batch: 100 # upto this many objects per archive
      inmemory: true # indicates if the archive must be staged locally or in-memory
      compress: false # S2/Snappy compressed archive
      smallerThan: 5MiB # create archive for all objects smaller than 5MiB
      skipErrs: false # skips any source side read() errors

  # target where the objects must be replicated
  target:
    type: TYPE # valid values are "s3" or "minio"
    bucket: BUCKET
    prefix: PREFIX # 'PREFIX' is optional
    # If your source is the 'local' alias specified to 'mc batch start', then the 'endpoint' and 'credentials' fields are optional and can be omitted

    # Either the 'source' or 'remote' *must* be the "local" deployment
    endpoint: "http[s]://HOSTNAME:PORT"
    # path: "on|off|auto" # "on" enables path-style bucket lookup. "off" enables virtual host (DNS)-style bucket lookup. Defaults to "auto"
    credentials:
      accessKey: ACCESS-KEY
      secretKey: SECRET-KEY
    # sessionToken: SESSION-TOKEN # Optional only available when rotating credentials are used

  # NOTE: All flags are optional
  # - filtering criteria only applies for all source objects match the criteria
  # - configurable notification endpoints
  # - configurable retries for the job (each retry skips successfully previously replaced objects)
  flags:
    filter:
      newerThan: "7d" # match objects newer than this value (e.g. 7d10h31s)
      olderThan: "7d" # match objects older than this value (e.g. 7d10h31s)
      createdAfter: "datetime" # match objects created after this date and time in RFC3339 format
      createdBefore: "datetime" # match objects created before this date and time in RFC3339 format

      ## NOTE: tags are not supported when "source" is remote.
      # tags:
      #   - key: "name"
      #     value: "pick*" # match objects with tag 'name', with all values starting with 'pick'

      # metadata:
      #   - key: "content-type"
      #     value: "image/*" # match objects with 'content-type', with all values starting with 'image/'

    notify:
      endpoint: "https://notify.endpoint" # notification endpoint to receive job status events
      token: "Bearer xxxxx" # optional authentication token for the notification endpoint

    retry:
      attempts: 10 # number of retries for the job before giving up
      delay: "500ms" # least amount of delay between each retry

3 - 管理对象

你可以使用 MinIO Console 执行 MinIO 提供的多种存储桶和对象管理及交互操作。 根据已认证用户的权限和 IAM 策略，你可以：

• 浏览、上传、回退、管理并与对象交互。
• 浏览、创建和管理存储桶。
• 创建或监控远程层，以支持对象转换规则。

对象浏览器

对象浏览器会列出已认证用户在该部署上有权访问的存储桶和对象。

登录后或切换到该标签页时，对象浏览器会显示该用户的存储桶列表，用户可以对其进行筛选。 选择某个存储桶可显示该桶中的对象列表。

选择某个具体对象后，可显示该对象的摘要信息，例如名称、大小、标签、法律保留以及适用的保留策略。 Console 还会显示该对象的元数据。

用户可根据适用的策略和权限，对存储桶中的对象执行操作。 用户可能可以执行的操作包括：

• 回退到先前版本
• 创建前缀
• 查看已删除对象
• 上传对象
• 下载对象
• 分享
• 预览
• 管理法律保留
• 管理保留策略
• 管理标签
• 检查
• 显示版本
• 删除

存储桶

Console 的 Bucket 部分会显示已认证用户具有 访问权限 的所有存储桶。 你可以根据该用户的访问权限，在此部分中创建或管理这些存储桶。

创建存储桶

选择 Create Bucket 可在该部署上创建新的存储桶。 MinIO 会校验存储桶名称。 如需查看存储桶命名规则，请选择 View Bucket Naming Rules。

MinIO 不限制单个部署允许创建的存储桶总数。 不过，作为通用建议，MinIO 建议每个部署的存储桶数量不超过 500,000 个。

创建存储桶时，你可以启用以下功能：版本控制, 对象锁定, 存储桶大小（配额）限制，以及 保留规则。 保留规则要求启用版本控制。

你 必须 在创建存储桶时配置复制、锁定和版本控制选项。 之后无法再更改该存储桶的这些设置。

管理存储桶

使用 Search 栏筛选特定存储桶。 选择某个存储桶所在行可显示该存储桶的摘要信息。

在摘要页面中，选择任一可用标签页以进一步管理该存储桶。

管理存储桶时，你的访问设置可能允许你查看或更改以下内容：

• Summary 部分显示存储桶配置的摘要。

  你可以在此部分查看和修改存储桶的访问策略、加密、配额和标签。

• 在 Events 部分配置告警，以便在用户上传、访问或删除匹配对象时触发 通知事件。

• 在 Replication 部分使用 服务端存储桶复制规则 将对象复制到远程位置。

• 在 Lifecycle 部分设置 对象生命周期管理规则，以过期或转换存储桶中的对象。

• 在 Access 部分通过列出对该存储桶有访问权限的 策略 和 用户 来审查安全设置。

• 在 Anonymous 部分管理未认证用户可用于读取或写入对象的前缀规则，以妥善保护匿名访问。

层

Tiering 部分提供了用于添加和管理 远程层 的界面，以支持生命周期管理转换规则。 MinIO 分层支持将对象从该部署迁移到远程存储，但不支持自动将其恢复到该部署。

分层标签页允许具有相应权限的用户执行以下操作：

• 查看所有已配置远程层的状态和摘要信息。
• 为新的远程目标存储创建层，目标可以是另一个 MinIO 部署、Google Cloud Storage、Amazon 的 AWS S3 或 Azure。
• 使用层上的 图标轮换任意已配置层的访问凭证。

4 - 批量密钥轮换

MinIO Batch Framework 允许你使用 YAML 格式的作业定义文件（“批处理文件”）来创建、管理、监控和执行作业。 批处理作业直接在 MinIO 部署上运行，以利用服务端处理能力，而不受运行 MinIO Client 的本地机器限制。

keyrotate 批处理作业类型会为 MinIO 部署上的加密对象轮换 sse-s3 or sse-kms keys。

YAML 配置支持按创建日期、标签、元数据或 kms key 进行过滤，将密钥轮换限制在特定对象集合上。 你还可以定义重试次数，或设置通知 endpoint 和 token。

密钥轮换批处理作业参考

使用 keyrotate 作业类型创建批处理作业，以轮换加密对象的 sse-s3 or sse-kms keys。

必填字段

type:	sse-s3 或 sse-kms 之一。
key:	仅用于 sse-kms 类型。 用于解封密钥保管库的密钥。

可选字段

对于 基于标志的过滤条件

对于 通知

对于 重试

如果作业被中断，你可以定义最大重试次数。 对于每次重试，你还可以定义两次尝试之间的等待时间。

keyrotate 作业类型的 YAML 描述文件示例

使用 mc batch generate 创建一个基础的 keyrotate 批处理作业，以便进一步自定义：

keyrotate:
  apiVersion: v1
  bucket: BUCKET
  prefix: PREFIX
  encryption:
    type: sse-s3 # valid values are sse-s3 and sse-kms
    key: <new-kms-key> # valid only for sse-kms
    context: <new-kms-key-context> # valid only for sse-kms

  # optional flags based filtering criteria
  # for all objects
  flags:
    filter:
      newerThan: "7d" # match objects newer than this value (e.g. 7d10h31s)
      olderThan: "7d" # match objects older than this value (e.g. 7d10h31s)
      createdAfter: "date" # match objects created after this date and time in RFC3339 format
      createdBefore: "date" # match objects created before this date and time in RFC3339 format
      tags:
        - key: "name"
          value: "pick*" # match objects with tag 'name', with all values starting with 'pick'
      metadata:
        - key: "content-type"
          value: "image/*" # match objects with 'content-type', with all values starting with 'image/'
      kmskey: "key-id" # match objects with KMS key-id (applicable only for sse-kms)
    notify:
      endpoint: "https://notify.endpoint" # notification endpoint to receive job status events
      token: "Bearer xxxxx" # optional authentication token for the notification endpoint
    retry:
      attempts: 10 # number of retries for the job before giving up
      delay: "500ms" # least amount of delay between each retry

5 - 安全与访问

你可以使用 MinIO Console 执行 MinIO 提供的多种身份与访问管理功能，例如：

• 创建继承父级权限的子 访问密钥。
• 查看、管理和创建访问 策略。
• 使用内置的 MinIO IDP 创建和管理 用户凭证 或组，连接一个或多个 OIDC provider，或添加 AD/LDAP provider 以实现 SSO。

访问密钥

Access Keys 或 Service Accounts 部分会显示与已认证用户关联的所有 访问密钥。 某个用户已有访问密钥的摘要列表包括访问密钥、过期时间、状态、名称和描述。

访问密钥可为应用程序提供认证凭证，并继承“父”用户的权限。

对于使用外部身份管理器（例如 Active Directory 或兼容 OIDC 的 provider）的部署，访问密钥为用户提供了一种创建长期有效凭证的方式。

• 你可以选择访问密钥所在行查看其自定义策略（如果存在）。

  你可以在此页面创建或修改策略。 访问密钥策略不能超过父用户被授予的权限。

• 你可以选择 Create access key 创建新的访问密钥。

  Console 会自动生成访问密钥和密码。 你可以选择密码字段上的眼睛 图标以显示该值。 你也可以根据需要覆盖这些值。

  你可以为访问密钥设置自定义策略，进一步限制使用该密钥进行认证的用户所拥有的权限。 选择 Restrict beyond user policy 打开策略编辑器，并按需修改。

  在选择 Create 创建访问密钥之前，请确保你已将访问密钥密码保存到安全位置。 创建访问密钥后，你无法再次获取或重置该密码值。

  如需轮换应用程序凭证，请创建新的访问密钥，并在应用程序切换为使用新凭证后删除旧密钥。

策略

Policies 部分会显示 MinIO 部署上的所有 策略。 Policies 部分允许你创建、修改或删除策略。

策略 定义了已认证用户可以访问的授权操作和资源。 每个策略描述用户、用户组或访问密钥可以执行的一项或多项操作，或其必须满足的条件。

这些策略是 JSON 格式的文本文件，并兼容 Amazon AWS Identity and Access Management 的策略语法、结构和行为。 有关在 MinIO 中使用策略管理访问的详细信息，请参阅 Policy Based Action Control。

如果已认证用户没有 所需的管理权限，则此部分或其中的内容可能不可见。

• 选择 + Create Policy 创建新的 MinIO Policy。

• 选择策略所在行以管理该策略的详细信息。

  Summary 视图显示策略摘要。

  Users 视图显示所有分配了该策略的用户。

  Groups 视图显示所有分配了该策略的组。

  Raw Policy 视图显示原始 JSON 策略。

使用 Users 和 Groups 视图，可分别将已创建的策略分配给用户和组。

身份

Identity 部分为 MinIO 管理的用户 提供管理界面。

该部分包含以下子部分。 如果已认证用户没有 所需的管理权限，某些子部分可能不可见。

用户

Users 部分显示部署中的所有 MinIO 管理 用户。

对于使用外部身份管理器（例如 Active Directory 或兼容 OIDC 的 provider）的部署，此部分不可见。

• 选择 Create User 创建新的 MinIO 管理用户。

  你可以在创建时为该用户分配 组 和 策略。

• 选择某个用户所在行以查看该用户的详细信息。

  你可以查看并修改该用户已分配的 组 和 策略。

  你还可以查看和管理与该用户关联的所有 访问密钥。

组

Groups 部分显示 MinIO 部署上的所有 组。

对于使用外部身份管理器（例如 Active Directory 或兼容 OIDC 的 provider）的部署，此部分不可见。

• 选择 Create Group 创建新的 MinIO Group。

  你可以在创建时将新用户分配到该组。

  你可以在创建后为该组分配策略。

• 选择组所在行以打开该组的详细信息。

  你可以在 Members 视图中修改组成员。

  你可以在 Policies 视图中修改该组已分配的策略。

  更改用户的组成员关系会修改该用户继承的策略。更多信息请参阅 Access Management。

OpenID

MinIO 支持使用 兼容 OpenID Connect (OIDC) 的身份提供者 (IDP) 对用户身份进行外部管理。

OpenID provider 的示例包括：

• Okta
• KeyCloak
• Dex
• Google
• Facebook

配置外部 IDP 后即可启用 Single-Sign On 工作流，应用程序会先针对外部 IDP 完成认证，然后再访问 MinIO。

使用本节中的界面可以查看、添加或编辑部署的 OIDC 配置。 MinIO 支持任意数量的活动 OIDC 配置。

LDAP

MinIO 支持使用 Active Directory 或 LDAP (AD/LDAP) 服务对用户身份进行外部管理。 配置外部身份提供者 (IDP) 后即可启用 Single-Sign On (SSO) 工作流，应用程序会先针对外部 IDP 完成认证，然后再访问 MinIO。

使用本节中的界面可以查看、添加或编辑部署的 LDAP 配置。 MinIO 仅支持一个活动 LDAP 配置。

MinIO 会查询 Active Directory / LDAP 服务器，以验证客户端指定的凭证。 如果进行了相应配置，MinIO 还会在 AD/LDAP 服务器上执行组查找。

6 - 批量过期

MinIO 批处理框架允许你使用 YAML 格式的作业定义文件（“batch file”）创建、管理、监控和执行作业。 批处理作业直接在 MinIO 部署上运行，从而利用服务端处理能力，而不受运行 MinIO Client 的本地机器限制。

expire 批处理作业会将 对象自动过期 的行为应用到单个存储桶。 该作业根据提供的配置判断对象是否符合过期条件，且独立于任何已配置的过期规则。

行为

对象立即过期

批量过期会作为批处理作业的一部分立即执行，这与 passive scanner-based application of expiration rules 不同。 具体来说，批量过期不会让位于应用 I/O，因此可能影响部署上常规读写操作的性能。

过期资格在批处理运行时确定

批量过期按存储桶工作，并且每次运行都会一次性执行直至完成。 该作业在运行时判断对象是否符合过期条件，并且 不会 定期重新扫描或重新检查新对象。

如果要处理任何新近满足过期条件的对象，请重新运行该批处理作业。

过期规则仅检查最新对象

批量过期作业只会使用每个对象的最新版本或“current”版本来匹配各条批量过期规则。

expire 批处理作业参考

tags:
  - key: archive
    value: True

metadata:
  - key: content-type
    value: image/*

expire 作业类型的 YAML 示例

使用 mc batch generate 创建基础 expire 批处理作业，再进行进一步定制。

expire:
  apiVersion: v1
  bucket: mybucket # Bucket where this job will expire matching objects from
  prefix: myprefix # (Optional) Prefix under which this job will expire objects matching the rules below.
  rules:
    - type: object  # objects with zero ore more older versions
      name: NAME # match object names that satisfy the wildcard expression.
      olderThan: 70h # match objects older than this value
      createdBefore: "2006-01-02T15:04:05.00Z" # match objects created before this date and time in RFC3339 format
      tags:
        - key: name
          value: pick* # match objects with tag 'name', all values starting with 'pick'
      metadata:
        - key: content-type
          value: image/* # match objects with 'content-type', all values starting with 'image/'
      size:
        lessThan: 10MiB # match objects with size less than this value (e.g. 10MiB)
        greaterThan: 1MiB # match objects with size greater than this value (e.g. 1MiB)
      purge:
          # retainVersions: 0 # (default) delete all versions of the object. This option is the fastest.
          # retainVersions: 5 # keep the latest 5 versions of the object.

    - type: deleted # objects with delete marker as their latest version
      name: NAME # match object names that satisfy the wildcard expression.
      olderThan: 10h # match objects older than this value (e.g. 7d10h31s)
      createdBefore: "2006-01-02T15:04:05.00Z" # match objects created before this date and time in RFC3339 format
      purge:
          # retainVersions: 0 # (default) delete all versions of the object. This option is the fastest.
          # retainVersions: 5 # keep the latest 5 versions of the object including delete markers.

  notify:
    endpoint: https://notify.endpoint # notification endpoint to receive job completion status
    token: Bearer xxxxx # optional authentication token for the notification endpoint

  retry:
    attempts: 10 # number of retries for the job before giving up
    delay: 500ms # least amount of delay between each retry

7 - SUBNET

您可以使用 MinIO Console 执行 MinIO 中若干与许可证和订阅相关的功能，例如：

• 查看 MinIO 部署当前使用的许可证。
• 订阅商业许可证，其中包含对 MinIO SUBNET 的访问权限。
• 管理部署的 Enterprise 许可证。
• 使用可与 MinIO Engineering 共享的支持工具。
• 查看不同许可证选项之间的差异。

许可证

MinIO 提供三种许可证选项：

1. 基于 GNU AGPLv3 license 的开源版本
2. Enterprise Lite，一种 commercial license，包含由 MinIO Engineers 直接提供的支持
3. Enterprise Plus，一种 commercial license，包含由 MinIO Engineers 直接提供的支持、较长的发布周期、更短的 SLA 以及其他优势

License 页面显示部署当前的许可证状态。 您还可以开始注册流程，以开通付费订阅或将该部署添加到现有订阅中。

采用 AGPLv3 许可的部署必须遵守该许可证条款。 MinIO 无法判定您的应用程序对 MinIO 的使用是否符合 AGPLv3 的许可证要求。 您应当依赖自己的法律顾问或许可证专家，对应用程序进行审计，并确保其符合 MinIO 以及所有与您的应用程序集成或交互的其他开源项目的许可证要求。

对于会触发 AGPLv3 义务的应用程序（例如需要将应用开源），MinIO Commercial Licensing 是最佳选择。 在未验证其使用方式的情况下使用 MinIO 或任何其他采用 OSS 许可证代码的应用程序，风险由使用者自行承担。

健康

Health 部分提供了一个界面，用于对 MinIO 部署运行健康诊断。 对于连接到 Internet 的集群，报告会自动上传到 SUBNET。

生成的健康报告供 MinIO Engineering 通过 MinIO SUBNET 使用，其中可能包含诸如主机名等内部或私有数据点。 在将健康报告发送给第三方或发布到公开论坛之前，请务必谨慎评估。

如有需要，您可以从该页面下载最新报告。

性能

Performance 部分提供了一个界面，用于对部署执行性能测试。 测试结果可作为部署在 S3 GET 和 PUT 请求下性能表现的一般性参考。

如需更完整的性能测试，可考虑结合使用预发布应用环境中的负载测试以及 MinIO WARP 工具。

Profile

Profile 部分提供了一个界面，用于对部署执行系统分析。 结果可以帮助了解给定节点上运行的 MinIO 服务进程。

生成的报告供 MinIO Engineering 通过 MinIO SUBNET 使用。 独立使用或由第三方使用这些分析结果进行诊断和修复，风险由您自行承担。

Inspect

Inspect 部分提供了一个界面，用于捕获与一个或多个对象相关的纠删码元数据。 MinIO Engineering 可能会要求提供此输出，作为 MinIO SUBNET 中诊断的一部分。

生成的对象可使用 MinIO 的 debugging tool 读取。 独立使用或由第三方使用该输出进行诊断或修复，风险由您自行承担。 您还可以选择对该对象进行加密，使其仅在调试工具链中包含所生成的加密密钥时才能被读取。

Call Home

Call Home 是一个可选功能，已注册到 MinIO SUBNET 的部署可以自动将每日健康诊断报告或实时错误日志发送到 SUBNET。 这些报告可为工程支持团队在响应支持请求时提供诊断记录、日志记录，或同时提供两者。

MinIO 安装后默认禁用 Call Home 选项。

使用 Call Home 部分可启用或禁用将每日一次的健康诊断报告或实时错误日志上传到 SUBNET。 健康报告和实时日志是彼此独立的功能，您可以分别启用或禁用。 如有需要，您也可以同时启用诊断报告和日志。

8 - Silo 控制台

MinIO Console 是一个功能丰富的图形用户界面，提供与 mc 命令行工具类似的功能。

本页面概述了 MinIO Console，并说明其配置选项和登录方法。

概述

您可以使用 MinIO Console 执行多种管理任务，例如身份与访问管理、指标与日志监控或服务器配置。

SILO 在服务端内嵌持续维护的 Silo Console。Silo Console 仓库记录下游源码、版本发布与兼容性变化；独立部署属于高级集成路径，必须选择与目标服务端版本兼容的 Console 版本。

支持的浏览器

MinIO Console 可运行于多种当前稳定版本的浏览器。

为获得最佳使用体验，请使用您所选浏览器的最新稳定版本。 支持的浏览器包括：

• Chrome
• Edge
• Safari
• Firefox
• Opera

此列表 并不完整，后续可能发生变化。

如需查看运行 MinIO Console 所支持的完整浏览器及版本列表，请参见 Browserslist 网站。

配置

MinIO Console 的大部分配置设置继承自 MinIO Server。以下环境变量用于启用 MinIO Console 中的特定行为：

静态端口分配与动态端口分配

默认情况下，MinIO 会在每次服务器启动时为 MinIO Console 随机选择一个端口。 访问 MinIO Server 的浏览器客户端会被自动重定向到动态选定端口上的 MinIO Console。此行为模拟了旧版 Web 浏览器访问方式，同时降低了在 嵌入式 Console 更新前已运行 MinIO 的系统上发生端口冲突的风险。

您可以在启动部署中的每个 MinIO Server 时，通过传递 minio server --console-address 命令行选项来显式指定静态端口。

例如，以下命令启动一个分布式 MinIO 部署，并为 MinIO Console 静态分配 9001 端口。该部署将在默认 MinIO 服务器端口 :9000 上响应 S3 API 操作，并在 MinIO Console 端口 :9001 上响应浏览器访问。

minio server https://minio-{1...4}.example.net/mnt/drive-{1...4} \
      --console-address ":9001"

位于网络路由组件之后且其路由规则要求使用静态端口的部署，可能需要为 MinIO Console 设置静态端口。例如，负载均衡器、反向代理或 Kubernetes ingress 可能会默认阻止动态重定向行为，或在该行为下表现异常。

您还必须确保主机系统防火墙允许访问已配置的 Console 端口。

登录

MinIO Console 会向未认证用户显示登录页面。 默认情况下，Console 为 MinIO-managed user 提供用户名和密码登录提示。

对于配置了多个 identity managers 的部署， 请选择 Other Authentication Methods 下拉菜单，以选择其他已配置的身份提供商之一。 您也可以使用通过 Security Token Service (STS) API 生成的凭证登录。

文档

Documentation 选项卡会在单独的浏览器窗口或标签页中打开此文档站点。

可用任务

登录 MinIO Console 后，用户可以执行多种任务。

• 管理对象，包括浏览或上传对象、管理存储桶设置或创建层。
• 查看或修改身份与安全配置，包括访问密钥、策略和身份提供商设置。
• 监控健康状态与活动，包括指标、通知或站点复制
• 管理部署许可证

9 - 对象管理

• Versioning overview
• Object locking and retention overview
• MinIO Object Lifecycle Management Part I
• MinIO Object Lifecycle Management Part II

对象 是二进制数据，例如图像、音频文件、电子表格，甚至二进制可执行代码。 “Binary Large Object” 或 “blob” 这一术语有时会与对象存储关联使用，不过 blob 的大小可以从几个字节到数 TB 不等。 像 MinIO 这样的对象存储平台提供专用工具和能力，用于通过标准的 S3 兼容 API 存储、列出和获取对象。

MinIO 对象存储使用 存储桶 组织对象。 存储桶类似于文件系统中的顶层驱动器、文件夹或目录（/mnt/data 或 C:\），每个存储桶都可以容纳任意数量的对象。

MinIO 服务器上的对象结构可能类似如下：

/ #root
/images/
   2020-01-02-MinIO-Diagram.png
   2020-01-03-MinIO-Advanced-Deployment.png
   MinIO-Logo.png
/videos/
   2020-01-04-MinIO-Interview.mp4
/articles/
   /john.doe/
      2020-01-02-MinIO-Object-Storage.md
      2020-01-02-MinIO-Object-Storage-comments.json
   /jane.doe/
      2020-01-03-MinIO-Advanced-Deployment.png
      2020-01-02-MinIO-Advanced-Deployment-comments.json
      2020-01-04-MinIO-Interview.md

按照上述示例结构，管理员会创建 /images、/videos 和 /articles 这些存储桶。 客户端应用使用对象的完整“路径”将对象写入这些存储桶，其中包括所有中间 前缀。

MinIO 使用前缀支持多级嵌套目录和对象，以支撑最动态的对象存储工作负载。 MinIO 使用 / 作为分隔符，从完整对象路径中自动推断中间前缀，例如 /articles/john.doe。 客户端和管理员都不应手动创建这些前缀。

客户端和管理员都不需要手动创建中间前缀，因为 MinIO 会根据对象名称自动推断它们。

Path 与 Virtual Host 存储桶访问

MinIO 同时支持 path-style （默认）和 virtual-host bucket lookups 。

例如，假设某个 MinIO 部署分配的完全限定域名（FQDN）为 minio.example.net：

• 使用 path-style 查找时，应用将存储桶的完整路径指定为 minio.example.net/mybucket 这类形式。
• 使用 virtual-host 查找时，应用将存储桶指定为子域名，例如 mybucket.minio.example.net/。

某些应用在针对 MinIO 执行 S3 操作时，可能要求或预期支持 virtual-host 查找。 要启用 virtual-host 存储桶查找，必须将 MINIO_DOMAIN 环境变量设置为可解析到 MinIO 部署的 FQDN。

如果配置了 MINIO_DOMAIN，则 必须 视指定 FQDN 的所有子域名为专门保留给存储桶名称使用。 任何与这些域名冲突的 MinIO 服务（例如复制目标）都可能因为冲突而表现出意外或不符合预期的行为。

例如，如果设置 MINIO_DOMAIN=minio.example.net，则 不能 将 minio.example.net 的任何子域名（即 *.minio.example.net 形式）分配给任何 MinIO 服务或目标。 这包括用于 bucket、batch 或 site replication 的主机名。

对象组织与规划

管理员通常负责控制存储桶的创建和配置。 之后，客户端应用可以使用 S3 兼容 SDK 在 MinIO 部署上创建、列出、获取并 删除 对象。 因此，客户端决定给定存储桶或前缀中的整体数据层次结构，而管理员则可以通过 策略 控制对某个操作或资源的授权或拒绝。

MinIO 对于给定部署中的存储桶、对象或前缀数量没有硬性的 阈值。 不过，MinIO 部署底层硬件和网络的相对性能，可能会对单个前缀或存储桶中可承载的对象数量形成实际限制。 具体而言，使用较慢驱动器或网络基础设施的硬件，在对象层次结构较为扁平的存储桶或前缀中通常会表现出较差的性能。 有关其他需要注意的考量、阈值或限制，请参见 阈值与限制。

对于客户端应用的工作负载模式，可将以下几点作为一般性指导：

• 使用普通或预算导向硬件的部署，应将每个前缀 10,000 个对象作为工作负载架构设计的基线目标。 然后基于真实工作负载的基准测试和监控结果，提高这一目标，直到硬件能够有意义地承载的上限。
• 使用高性能或企业级 硬件 的部署，通常可以处理每个前缀数百万甚至更多对象。

MinIO SUBNET 企业账户可将年度架构评审纳入部署和维护策略，以确保依赖 MinIO 的项目在长期内保持性能与成功运行。

若要更深入了解限制前缀内容数量的收益，请参阅 优化 S3 性能 一文。

对象版本控制

在存储桶上执行写入、列出、获取或 删除 操作时，具体的客户端行为取决于该存储桶的版本控制状态：

有关更完整的文档，请参见 存储桶版本控制。

对象标签

MinIO 支持向对象添加自定义标签。 标签是包含在对象元数据中的键值对。 标签可用于配合策略控制访问，或者通过 mc find --tags 定位对象。

MinIO 支持为单个对象最多添加 10 个自定义标签。

有关设置标签的更多信息，请参见 mc tag set。

对象保留

MinIO 对象锁定（“对象保留”）通过强制执行一次写入、多次读取（WORM）不可变性，防止 已启用版本控制的对象 被删除。 MinIO 同时支持 基于时长的对象保留 和 无限期 legal hold 保留。

针对受 WORM 锁定对象的删除操作，结果取决于具体操作类型：

• 未指定版本 ID 的删除操作会创建一个 “Delete Marker”
• 指定受锁定对象版本 ID 的删除操作会返回 WORM locking error

只有在首次创建存储桶时才能启用对象锁定。 启用存储桶锁定也会同时启用 版本控制。

根据 Cohasset Associates 的说明，MinIO 对象锁定 提供关键的数据保留合规能力，并满足 SEC17a-4(f)、FINRA 4511(C) 和 CFTC 1.31(c)-(d) 的要求。

有关更完整的文档，请参见 MinIO 对象锁定 和 对象删除。

对象生命周期管理

MinIO 对象生命周期管理允许为对象创建基于时间或日期的自动过渡或过期规则。 对于对象过渡，MinIO 会自动将对象移动到已配置的远程存储层。 对于对象过期，MinIO 会自动删除对象。

MinIO 在 启用和未启用版本控制的存储桶 上应用生命周期管理规则时，其行为与常规客户端操作一致。 可以指定处理最新对象版本、非当前对象版本或同时处理两者的过渡或生命周期规则。

MinIO 生命周期管理在行为和语法上与 AWS S3 Lifecycle Management 保持兼容。 MinIO 使用 JSON 描述生命周期管理规则。 导入在 S3 或类似兼容平台上创建的规则时，可能需要在 XML 和 JSON 之间进行转换。

有关更完整的文档，请参见 对象生命周期管理。

目标存储桶注意事项

MinIO 不 要求目标存储桶在对象管理或版本控制配置上与源存储桶保持一致。 目标存储桶 可以 拥有自己的一组对象管理规则，但前提是经过谨慎定义。

目标存储桶 不应 拥有自己的过期规则或额外分层规则。 过期规则可能导致仍被源存储桶使用的分层数据被移除。 分层到额外远端会在热层与其数据之间增加额外的网络跳数，同时也会提升运维复杂度。

远程存储桶 可以 配置对象锁定或版本控制。

在目标存储桶上启用版本控制或对象锁定可能带来如下影响：

• 目标存储桶上设置的对象锁定，可能导致源存储桶期望执行的 delete 操作无法完成。
• MinIO 对对象进行分层时会为其分配自己的 UUID，因此目标存储桶上的版本控制至多只是冗余配置。
• 目标端的存储效率降低，因为 delete 操作会创建 DeleteMarker，而不是释放空间。
• 源存储桶和目标存储桶中可能出现重复的删除标记。

对远程数据的独占访问

MinIO 必须 对目标存储桶拥有 独占 访问权。 任何其他用户、进程、应用或资源都不应访问目标存储桶，也不应对其执行任何操作。

对已过渡对象的所有访问都 必须 仅通过 MinIO 的 S3 API 操作进行。 手动修改已过渡对象，无论是热 MinIO 层上的元数据，还是远程温/冷层上的对象数据，都可能导致该对象数据丢失。

MinIO 会忽略远程存储桶或存储桶前缀中任何不由该 MinIO 部署显式管理的对象。 自动过渡和透明对象读取依赖以下假设：

• 远程存储上的对象不会被外部修改、迁移或删除。
• 远程存储桶上不存在生命周期管理规则（例如过渡或过期）。

为实现这种独占访问，应在其 策略 中向生命周期管理用户授予目标存储桶的 read、write 和 delete 访问权限。 所有其他策略都应对目标存储桶 deny 访问。

冲突对象

应用必须为所有对象分配不冲突的唯一键。 这包括避免创建名称与其父对象或同级对象发生冲突的对象。 在发生冲突的位置，MinIO 对 LIST 操作返回空结果集。

例如，以下操作会创建命名空间冲突

PUT data/invoices/2024/january/vendors.csv
PUT data/invoices/2024/january <- collides with existing object prefix

PUT data/invoices/2024/january
PUT data/invoices/2024/january/vendors.csv <- collides with existing object

虽然仍然可以对这些对象执行 GET 或 HEAD 操作，但名称冲突会导致在 /invoices/2024/january 路径上的 LIST 操作返回空结果集。

9.1 - 存储桶版本控制

• Versioning overview
• Versioning lab

概述

MinIO 支持在单个存储桶中保留对象的多个“版本”。

启用后，版本控制允许 MinIO 保留同一对象的多个迭代版本。 原本会覆盖现有对象的写入操作，将改为为该对象创建一个新版本。 MinIO 版本控制可以防止意外覆盖和删除，同时支持对写入操作执行“撤销”。 配置 对象锁定和保留规则 的前提条件之一，就是启用存储桶版本控制。

对于已启用版本控制的存储桶，写入操作会为该对象创建一个带有唯一版本 ID 的新版本。 MinIO 会将对象的“最新”版本标记为客户端默认获取的版本。 之后，客户端可以显式选择列出、获取或移除某个特定对象版本。

可以定义 对象过期 规则，按版本数量或版本日期等条件移除不再需要的对象版本。

带版本对象的读取操作

查看本组中的四张图片，了解 MinIO 如何在启用版本控制的存储桶中获取对象。 使用图片两侧的箭头可在各张图片之间切换。

单一版本对象

MinIO 会在写入操作中为每个对象添加唯一的版本 ID。

多版本对象

MinIO 会保留对象的所有版本，并将最近的版本标记为“最新”版本。

获取对象最新版本

未指定版本 ID 的读取请求会返回该对象的最新版本。

获取特定对象版本

在读取操作中指定版本 ID，即可获取对象的特定版本。

MinIO 会根据对象路径隐式推断前缀。 显式创建前缀通常只会出现在 Spark 及类似工作负载中，这类工作负载会在 S3 场景下采用传统 POSIX/HDFS 的目录创建行为。

版本控制按命名空间生效

MinIO 使用对象的完整命名空间（即存储桶和对象路径）来判断对象的唯一性。 例如，下列所有命名空间都对应“唯一”对象，对其中任一对象的变更，都会在 该命名空间下 创建新的对象版本：

databucket/object.blob
databucket/blobs/object.blob
blobbucket/object.blob
blobbucket/blobs/object.blob

尽管各个命名空间中的 object.blob 可能是相同的二进制数据， MinIO 仅在特定命名空间内实施版本控制，因此会将上面的每个 object.blob 视为彼此独立且唯一的对象。

版本控制与存储容量

MinIO 不执行增量式或差异式版本控制。 对于频繁变更的工作负载，较旧或老化的对象版本可能会占用大量磁盘空间。

例如，假设一个包含日志数据的对象大小为 1GB。应用向该日志追加 100MB 数据后重新上传到 MinIO。 此时 MinIO 会同时保存该对象的 1GB 和 1.1GB 两个版本。 如果应用连续 10 天每天都重复这一过程，那么该存储桶最终会为这一个对象累计保存超过 14GB 的数据。

MinIO 支持配置 对象生命周期管理规则，以自动过期或过渡老旧对象版本并释放存储容量。 例如，你可以配置一条规则，使对象版本在变为非当前版本（即不再是该对象的“最新”版本）90 天后自动过期。 更多信息请参见 MinIO 对象过期。

你也可以使用以下命令手动移除对象版本：

• mc rm --versions - 删除对象的所有版本。

• mc rm --versions --older-than -

  删除对象中早于指定日历日期的所有版本。

版本 ID 生成

MinIO 会在写入操作中为每个对象版本生成唯一且不可变的标识符。 每个对象版本 ID 都由一个 128 位固定长度的 UUIDv4 组成。 UUID 的生成具有足够随机性，可在任何环境中以极高概率保证唯一性，计算上也难以猜测，并且无需依赖中心化注册流程或机构来保证唯一性。

MinIO 不支持由客户端管理版本 ID 的分配。 所有版本 ID 的生成都由 MinIO 服务端进程处理。

对于在版本控制禁用或挂起期间创建的对象，MinIO 会使用 null 版本 ID。 在 S3 操作中将 null 指定为版本 ID，即可访问或移除这些对象。

版本控制下的删除操作

对带版本的对象执行 DELETE 操作时，会创建一个 0 字节的 DeleteMarker 作为该对象的最新版本。 如果对象的最新版本是 DeleteMarker，客户端必须指定版本控制相关标志或标识符，才能对该对象的先前版本执行 GET/HEAD/LIST/DELETE 操作。 在未显式指定版本的操作中，服务端默认会忽略 DeleteMarker 对象。

MinIO 可以利用 生命周期管理过期规则 自动永久移除对象的旧版本。 否则，可使用手动 DELETE 操作永久删除非当前版本对象或 DeleteMarker 对象。

若要永久删除某个对象版本，请执行 DELETE 操作并指定待删除对象的版本 ID。 这种删除操作 不可逆。

删除对象

对带版本的对象执行 DELETE 操作时，会为该对象生成一个 DeleteMarker。

读取已删除对象

客户端默认获取对象的“最新”版本。 如果最新版本是 DeleteMarker，MinIO 会返回类似 404 的响应。

获取已删除对象的先前版本

即使“最新”版本是 DeleteMarker，客户端仍可通过指定版本 ID 获取该对象的任意先前版本。

删除特定对象版本

客户端可在 DELETE 操作中指定版本 ID，以删除某个特定对象版本。 删除特定版本属于 永久 删除，不会创建 DeleteMarker。

以下 mc 命令可用于处理 DeleteMarkers 或带版本的对象：

• 使用 mc ls --versions 查看对象的所有版本，包括删除标记。
• 使用 mc cp --version-id=UUID ... 获取 UUID 匹配的“已删除”对象版本。
• 使用 mc rm --version-id=UUID ... 删除 UUID 匹配的对象版本。
• 使用 mc rm --versions 删除对象的 所有 版本。

教程

启用存储桶版本控制

你可以使用 MinIO Console、MinIO mc CLI 或兼容 S3 的 SDK 启用版本控制。

使用 mc version enable 命令为现有存储桶启用版本控制：

mc version enable ALIAS/BUCKET

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。
• 将 BUCKET 替换为要启用版本控制的 目标存储桶。

在启用版本控制之前创建的对象，其 版本 ID 为 null。

从版本控制中排除前缀

你可以使用 MinIO Client 将某些 前缀 排除在版本控制之外。 这对于 Spark/Hadoop 等起初会使用临时前缀创建对象的工作负载尤其有用。

• 使用带 --excluded-prefixes 选项的 mc version enable：

  mc version enable --excluded-prefixes "prefix1, prefix2" ALIAS/BUCKET

  • 将 ALIAS 替换为已配置 MinIO 部署的 alias。
  • 将 BUCKET 替换为要为其排除 前缀 的 存储桶 名称。

--excluded-prefixes 中的前缀列表会匹配前缀或名称中包含指定字符串的所有对象，其行为类似 prefix* 形式的正则表达式。 若仅按前缀匹配对象，请使用 prefix/*。

例如，以下命令会将前缀或名称中包含 _test 或 _temp 的对象排除在版本控制之外：

mc version enable --excluded-prefixes "_test, _temp" local/my-bucket

每个存储桶最多可排除 10 个前缀。 若要添加或移除前缀，请使用更新后的列表再次执行 mc version enable 命令。 新列表会替换先前的列表。

若要查看当前排除的前缀，请使用带 --json 选项的 mc version info：

mc version info ALIAS/BUCKET --json

命令输出类似如下，排除前缀列表位于 ExcludedPrefixes 属性中：

$ mc version info local/my-bucket --json
{
 "Op": "info",
 "status": "success",
 "url": "local/my-bucket",
 "versioning": {
  "status": "Enabled",
  "MFADelete": "",
  "ExcludedPrefixes": [
   "prefix1, prefix2"
  ]
 }
}

若要禁用前缀排除并恢复对所有前缀启用版本控制，请在不带 --excluded-prefixes 的情况下再次执行 mc version enable：

mc version enable ALIAS/BUCKET

从版本控制中排除文件夹

你可以使用 MinIO Client 将文件夹排除在版本控制之外。

• 使用带 --exclude-folders 选项的 mc version enable，将名称以 / 结尾的对象排除在版本控制之外：

  mc version enable --exclude-folders ALIAS/BUCKET

  • 将 ALIAS 替换为已配置 MinIO 部署的 alias。
  • 将 BUCKET 替换为要为其排除 文件夹 的 存储桶。

若要检查某个存储桶中的文件夹是否启用版本控制，请使用带 --json 选项的 mc version enable 命令。 如果 ExcludeFolders 属性为 true，则该存储桶中的文件夹不启用版本控制。

mc version enable --excluded-prefixes ALIAS/BUCKET --json

命令输出类似如下：

$ mc version info local/my-bucket --json
{
 "Op": "info",
 "status": "success",
 "url": "local/my-bucket",
 "versioning": {
  "status": "Enabled",
  "MFADelete": "",
  "ExcludeFolders": true
 }
}

若要禁用文件夹排除并恢复对所有文件夹启用版本控制，请在不带 --exclude-folders 的情况下再次执行 mc version enable：

mc version enable ALIAS/BUCKET

挂起存储桶版本控制

你可以随时使用 MinIO mc CLI 或兼容 S3 的 SDK 挂起存储桶版本控制。

使用 mc version suspend 命令挂起现有存储桶的版本控制：

mc version suspend ALIAS/BUCKET

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。
• 将 BUCKET 替换为要禁用版本控制的 目标存储桶。

在版本控制挂起期间创建的对象会被分配一个 null 版本 ID。 在版本控制挂起期间，对对象的任何变更都会覆盖该 null 版本对象。 MinIO 在挂起版本控制时不会删除或以其他方式更改已有的对象版本。 客户端仍可继续与存储桶中已有的各个对象版本进行交互。

9.2 - 将对象迁移到远程 MinIO 部署

本页中的操作步骤用于创建新的对象生命周期管理规则，将对象从主 MinIO 部署上的某个存储桶迁移到远程 MinIO 部署上的某个存储桶。 该流程支持成本管理策略，例如将对象从使用 NVMe 存储的“热” MinIO 部署分层到使用 SSD 的“温” MinIO 部署。

前提条件

安装并配置 mc

此过程使用 mc 对 MinIO 集群执行操作。 请在一台同时具备源集群和目标集群网络访问能力的机器上安装 mc。 有关下载和安装 mc 的说明，请参见 mc 安装快速开始。

使用 mc alias set 命令为源 MinIO 集群创建别名。 创建别名时，需要为源集群和目标集群上的用户指定 access key。 所指定的用户必须具备配置和应用迁移操作所需的 权限。

所需的源 MinIO 权限

MinIO 要求对要为其创建生命周期管理规则的存储桶授予以下权限。

• s3:PutLifecycleConfiguration
• s3:GetLifecycleConfiguration

对于要在其中为对象迁移生命周期管理规则创建远程层的集群，MinIO 还要求具备以下管理权限：

• admin:SetTier
• admin:ListTier

例如，以下策略授予在该集群任意存储桶上配置对象迁移生命周期管理规则的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "admin:SetTier",
               "admin:ListTier"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteTierManagement"
      },
      {
            "Action": [
               "s3:PutLifecycleConfiguration",
               "s3:GetLifecycleConfiguration"
            ],
            "Resource": [
                        "arn:aws:s3:::*"
            ],
            "Effect": "Allow",
            "Sid": "EnableLifecycleManagementRules"
      }
   ]
}

所需的远程 MinIO 权限

对象迁移生命周期管理规则要求在远程存储层上具备额外权限。 具体而言，MinIO 要求远程层凭据对远程存储桶具备读取、写入、列出和删除权限。

例如，远程 MinIO 部署上的以下策略提供了将对象迁入和迁出远程层所需的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
               "arn:aws:s3:::MyDestinationBucket"
            ],
            "Sid": ""
      },
      {
            "Action": [
               "s3:GetObject",
               "s3:PutObject",
               "s3:DeleteObject"
            ],
            "Effect": "Allow",
            "Resource": [
               "arn:aws:s3:::MyDestinationBucket/*"
            ],
            "Sid": ""
      }
   ]
}

请修改 Resource，使其指向 MinIO 要迁移对象进入的存储桶。

有关配置所需权限的更完整指导，请参见 访问管理 文档。

远程存储桶必须已存在

必须先创建远程存储桶，然后才能配置以该存储桶为目标的生命周期管理层或规则。

如果远程存储桶中包含现有数据，请使用 prefix 功能，将已迁移对象与该存储桶中的其他对象隔离开来。

注意事项

生命周期管理对象扫描器

MinIO 使用 扫描器进程 根据所有已配置的生命周期管理规则检查对象。 高 IO 负载或系统资源受限导致的扫描变慢，可能会延迟生命周期管理规则的生效。

对远程数据的独占访问

MinIO 要求对远程存储层上的已转移数据拥有独占访问权限。 “hot” MinIO 源端上的对象元数据与远程 “warm/cold” 层上的对象数据紧密关联。 如果无法访问远程层，MinIO 就无法检索对象数据； 同样，远程层也不能用于恢复源端丢失的元数据。

对已转移对象的所有访问都必须仅通过 MinIO 发起的 S3 API 操作完成。 手动修改已转移对象时，无论修改的是 “hot” MinIO 层上的元数据， 还是远程 “warm/cold” 层上的对象数据，都可能导致该对象的数据丢失。

对于远程存储桶或存储桶前缀中不受该 MinIO 部署明确管理的任何对象， MinIO 都会将其忽略。 自动转移与透明对象检索依赖以下前提：

• 不会在远程存储上由外部修改、迁移或删除对象。
• 远程存储桶上不存在生命周期管理规则 （例如转移或过期）。

MinIO 会将所有已转移对象存储在远程存储桶或资源下、 每个部署唯一的前缀值之中。 该值并非用于在后端识别源部署。 在配置远程目标时，MinIO 还支持附加一个可选的人类可读前缀， 这可能有助于诊断、维护或灾难恢复相关操作。

对于包含其他数据的远程存储层， 包括来自其他 MinIO 部署的已转移对象， MinIO 建议指定此可选前缀。 本教程包含设置此前缀所需的语法。

远程数据的可用性

MinIO 分层行为依赖远程存储在收到请求后立即返回对象 （毫秒到秒级）。 因此，MinIO 不支持需要 rehydration、等待窗口 或人工干预的远程存储。

MinIO 会为每个已转移对象创建元数据，用于标识其在远程存储中的位置。 应用程序无法脱离 MinIO 直接识别和访问已转移对象。 因此，已转移数据的可用性仍依赖于 纠删码 和分布式部署拓扑 为 MinIO 部署中所有对象提供的核心保护能力。 使用对象转移不会带来任何额外的业务连续性或灾难恢复收益。

需要 BC/DR 保护的工作负载应实现 MinIO Server-Side replication。 复制可确保对象保存在远程复制站点上， 从而使用户能够在发生部分或全部数据丢失时从远端重新同步。 有关如何使用复制在部分或全部数据丢失后恢复的更完整文档， 请参见 重新同步（灾难恢复）。

过程

1) 配置生命周期管理的用户账户和策略

此步骤会在 MinIO 部署上创建用于支持生命周期管理操作的用户和策略。 如果该部署已经存在具备所需 permissions 的用户，则可以跳过此步骤。

以下示例使用 Alpha 作为 MinIO 部署 alias 的占位符。 请将其替换为配置生命周期管理规则时所使用的 MinIO 部署别名。 同时，请按照所在组织的密码生成最佳实践， 将密码 LongRandomSecretKey 替换为足够长、随机且安全的密钥。

wget -O - https://silo.pgsty.com/extra/examples/LifecycleManagementAdmin.json | \
mc admin policy create Alpha LifecycleAdminPolicy /dev/stdin
mc admin user add Alpha alphaLifecycleAdmin LongRandomSecretKey
mc admin policy attach Alpha LifecycleAdminPolicy --user=alphaLifecycleAdmin

此示例假定所指定的 alias 具有在该部署上创建策略和用户所需的权限。 有关 MinIO 用户和策略的更完整文档， 请分别参见 用户管理 和 MinIO Policy Based Access Control。

2) 配置远程存储层

使用 mc ilm tier add 命令将远程 MinIO 部署添加为新的远程存储层：

mc ilm tier add minio TARGET TIER_NAME  \
   --endpoint https://HOSTNAME       \
   --access-key ACCESS_KEY           \
   --secret-key SECRET_KEY           \
   --bucket BUCKET                   \
   --prefix PREFIX                   \
   --storage-class STORAGE_CLASS     \
   --region REGION

上面的示例使用了以下参数：

3) 创建并应用迁移规则

使用 mc ilm rule add 命令为存储桶创建新的转移规则。 以下示例将对象配置为在指定的日历天数后执行转移：

mc ilm rule add ALIAS/BUCKET \
--transition-tier TIERNAME \
--transition-days DAYS \
--noncurrent-transition-days NONCURRENT_DAYS
--noncurrent-transition-tier TIERNAME

上述示例指定了以下参数：

4) 验证迁移规则

使用 mc ilm rule ls 命令检查已配置的迁移规则：

mc ilm rule ls ALIAS/PATH --transition

• 将 ALIAS 替换为 MinIO 部署的 别名。
• 将 PATH 替换为要获取其生命周期管理规则的存储桶名称。

9.3 - Silo 对象锁定

• Object locking and retention overview
• Object locking and retention lab

概述

MinIO 对象锁定（“对象保留”）通过强制执行一次写入、多次读取（WORM）不可变性，防止 已启用版本控制的对象 被删除。MinIO 同时支持 基于时长的对象保留 和 无限期 legal hold 保留。

根据 Cohasset Associates 的说明，MinIO 对象锁定 提供关键的数据保留合规能力，并满足 SEC17a-4(f)、FINRA 4511(C) 和 CFTC 1.31(c)-(d) 的要求。

未启用锁定的存储桶

MinIO 版本控制会保留对象变更的完整历史。 但应用仍可显式删除特定对象版本。

启用锁定的存储桶

对存储桶中的对象应用默认 30 天的 WORM 锁，可确保所有对象版本在最短保留期内受到保护。

锁定存储桶中的删除操作

删除操作 在 已启用版本控制的存储桶 中遵循常规行为，即 MinIO 会为对象创建 DeleteMarker。不过，对象中非 Delete Marker 的版本仍受保留规则约束，可防止任何针对特定版本的删除或覆盖尝试。

锁定存储桶中的版本删除操作

对于受 WORM 锁定保护的特定对象版本，MinIO 会阻止任何 删除 尝试。客户端最早只能在锁过期后删除该版本。

MinIO 对象锁定在功能和 API 层面与 AWS S3 兼容。 本页概述了 MinIO 中对象锁定/保留的实现概念。更多信息请参见 AWS S3 文档 How S3 Object Lock works。

按照 S3 的行为， 只能在创建存储桶时启用对象锁定。对于创建时未启用锁定的存储桶，之后无法再启用对象锁定。启用后，你可以在任意时刻配置对象保留规则。对象锁定依赖 版本控制，并会隐式启用该特性。

与版本控制的交互

受 WORM 锁定保护的对象在锁过期或被显式解除之前均不可变更。锁定以对象版本为粒度，每个版本都独立保持不可变。

如果应用对受锁定对象执行未指定版本的删除操作，该操作会生成一个 Delete Marker。 任何显式删除受 WORM 锁定对象的尝试都会报错失败。Delete Marker 不 受 WORM 锁定保护。 更多信息请参见 S3 文档 Managing delete markers and object lifecycles。

例如，考虑以下默认启用了 GOVERNANCE 模式 锁定的存储桶：

$ mc ls --versions play/locking-guide

  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

由于对象锁定设置，对 data.csv 的 特定版本 执行删除会失败：

$ mc rm --version-id 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 play/data.csv

  Removing `play/locking-guide/data.csv` (versionId=62429eb1-9cb7-4dc5-b507-9cc23d0cc691).
  mc: <ERROR> Failed to remove `play/locking-guide/data.csv`.
      Object, 'data.csv (Version ID=62429eb1-9cb7-4dc5-b507-9cc23d0cc691)' is
      WORM protected and cannot be overwritten

对 data.csv 执行未指定版本的删除会成功，并为对象创建一个新的 DeleteMarker：

$ mc rm play/locking-guide/data.csv

  [DATETIME]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

与生命周期管理的交互

对于受过期规则覆盖的对象，MinIO 对象过期 会遵循所有生效中的对象锁定和保留设置。

• 对于仅作用于 当前 对象版本的过期规则， MinIO 会为受锁定对象创建一个 Delete Marker。
• 对于作用于 非当前对象版本 的过期规则， MinIO 只能在保留期结束 之后，或保留已被显式解除时（例如 legal hold）对非当前版本执行过期。

例如，考虑以下默认启用了 GOVERNANCE 模式 且保留期为 45 天的存储桶：

$ mc ls --versions play/locking-guide

  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

为超过 7 天的 当前 对象创建过期规则时，会为该对象生成一个 Delete Marker：

$ mc ls --versions play/locking-guide

  [0D]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

不过，对于超过 7 天的 非当前 对象，过期规则只有在已配置的 WORM 锁过期 之后 才会生效。由于该存储桶设置了 45 天的 GOVERNANCE 保留，因此只有 data.csv 的 v1 版本已解锁，因而可被删除。

教程

创建启用对象锁定的存储桶

按照 S3 的行为，必须在创建存储桶时启用对象锁定。 你可以使用 MinIO mc CLI 或 S3 兼容 SDK 创建启用了对象锁定的存储桶。

使用带有 --with-lock 选项的 mc mb 命令创建启用了对象锁定的存储桶：

mc mb --with-lock ALIAS/BUCKET

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。
• 将 BUCKET 替换为要创建的存储桶 名称。

配置存储桶默认对象保留

你可以使用 MinIO mc CLI 或 S3 兼容 SDK 配置对象锁定规则（“对象保留”）。

MinIO 同时支持设置存储桶默认保留规则和按对象设置保留规则。 以下示例演示的是存储桶默认保留。对于按对象设置保留，请参见所选 SDK 中相应 PUT 操作的文档。

使用带有 --recursive 和 --default 选项的 mc retention set 命令，为存储桶设置默认保留模式：

mc retention set --recursive --default MODE DURATION ALIAS/BUCKET

• 将 MODE 替换为 COMPLIANCE 或 GOVERNANCE。
• 将 DURATION 替换为对象锁定持续生效的时长。
• 将 ALIAS 替换为已配置 MinIO 部署的 alias。
• 将 BUCKET 替换为要设置默认保留规则的存储桶名称。

启用 Legal Hold 保留

你可以使用 MinIO mc CLI 或 S3 兼容 SDK，为对象启用或禁用无限期 legal hold 保留。

你可以对已经处于 COMPLIANCE 或 GOVERNANCE 锁定下的对象设置 legal hold。 即使保留锁过期，对象在 legal hold 生效期间仍会保持 WORM 锁定。 你或其他拥有必要权限的用户必须显式解除 legal hold，才能移除 WORM 锁。

使用 mc legalhold set 命令切换对象的 legal hold 状态。

mc legalhold set ALIAS/PATH

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。
• 将 PATH 替换为要启用 legal hold 的对象路径。

对象保留模式

MinIO 实现了以下 S3 对象锁定模式：

GOVERNANCE 模式

处于 GOVERNANCE 锁定下的对象可防止非特权用户执行写操作。

GOVERNANCE 锁定对象提供受管控的不可变性。拥有 s3:BypassGovernanceRetention 操作权限的用户可以修改被锁定对象、调整保留时长，或完全解除该锁。绕过 GOVERNANCE 保留还要求在请求中设置 x-amz-bypass-governance-retention:true header。

MinIO 的 GOVERNANCE 锁在功能上与 S3 GOVERNANCE 模式 完全一致。

COMPLIANCE 模式

处于 COMPLIANCE 锁定下的对象可防止 所有 用户执行写操作，包括 MinIO root 用户。

COMPLIANCE 锁定对象提供完全不可变性。 在配置的保留时长结束之前，无法更改或移除该锁。

MinIO 的 COMPLIANCE 锁在功能上与 S3 COMPLIANCE 模式 完全一致。

Legal Hold

处于 legal hold 状态下的对象可防止 所有 用户执行写操作，包括 MinIO root 用户。

legal hold 为无限期，并对锁定对象强制执行完全不可变性。 只有拥有 s3:PutObjectLegalHold 权限的特权用户才能设置或解除 legal hold。

legal hold 在对象级别生效。 如果你为一组对象启用 legal hold，例如某个存储桶中的现有内容，则该存储桶后续新创建的对象不会受到影响。

legal hold 与 GOVERNANCE 模式 和 COMPLIANCE 模式 保留设置是互补关系。 同时受 legal hold 和 GOVERNANCE/COMPLIANCE 保留规则保护的对象，会持续保持 WORM 锁定，直到 legal hold 被解除 且 规则到期。

对于 GOVERNANCE 锁定对象，即使用户拥有绕过保留的必要权限，legal hold 仍会阻止其修改该对象。

9.4 - 将对象从 MinIO 迁移到 S3

本页中的步骤将创建一条新的对象生命周期管理规则，用于将对象从 MinIO 存储桶迁移到 Amazon Web Services S3 存储后端或兼容 S3 的服务上的远程存储层。该过程适用于这类场景：在经过一定时间周期或达到某个日历日期后，将对象分层到低成本存储或归档存储。

要求

安装并配置 mc

此过程使用 mc 在 MinIO 集群上执行操作。 请在一台能够同时访问源集群和目标集群网络的机器上安装 mc。 有关下载和安装 mc 的说明，请参见 mc 快速安装。

使用 mc alias set 命令为源 MinIO 集群创建别名。 创建别名时，需要为源集群和目标集群上的用户指定 access key。 指定的用户必须具备配置和应用迁移操作所需的 权限。

所需的 MinIO 权限

MinIO 要求为要创建生命周期管理规则的一个或多个存储桶授予以下权限。

• s3:PutLifecycleConfiguration
• s3:GetLifecycleConfiguration

MinIO 还要求在为对象迁移生命周期管理规则创建远程层的集群上具备以下管理权限：

• admin:SetTier
• admin:ListTier

例如，以下策略授予在集群中任意存储桶上配置对象迁移生命周期管理规则的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "admin:SetTier",
               "admin:ListTier"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteTierManagement"
      },
      {
            "Action": [
               "s3:PutLifecycleConfiguration",
               "s3:GetLifecycleConfiguration"
            ],
            "Resource": [
                        "arn:aws:s3:::*"
            ],
            "Effect": "Allow",
            "Sid": "EnableLifecycleManagementRules"
      }
   ]
}

所需的 S3 权限

对象迁移生命周期管理规则还要求远程存储层具备额外权限。 具体来说，MinIO 要求远程层凭证对远程存储桶具备读取、写入、列出和删除权限。

例如，以下策略提供了将对象迁入和迁出远程层所需的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
               "arn:aws:s3:::MyDestinationBucket"
            ],
            "Sid": ""
      },
      {
            "Action": [
               "s3:GetObject",
               "s3:PutObject",
               "s3:DeleteObject"
            ],
            "Effect": "Allow",
            "Resource": [
               "arn:aws:s3:::MyDestinationBucket/*"
            ],
            "Sid": ""
      }
   ]
}

请根据 MinIO 分层对象所使用的存储桶修改 Resource。

有关如何配置所需权限的更完整说明，请参见 Amazon S3 Permissions 文档。

远程存储桶必须已存在

在配置以该存储桶为目标的生命周期管理层或规则之前，先创建远程 S3 存储桶。

注意事项

生命周期管理对象扫描器

MinIO 使用 scanner process 根据所有已配置的生命周期管理规则检查对象。 如果由于高 IO 工作负载或系统资源有限导致扫描速度较慢，可能会延迟生命周期管理规则的应用。 更多信息请参见 生命周期管理对象扫描器。

对远程数据的独占访问

MinIO 要求对远程存储层上的已转移数据拥有独占访问权限。 “hot” MinIO 源端上的对象元数据与远程 “warm/cold” 层上的对象数据紧密关联。 如果无法访问远程层，MinIO 就无法检索对象数据； 同样，远程层也不能用于恢复源端丢失的元数据。

对已转移对象的所有访问都必须仅通过 MinIO 发起的 S3 API 操作完成。 手动修改已转移对象时，无论修改的是 “hot” MinIO 层上的元数据， 还是远程 “warm/cold” 层上的对象数据，都可能导致该对象的数据丢失。

对于远程存储桶或存储桶前缀中不受该 MinIO 部署明确管理的任何对象， MinIO 都会将其忽略。 自动转移与透明对象检索依赖以下前提：

• 不会在远程存储上由外部修改、迁移或删除对象。
• 远程存储桶上不存在生命周期管理规则 （例如转移或过期）。

MinIO 会将所有已转移对象存储在远程存储桶或资源下、 每个部署唯一的前缀值之中。 该值并非用于在后端识别源部署。 在配置远程目标时，MinIO 还支持附加一个可选的人类可读前缀， 这可能有助于诊断、维护或灾难恢复相关操作。

对于包含其他数据的远程存储层， 包括来自其他 MinIO 部署的已转移对象， MinIO 建议指定此可选前缀。 本教程包含设置此前缀所需的语法。

远程数据的可用性

MinIO 分层行为依赖远程存储在收到请求后立即返回对象 （毫秒到秒级）。 因此，MinIO 不支持需要 rehydration、等待窗口 或人工干预的远程存储。

MinIO 会为每个已转移对象创建元数据，用于标识其在远程存储中的位置。 应用程序无法脱离 MinIO 直接识别和访问已转移对象。 因此，已转移数据的可用性仍依赖于 纠删码 和分布式部署拓扑 为 MinIO 部署中所有对象提供的核心保护能力。 使用对象转移不会带来任何额外的业务连续性或灾难恢复收益。

需要 BC/DR 保护的工作负载应实现 MinIO Server-Side replication。 复制可确保对象保存在远程复制站点上， 从而使用户能够在发生部分或全部数据丢失时从远端重新同步。 有关如何使用复制在部分或全部数据丢失后恢复的更完整文档， 请参见 重新同步（灾难恢复）。

步骤

1) 配置生命周期管理的用户账户和策略

此步骤会在 MinIO 部署上创建用于支持生命周期管理操作的用户和策略。 如果该部署已经存在具备所需 权限 的用户，则可以跳过此步骤。

以下示例使用 Alpha 作为 MinIO 部署 alias 的占位符。 请将其替换为配置生命周期管理规则时所使用的 MinIO 部署别名。 同时，请按照所在组织的密码生成最佳实践， 将密码 LongRandomSecretKey 替换为足够长、随机且安全的密钥。

wget -O - https://silo.pgsty.com/extra/examples/LifecycleManagementAdmin.json | \
mc admin policy create Alpha LifecycleAdminPolicy /dev/stdin
mc admin user add Alpha alphaLifecycleAdmin LongRandomSecretKey
mc admin policy attach Alpha LifecycleAdminPolicy --user=alphaLifecycleAdmin

此示例假定所指定的 alias 具有在该部署上创建策略和用户所需的权限。 有关 MinIO 用户和策略的更完整文档， 请分别参见 用户管理 和 MinIO Policy Based Access Control。

2) 配置远程存储层

使用 mc ilm tier add 命令将 Amazon S3 服务添加为新的远程存储层：

mc ilm tier add s3 TARGET TIER_NAME  \
   --endpoint https://HOSTNAME       \
   --access-key ACCESS_KEY           \
   --secret-key SECRET_KEY           \
   --bucket BUCKET                   \
   --prefix PREFIX                   \
   --storage-class STORAGE_CLASS     \
   --region REGION

上面的示例使用了以下参数：

3) 创建并应用迁移规则

使用 mc ilm rule add 命令为存储桶创建新的转移规则。 以下示例将对象配置为在指定的日历天数后执行转移：

mc ilm rule add ALIAS/BUCKET \
--transition-tier TIERNAME \
--transition-days DAYS \
--noncurrent-transition-days NONCURRENT_DAYS
--noncurrent-transition-tier TIERNAME

上述示例指定了以下参数：

4) 验证迁移规则

使用 mc ilm rule ls 命令查看已配置的迁移规则：

mc ilm rule ls ALIAS/PATH --transition

• 将 ALIAS 替换为 MinIO 部署的 alias。
• 将 PATH 替换为要获取其已配置生命周期管理规则的存储桶名称。

9.5 - 对象删除

概述

本页概述 DELETE 操作会如何影响对象，具体取决于包含该对象的存储桶配置。

以下因素的任意组合都可能影响 DELETE 操作的行为：

• 存储桶版本控制
• 对象锁定规则
• 对象生命周期管理规则
• 对象分层
• 站点 或 存储桶 复制
• 扫描器

权限

MinIO 使用 基于策略的访问控制 系统进行访问管理。 用户或服务账户必须提供正确的策略操作和条件，才能对该存储桶和对象执行 DELETE。

未启用版本控制的对象

如果对未启用版本控制的存储桶中的对象执行 DELETE 操作，其行为比较直接。 在确认用户或服务账户具有执行 DELETE 操作的权限后，MinIO 会永久删除该对象。

请求删除操作的用户或服务账户必须对该存储桶和对象具有 s3:DeleteObject 操作权限。

已启用版本控制的对象

启用版本控制后，DELETE 操作的行为会有所不同。

用户或服务账户必须对该存储桶和对象具有 s3:DeleteObjectVersion 操作权限。

删除当前版本

如果对已启用版本控制的对象执行 DELETE 操作，但未指定版本 UUID，则会创建一个 DeleteMarker，并将其置为该对象的 head。

在这种情况下，MinIO 实际上不会从磁盘中删除该对象或其任何版本。 该对象的所有现有版本仍可通过指定对应版本的 UUID 进行访问。 当 DeleteMarker 成为该对象的 head 时，MinIO 不会为未指定版本 ID 的 GET 请求返回该对象。 相反，MinIO 会返回类似 404 的响应。

可以使用 mc ls --versions 查找对象版本的 UUID。

如需从驱动器中删除对象的当前版本，请先找到该版本的 UUID，然后使用 mc rm --version-id=UUID ... 删除当前版本。 在这种情况下，该对象紧邻的前一个版本将成为当前版本，并用于响应未指定 UUID 的该对象 GET 请求。

删除先前版本

如需删除对象的先前版本，请指定该版本的 UUID。 可以使用 mc ls --versions 获取版本 UUID。 当 DELETE 请求指定 version-id，且用户具有删除该对象版本的正确权限时，MinIO 会从驱动器中永久删除指定版本。

删除所有版本

使用 mc rm --versions 删除对象的 所有 版本。 此操作不可逆。

生命周期管理过期

可以定义一个或多个 生命周期管理过期规则，使对象在达到指定的版本数量或经过指定时间后过期。 当版本数量超过规则指定值，或某个版本的时间早于指定阈值时，MinIO 会从驱动器中永久删除该对象版本。

这些规则依赖 扫描器 在存储桶上处理规则。 扫描器以较低优先级持续运行，系统会优先处理 READ 和 WRITE 操作。 因此，满足过期条件的对象版本可能不会立即从 MinIO 中移除。

有关扫描器工作方式和配置选项的更多信息，请参阅 扫描器 页面。

DeleteMarkers 本身也是对象。 生命周期规则可以删除作为对象唯一剩余版本的 DeleteMarkers。

使用 JSON 时，生命周期规则可以在指定天数后删除已删除对象的所有版本。

受保留规则保护的对象

MinIO 会保护受 锁定规则 约束的对象，防止其被覆盖或删除。 这些规则要求对象在规则过期或被移除之前必须予以保留。

对已锁定对象执行未指定版本的 DELETE 操作，会为该对象创建一个 DeleteMarker。 但对象各版本本身仍会按锁定要求予以保留。

指定对象版本的 DELETE 操作受保留规则约束。 对于受锁定保护的对象版本，MinIO 会在锁定过期或被移除之前防止其被覆盖或删除。

已复制对象

复制会将对象从一个位置复制到另一个位置。 MinIO 支持存储桶级别或集群（“site”）级别的复制。

删除操作是否会被复制，取决于复制类型以及复制配置方式。

站点复制

对于启用了 多站点复制 的集群，MinIO 会将任一集群上执行的所有 delete 操作复制到对等组中的其他每个集群。

任一单个对等节点上的删除行为，都遵循普通 MinIO 部署相同的处理流程。

存储桶复制

通过 存储桶复制，MinIO 支持在源存储桶与配置好的远程存储桶之间复制删除操作。 MinIO 会同步删除特定对象版本以及新的 delete markers。 删除操作复制使用与其他所有复制操作相同的 复制流程。

MinIO 要求 显式启用 带版本删除和 delete marker 复制。 使用 mc replicate add --replicate 字段指定 delete、delete-marker 或两者，以分别启用带版本删除和 delete marker 复制。 如需同时启用两者，请使用逗号分隔这两个字符串：delete,delete-marker。

对于 delete marker 复制，MinIO 会在删除操作创建 delete marker 后启动复制流程。 MinIO 使用 X-Minio-Replication-DeleteMarker-Status 元数据字段跟踪 delete marker 的复制状态。 在 active-active 复制配置中，如果两个集群并发为某个对象创建 delete marker，或者在复制事件同步前一个或两个集群处于宕机状态，MinIO 可能会产生重复的 delete marker。

对于复制特定对象版本的删除，MinIO 会将该对象版本标记为 PENDING，直到复制完成。 一旦远程目标删除了该对象版本，MinIO 就会删除源端的该对象版本。 虽然此过程可确保版本删除近似同步，但它也可能导致在初始删除操作之后，列表操作仍返回该对象版本。 MinIO 使用 X-Minio-Replication-Delete-Status 跟踪删除版本的复制状态。

MinIO 只复制由客户端显式触发的删除操作。 MinIO 不会 复制由 生命周期管理过期规则 删除的对象。 对于 active-active 配置，应在 所有 复制存储桶上设置相同的过期规则，以确保对象过期行为一致。

9.6 - 将对象从 MinIO 迁移到 GCS

本页中的过程会创建一条新的对象生命周期管理规则，将对象从 MinIO 存储桶迁移到 Google Cloud Storage 后端上的远程存储层。该过程适用于这类场景：在达到特定时间周期或日历日期后， 将陈旧数据迁移到低成本的公有云存储方案。

要求

安装并配置 mc

该过程使用 mc 在 MinIO 集群上执行操作。 请在一台可同时通过网络访问源集群和目标集群的机器上安装 mc。 有关下载和安装 mc 的说明，请参见 mc Installation Quickstart。

使用 mc alias set 命令为源 MinIO 集群创建别名。 创建别名时，需要为源集群和目标集群上的用户指定访问密钥。 指定的用户必须具备用于配置和应用迁移操作的 权限。

所需的 MinIO 权限

MinIO 要求在您为其创建生命周期管理规则的一个或多个存储桶范围内，具备以下权限。

• s3:PutLifecycleConfiguration
• s3:GetLifecycleConfiguration

此外，在为对象迁移生命周期管理规则创建远程层的集群上，MinIO 还要求具备以下管理权限：

• admin:SetTier
• admin:ListTier

例如，以下策略授予在集群中任意存储桶上配置对象迁移生命周期管理规则的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "admin:SetTier",
               "admin:ListTier"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteTierManagement"
      },
      {
            "Action": [
               "s3:PutLifecycleConfiguration",
               "s3:GetLifecycleConfiguration"
            ],
            "Resource": [
                        "arn:aws:s3:::*"
            ],
            "Effect": "Allow",
            "Sid": "EnableLifecycleManagementRules"
      }
   ]
}

所需的 GCS 权限

对象迁移生命周期管理规则要求在远程存储层上具备额外权限。 具体来说，MinIO 要求 GCS 凭证对远程存储桶具备读取、写入、列出和删除权限。

有关配置所需权限的更完整说明，请参见 GCS IAM permissions 文档。

远程存储桶必须已存在

在配置以该存储桶为目标的生命周期管理层或规则之前，请先创建远程 GCS 存储桶。

如果您设置了默认的 GCS storage class，那么在定义远程层时，如果未指定 storage class，MinIO 就会使用该默认值。 请确保记录您的 GCS 存储桶设置以及 MinIO 分层配置，以避免潜在的混淆、错误配置或其他意外结果。

注意事项

生命周期管理对象扫描器

MinIO 使用 scanner process 根据所有已配置的生命周期管理规则检查对象。 高 IO 工作负载或有限的系统资源导致的扫描缓慢，可能会延迟生命周期管理规则的应用。 更多信息请参见 生命周期管理对象扫描器。

对远程数据的独占访问

MinIO 要求对远程存储层上的已转移数据拥有独占访问权限。 “hot” MinIO 源端上的对象元数据与远程 “warm/cold” 层上的对象数据紧密关联。 如果无法访问远程层，MinIO 就无法检索对象数据； 同样，远程层也不能用于恢复源端丢失的元数据。

对已转移对象的所有访问都必须仅通过 MinIO 发起的 S3 API 操作完成。 手动修改已转移对象时，无论修改的是 “hot” MinIO 层上的元数据， 还是远程 “warm/cold” 层上的对象数据，都可能导致该对象的数据丢失。

对于远程存储桶或存储桶前缀中不受该 MinIO 部署明确管理的任何对象， MinIO 都会将其忽略。 自动转移与透明对象检索依赖以下前提：

• 不会在远程存储上由外部修改、迁移或删除对象。
• 远程存储桶上不存在生命周期管理规则 （例如转移或过期）。

MinIO 会将所有已转移对象存储在远程存储桶或资源下、 每个部署唯一的前缀值之中。 该值并非用于在后端识别源部署。 在配置远程目标时，MinIO 还支持附加一个可选的人类可读前缀， 这可能有助于诊断、维护或灾难恢复相关操作。

对于包含其他数据的远程存储层， 包括来自其他 MinIO 部署的已转移对象， MinIO 建议指定此可选前缀。 本教程包含设置此前缀所需的语法。

远程数据的可用性

MinIO 分层行为依赖远程存储在收到请求后立即返回对象 （毫秒到秒级）。 因此，MinIO 不支持需要 rehydration、等待窗口 或人工干预的远程存储。

MinIO 会为每个已转移对象创建元数据，用于标识其在远程存储中的位置。 应用程序无法脱离 MinIO 直接识别和访问已转移对象。 因此，已转移数据的可用性仍依赖于 纠删码 和分布式部署拓扑 为 MinIO 部署中所有对象提供的核心保护能力。 使用对象转移不会带来任何额外的业务连续性或灾难恢复收益。

需要 BC/DR 保护的工作负载应实现 MinIO Server-Side replication。 复制可确保对象保存在远程复制站点上， 从而使用户能够在发生部分或全部数据丢失时从远端重新同步。 有关如何使用复制在部分或全部数据丢失后恢复的更完整文档， 请参见 重新同步（灾难恢复）。

过程

1) 配置生命周期管理的用户账户和策略

此步骤会在 MinIO 部署上创建用于支持生命周期管理操作的用户和策略。 如果该部署已经存在具备所需 permissions 的用户，则可以跳过此步骤。

以下示例使用 Alpha 作为 MinIO 部署 alias 的占位符。 请将其替换为配置生命周期管理规则时所使用的 MinIO 部署别名。 同时，请按照所在组织的密码生成最佳实践， 将密码 LongRandomSecretKey 替换为足够长、随机且安全的密钥。

wget -O - https://silo.pgsty.com/extra/examples/LifecycleManagementAdmin.json | \
mc admin policy create Alpha LifecycleAdminPolicy /dev/stdin
mc admin user add Alpha alphaLifecycleAdmin LongRandomSecretKey
mc admin policy attach Alpha LifecycleAdminPolicy --user=alphaLifecycleAdmin

此示例假定所指定的 alias 具有在该部署上创建策略和用户所需的权限。 有关 MinIO 用户和策略的更完整文档， 请分别参见 用户管理 和 MinIO Policy Based Access Control。

2) 配置远程存储层

使用 mc ilm tier add 命令将新的 Google Cloud Storage 服务添加为远程存储层：

mc ilm tier add gcs TARGET TIER_NAME \
   --bucket BUCKET \
   --prefix PREFIX \
   --credentials-file CREDENTIALS \
   --storage-class STORAGE_CLASS

上述示例使用了以下参数：

3) 创建并应用迁移规则

使用 mc ilm rule add 命令为存储桶创建新的转移规则。 以下示例将对象配置为在指定的日历天数后执行转移：

mc ilm rule add ALIAS/BUCKET \
--transition-tier TIERNAME \
--transition-days DAYS \
--noncurrent-transition-days NONCURRENT_DAYS
--noncurrent-transition-tier TIERNAME

上述示例指定了以下参数：

4) 验证迁移规则

使用 mc ilm rule ls 命令查看已配置的迁移规则：

mc ilm rule ls ALIAS/PATH --transition

• 将 ALIAS 替换为 MinIO 部署的 alias。
• 将 PATH 替换为要获取其已配置生命周期管理规则的存储桶名称。

9.7 - 对象生命周期管理

• MinIO Object Lifecycle Management Part I
• MinIO Object Lifecycle Management Part II
• MinIO Object Lifecycle Management Lab

使用 MinIO 对象生命周期管理，可以创建基于时间或日期的规则，自动迁移或过期对象。 对于对象迁移，MinIO 会自动将对象移动到已配置的远程存储层。 对于对象过期，MinIO 会自动删除该对象。

为了兼容将工作负载和生命周期规则从 S3 迁移到 MinIO 的场景，MinIO 的行为和语法遵循 S3 lifecycle。 例如，您可以导出 S3 生命周期管理规则并将其导入 MinIO，反之亦然。 MinIO 使用 JSON 描述生命周期管理规则，因此在导入 S3 生命周期规则时，可能需要在 XML 与 JSON 之间进行转换。

对象迁移（”Tiering”）

MinIO 支持创建对象迁移生命周期管理规则，使 MinIO 可以自动将对象移动到远程存储“层”。 MinIO 支持以下任意一种远程层目标：

• MinIO
• Amazon S3
• Google Cloud Storage
• Microsoft Azure Blob Storage

MinIO 对象迁移适用于这类场景：将私有云或公有云基础设施中 MinIO 集群里的陈旧数据迁移到低成本的私有云或公有云存储方案中。 目录对象，即名称以 / 结尾的 0 字节对象，不会被分层迁移。 MinIO 会按需管理已分层对象的取回，无需应用端添加额外逻辑。

使用 mc ilm tier add 命令为分层数据创建远程目标。 然后，您可以使用 mc ilm rule add --transition-days 命令，在指定的日历天数后将对象迁移到该层。

您可以对存储桶或存储桶前缀使用 mc ls，验证对象的分层状态。 输出中会包含每个对象的存储层：

$ mc ls play/mybucket
[2022-11-08 11:30:24 PST]    52MB  STANDARD log-data.csv
[2022-11-09 12:20:18 PST]    120MB WARM event-2022-11-09.mp4

• STANDARD 表示对象存储在 MinIO 部署上。
• WARM 表示对象存储在同名远程层上。

对远程数据的独占访问

MinIO 要求对远程存储层上的已转移数据拥有独占访问权限。 “hot” MinIO 源端上的对象元数据与远程 “warm/cold” 层上的对象数据紧密关联。 如果无法访问远程层，MinIO 就无法检索对象数据； 同样，远程层也不能用于恢复源端丢失的元数据。

对已转移对象的所有访问都必须仅通过 MinIO 发起的 S3 API 操作完成。 手动修改已转移对象时，无论修改的是 “hot” MinIO 层上的元数据， 还是远程 “warm/cold” 层上的对象数据，都可能导致该对象的数据丢失。

对于远程存储桶或存储桶前缀中不受该 MinIO 部署明确管理的任何对象， MinIO 都会将其忽略。 自动转移与透明对象检索依赖以下前提：

• 不会在远程存储上由外部修改、迁移或删除对象。
• 远程存储桶上不存在生命周期管理规则 （例如转移或过期）。

MinIO 会将所有已转移对象存储在远程存储桶或资源下、 每个部署唯一的前缀值之中。 该值并非用于在后端识别源部署。 在配置远程目标时，MinIO 还支持附加一个可选的人类可读前缀， 这可能有助于诊断、维护或灾难恢复相关操作。

对于包含其他数据的远程存储层， 包括来自其他 MinIO 部署的已转移对象， MinIO 建议指定此可选前缀。 本教程包含设置此前缀所需的语法。

远程数据的可用性

MinIO 分层行为依赖远程存储在收到请求后立即返回对象 （毫秒到秒级）。 因此，MinIO 不支持需要 rehydration、等待窗口 或人工干预的远程存储。

MinIO 会为每个已转移对象创建元数据，用于标识其在远程存储中的位置。 应用程序无法脱离 MinIO 直接识别和访问已转移对象。 因此，已转移数据的可用性仍依赖于 纠删码 和分布式部署拓扑 为 MinIO 部署中所有对象提供的核心保护能力。 使用对象转移不会带来任何额外的业务连续性或灾难恢复收益。

需要 BC/DR 保护的工作负载应实现 MinIO Server-Side replication。 复制可确保对象保存在远程复制站点上， 从而使用户能够在发生部分或全部数据丢失时从远端重新同步。 有关如何使用复制在部分或全部数据丢失后恢复的更完整文档， 请参见 重新同步（灾难恢复）。

启用版本控制的存储桶

对于已启用 版本控制 的存储桶迁移规则，MinIO 采用 S3 behavior。 具体来说，MinIO 默认将迁移操作应用于对象的 当前 版本。

如需迁移对象的非当前版本，请在创建迁移规则时指定 --noncurrent-transition-days 和 --noncurrent-transition-tier 选项。

对象过期

MinIO 生命周期管理支持对存储桶中的对象执行过期操作。 对象“过期”是指对该对象执行 DELETE 操作。 例如，您可以创建生命周期管理规则，使所有超过 365 天的对象过期。

使用 mc ilm rule add --expire-days 可以让对象在指定的日历天数后过期。

对于已配置 replication 的存储桶，MinIO 不会复制由生命周期管理过期规则删除的对象。 更多信息请参见 删除操作的复制。

启用版本控制的存储桶

对于已启用 版本控制 的存储桶过期规则，MinIO 采用 S3 behavior。 对于启用版本控制的存储桶，MinIO 具有以下默认行为：

• MinIO 仅将过期选项应用于对象的 当前 版本，具体方式是像版本化删除的常规行为一样创建 DeleteMarker。

  如需让对象的非当前版本过期，请在创建过期规则时指定 --noncurrent-expire-days 选项。

• MinIO 不会让 DeleteMarkers 过期，即使该对象已不存在其他版本。

  如需在该对象已无剩余版本时让删除标记过期，请在创建过期规则时指定 --expire-delete-marker 选项。

• 如需让一个没有删除标记的对象在指定天数后其所有版本都过期，请将 --expire-all-object-versions 标志与 --expire-days 标志一同使用。 这允许该对象在指定天数过去后被永久删除。

  说明

  变更: MinIO

  RELEASE.2024-05-01T01-11-10Z

  此标志仅适用于没有删除标记的对象。

生命周期管理对象扫描器

MinIO 使用内置的 scanner 主动检查对象是否符合所有已配置的生命周期管理规则。

扫描器是一个低优先级进程，在 I/O 负载较高时会让出资源，以避免因规则触发时机导致性能尖峰。 因此，扫描器可能要到生命周期规则周期已经过去 之后，才会检测到某个对象已满足配置的迁移或过期生命周期规则条件。

9.8 - 将对象从 MinIO 迁移到 Azure

本页中的过程将创建一条新的对象生命周期管理规则，用于将 MinIO 存储桶中的对象迁移到 Azure 存储后端上的远程存储层。该过程适用于如下场景： 在达到特定时间周期或日历日期后，将陈旧数据移动到低成本的公有云存储方案中。

要求

安装并配置 mc

该过程使用 mc 在 MinIO 集群上执行操作。 请将 mc 安装在一台同时具备源集群和目标集群网络访问能力的主机上。 有关下载和安装 mc 的说明，请参见 mc 安装快速开始。

使用 mc alias set 命令为源 MinIO 集群创建别名。 创建别名时，需要为源集群和目标集群上的用户指定访问密钥。 所指定的用户必须具备配置和应用迁移操作所需的 权限。

所需的 MinIO 权限

MinIO 要求在要创建生命周期管理规则的一个或多个存储桶范围内具备以下权限。

• s3:PutLifecycleConfiguration
• s3:GetLifecycleConfiguration

此外，在为对象迁移生命周期管理规则创建远程层的集群上，MinIO 还要求具备以下管理权限：

• admin:SetTier
• admin:ListTier

例如，以下策略授予在集群中任意存储桶上配置对象迁移生命周期管理规则的权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "admin:SetTier",
               "admin:ListTier"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteTierManagement"
      },
      {
            "Action": [
               "s3:PutLifecycleConfiguration",
               "s3:GetLifecycleConfiguration"
            ],
            "Resource": [
                        "arn:aws:s3:::*"
            ],
            "Effect": "Allow",
            "Sid": "EnableLifecycleManagementRules"
      }
   ]
}

所需的 Azure 权限

对象迁移生命周期管理规则要求在远程存储层上具备额外权限。 具体而言，MinIO 要求 Azure 凭证对远程存储账户和容器具备读取、 写入、列出和删除权限。

有关配置所需权限的更完整说明，请参阅 Azure RBAC 文档。

远程存储账户和容器必须预先存在

在将该资源配置为生命周期管理层或规则的目标之前，先创建远程 Azure 存储账户 和容器。 在 创建 Azure 存储账户 时，请确保该存储账户对应 Standard 或 Premium blob storage，并使用本地冗余存储（LRS）选项。 MinIO 使用的 Azure Go SDK API 不支持其他任何冗余选项。

如果您为存储账户设置了 默认访问层，那么在定义远程层时，如果未指定 storage class，MinIO 将使用该默认值。 请确保记录 Azure 存储账户和 MinIO 分层配置的相关设置，以避免潜在的混淆、误配置或其他意外结果。

有关 Azure 存储账户的更多信息，请参见 Storage accounts。

注意事项

对远程数据的独占访问

MinIO 要求对远程存储层上的已转移数据拥有独占访问权限。 “hot” MinIO 源端上的对象元数据与远程 “warm/cold” 层上的对象数据紧密关联。 如果无法访问远程层，MinIO 就无法检索对象数据； 同样，远程层也不能用于恢复源端丢失的元数据。

对已转移对象的所有访问都必须仅通过 MinIO 发起的 S3 API 操作完成。 手动修改已转移对象时，无论修改的是 “hot” MinIO 层上的元数据， 还是远程 “warm/cold” 层上的对象数据，都可能导致该对象的数据丢失。

对于远程存储桶或存储桶前缀中不受该 MinIO 部署明确管理的任何对象， MinIO 都会将其忽略。 自动转移与透明对象检索依赖以下前提：

• 不会在远程存储上由外部修改、迁移或删除对象。
• 远程存储桶上不存在生命周期管理规则 （例如转移或过期）。

MinIO 会将所有已转移对象存储在远程存储桶或资源下、 每个部署唯一的前缀值之中。 该值并非用于在后端识别源部署。 在配置远程目标时，MinIO 还支持附加一个可选的人类可读前缀， 这可能有助于诊断、维护或灾难恢复相关操作。

对于包含其他数据的远程存储层， 包括来自其他 MinIO 部署的已转移对象， MinIO 建议指定此可选前缀。 本教程包含设置此前缀所需的语法。

远程数据的可用性

MinIO 分层行为依赖远程存储在收到请求后立即返回对象 （毫秒到秒级）。 因此，MinIO 不支持需要 rehydration、等待窗口 或人工干预的远程存储。

MinIO 会为每个已转移对象创建元数据，用于标识其在远程存储中的位置。 应用程序无法脱离 MinIO 直接识别和访问已转移对象。 因此，已转移数据的可用性仍依赖于 纠删码 和分布式部署拓扑 为 MinIO 部署中所有对象提供的核心保护能力。 使用对象转移不会带来任何额外的业务连续性或灾难恢复收益。

需要 BC/DR 保护的工作负载应实现 MinIO Server-Side replication。 复制可确保对象保存在远程复制站点上， 从而使用户能够在发生部分或全部数据丢失时从远端重新同步。 有关如何使用复制在部分或全部数据丢失后恢复的更完整文档， 请参见 重新同步（灾难恢复）。

过程

1) 为生命周期管理配置用户账户和策略

此步骤会在 MinIO 部署上创建用于支持生命周期管理操作的用户和策略。 如果该部署已经存在具备所需 permissions 的用户，则可以跳过此步骤。

以下示例使用 Alpha 作为 MinIO 部署 alias 的占位符。 请将其替换为配置生命周期管理规则时所使用的 MinIO 部署别名。 同时，请按照所在组织的密码生成最佳实践， 将密码 LongRandomSecretKey 替换为足够长、随机且安全的密钥。

wget -O - https://silo.pgsty.com/extra/examples/LifecycleManagementAdmin.json | \
mc admin policy create Alpha LifecycleAdminPolicy /dev/stdin
mc admin user add Alpha alphaLifecycleAdmin LongRandomSecretKey
mc admin policy attach Alpha LifecycleAdminPolicy --user=alphaLifecycleAdmin

此示例假定所指定的 alias 具有在该部署上创建策略和用户所需的权限。 有关 MinIO 用户和策略的更完整文档， 请分别参见 用户管理 和 MinIO Policy Based Access Control。

2) 配置远程存储层

使用 mc ilm tier add 命令添加新的远程存储层：

mc ilm tier add azure TARGET TIER_NAME \
   --account-name ACCOUNT \
   --account-key KEY \
   --bucket CONTAINER \
   --endpoint ENDPOINT \
   --prefix PREFIX \
   --storage-class STORAGE_CLASS

上述示例使用了以下参数：

3) 创建并应用迁移规则

使用 mc ilm rule add 命令为存储桶创建新的转移规则。 以下示例将对象配置为在指定的日历天数后执行转移：

mc ilm rule add ALIAS/BUCKET \
--transition-tier TIERNAME \
--transition-days DAYS \
--noncurrent-transition-days NONCURRENT_DAYS
--noncurrent-transition-tier TIERNAME

上述示例指定了以下参数：

4) 验证迁移规则

使用 mc ilm rule ls 命令查看已配置的迁移规则：

mc ilm rule ls ALIAS/PATH --transition

• 将 ALIAS 替换为 MinIO 部署的 alias。
• 将 PATH 替换为要检索其已配置生命周期管理规则的存储桶名称。

9.9 - 对象自动过期

本页中的每个过程都会创建一条新的对象生命周期管理规则，用于让 MinIO 存储桶中的对象过期。该过程适用于在特定时间段或日历日期之后删除“旧”对象 等场景。

要求

安装并配置 mc

该过程使用 mc 对 MinIO 集群执行操作。请在一台可同时通过网络访问源集群 和目标集群的机器上安装 mc。有关下载和安装 mc 的说明，请参阅 mc 快速安装。

使用 mc alias set 命令为源 MinIO 集群和目标 S3 兼容服务创建别名。 创建别名时，需要为源集群和目标集群上的用户指定访问密钥。指定的用户必须具备 配置和应用过期操作所需的 权限。

所需权限

MinIO 要求对创建生命周期管理规则的存储桶或多个存储桶授予以下权限。

• s3:PutLifecycleConfiguration
• s3:GetLifecycleConfiguration

如果要在某个集群上为对象转换生命周期管理规则创建远程层，MinIO 还要求在该 集群上具备以下管理权限：

• admin:SetTier
• admin:ListTier

例如，以下策略授予了在该集群任意存储桶上配置对象转换生命周期管理规则的 权限：

{
   "Version": "2012-10-17",
   "Statement": [
      {
            "Action": [
               "admin:SetTier",
               "admin:ListTier"
            ],
            "Effect": "Allow",
            "Sid": "EnableRemoteTierManagement"
      },
      {
            "Action": [
               "s3:PutLifecycleConfiguration",
               "s3:GetLifecycleConfiguration"
            ],
            "Resource": [
                        "arn:aws:s3:::*"
            ],
            "Effect": "Allow",
            "Sid": "EnableLifecycleManagementRules"
      }
   ]
}

按天数使对象过期

使用带有 --expire-days 的 mc ilm rule add， 可在对象创建若干天后使存储桶内容过期：

mc ilm rule add ALIAS/PATH --expire-days "DAYS"

• 将 ALIAS 替换为 S3 兼容主机的 alias。
• 将 PATH 替换为 S3 兼容主机上该存储桶的 路径。
• 将 DAYS 替换为对象过期前的天数。 例如，指定 30 表示对象会在创建 30 天后过期。

使已版本控制的对象过期

使用 mc ilm rule add 使非当前对象版本和对象删除标记过期：

• 若要让非当前对象版本在指定天数后过期，请包含 --noncurrent-expire-days。
• 若要让没有剩余版本的对象的删除标记过期，请包含 --expire-delete-marker。

mc ilm rule add ALIAS/PATH \
   --noncurrent-expire-days NONCURRENT_DAYS \
   --expire-delete-marker

• 若要让对象的所有版本过期，请包含 --expire-all-object-versions。此过期规则仅适用于 最新版本或当前版本不是 DeleteMarker 的对象。

  mc ilm rule add ALIAS/PATH \
     --expire-all-object-versions

• 将 ALIAS 替换为 S3 兼容主机的 alias。

• 将 PATH 替换为 S3 兼容主机上该存储桶的 路径。

• 将 NONCURRENT_DAYS 替换为非当前对象版本过期前的 天数。例如，指定 30d 表示某个版本在成为非当前版本至少 30 天后过期。

9.10 - 数据压缩

概述

MinIO Server 支持对对象进行压缩，以减少磁盘使用量。 对象在 PUT 时会先压缩再写入磁盘，在 GET 时会先解压再发送给客户端。这样一来，压缩过程对客户端应用程序和服务是透明的。

根据数据类型的不同，压缩还可能提高整体吞吐量。 在生产部署中，写入吞吐量通常为系统中每个可用 CPU 核心每秒 500MB 或更高。 解压吞吐量大约为每个 CPU 核心每秒 1 GB 或更高。

为获得最佳效果，请参阅 MinIO 的 推荐硬件配置，或使用 MinIO SUBNET 与工程师直接协作分析压缩性能。

默认文件类型

数据压缩是全局选项，所配置的设置会应用于部署中的所有存储桶。 启用数据压缩后，默认会压缩以下类型的数据：

你可以通过指定所需的文件扩展名和 media (MIME) types 来控制哪些对象会被压缩。

排除的文件类型

某些数据无法被有效压缩。 例如：视频、已经压缩过的数据，或小于 4KiB 的文件。 MinIO 不会压缩常见的不可压缩文件类型，即使它们已在压缩配置中指定。

这些类型的对象永远不会被压缩：

数据压缩与加密

MinIO 支持对压缩后的对象进行加密，但不建议在未事先进行风险评估的情况下同时启用压缩和加密。 在为压缩对象启用加密之前，请仔细评估你的环境中的安全需求。

有关如何同时使用压缩和加密的更多信息，请参阅 Transparent Data Compression on MinIO。 MinIO SUBNET 用户可以 log in 并与我们的工程和安全团队沟通，以评估加密选项。

教程

启用数据压缩

要启用数据压缩，请使用 mc admin config set 将 compression 键的 enable 选项设置为 on。

以下命令会为 默认类型 的新对象启用压缩：

mc admin config set ALIAS compression enable=on

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

现有的未压缩对象不会被修改。 要配置需要压缩的扩展名和类型，请参阅 配置要压缩哪些对象。

要查看当前的压缩设置：

mc admin config get ALIAS compression

禁用数据压缩

要禁用数据压缩，请使用 mc admin config set 将 compression 键的 enable 选项设置为 off：

以下命令会禁用新对象的数据压缩：

mc admin config set ALIAS compression enable=off

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

现有的已压缩对象不会被修改。

配置要压缩哪些对象

通过在 extensions 或 mime_types 参数中指定所需的文件扩展名和媒体类型，来配置需要压缩的对象。

默认的数据压缩配置会压缩以下类型的数据：

以下各节介绍如何为所需的文件扩展名和媒体类型配置压缩。

压缩所有可压缩对象

要压缩除 默认排除类型 之外的所有对象，请使用 mc admin config set 将 compression 键的 extensions 和 mime_types 选项设置为空列表：

mc admin config set ALIAS compression extensions= mime_types=

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

按文件扩展名压缩对象

要压缩具有特定文件扩展名的对象，请使用 mc admin config set 在 extensions 参数中设置所需的文件扩展名。

以下命令会压缩扩展名为 .bin 和 .txt 的文件：

mc admin config set ALIAS compression extensions=".bin, .txt"

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

新的文件扩展名列表会替换之前的列表。 如果要添加或删除扩展名，请使用完整的待压缩扩展名列表重新执行 extensions 命令。

以下命令会将 .pdf 添加到上一个示例中的文件扩展名列表：

mc admin config set ALIAS compression extensions=".bin, .txt, .pdf"

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

按媒体类型压缩对象

要压缩特定媒体类型的对象，请使用 mc admin config set 将 compression 键的 mime_types 选项设置为所需类型的列表。

以下示例会压缩类型为 application/json 和 image/bmp 的文件：

mc admin config set ALIAS compression mime_types="application/json, image/bmp"

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

新的媒体类型列表会替换之前的列表。 如果要添加或删除类型，请使用完整的待压缩类型列表重新执行 mime_types 命令。

你可以使用 * 指定某一媒体类型下的所有子类型。 以下命令会将所有 text 子类型添加到上一个示例中的列表：

mc admin config set ALIAS compression mime_types="application/json, image/bmp, text/*"

• 将 ALIAS 替换为已配置 MinIO 部署的 alias。

10 - 监控存储桶与对象事件

存储桶通知

MinIO 存储桶通知允许管理员在特定对象或存储桶事件发生时，将通知发送到受支持的外部服务。 MinIO 支持与 Amazon S3 Event Notifications 类似的存储桶级和对象级 S3 事件。

在某些受支持的事件上，MinIO 支持将存储桶或对象事件发布到以下受支持的目标。

• 将事件发布到 AMQP (RabbitMQ)
• 将事件发布到 MQTT
• 将事件发布到 NATS
• 将事件发布到 NSQ
• 将事件发布到 Elasticsearch
• 将事件发布到 Kafka
• 将事件发布到 MySQL
• 将事件发布到 PostgreSQL
• 将事件发布到 Redis
• 将事件发布到 Webhook

有关 MinIO 存储桶通知的更完整文档，请参见 存储桶通知。

部署指标

MinIO 提供兼容 Prometheus 的端点，以支持对指标进行时间序列查询。

服务日志

MinIO 提供以下接口用于远程读取服务日志：

• mc admin logs 命令会返回指定服务器的控制台输出。
• MinIO 支持将服务日志推送到 HTTP webhook，以便进一步采集。 更多信息请参见 将服务日志发布到 HTTP Webhook。

10.1 - 存储桶通知

MinIO 存储桶通知允许管理员在特定对象或存储桶事件发生时，将通知发送到受支持的外部服务。 MinIO 支持与 Amazon S3 Event Notifications 类似的存储桶级和对象级 S3 事件。

支持的通知目标

MinIO 支持将事件通知发布到以下目标：

异步与同步存储桶通知

使用异步传递时，MinIO 会将事件发送到已配置的远程目标，并且在继续处理下一个事件之前 不会 等待响应。 异步存储桶通知优先保证发送速率，但如果远程目标在传输或处理期间出现瞬时问题，则存在部分事件丢失的风险。

使用同步传递时，MinIO 会将事件发送到已配置的远程目标，然后等待远程目标确认已成功接收后，才继续处理下一个事件。 同步存储桶通知优先保证事件可送达，但代价是事件发送速率较慢且队列更容易被填满。

要为 所有已配置的远程目标 启用同步存储桶通知，请使用以下任一设置：

• 将 MINIO_API_SYNC_EVENTS 环境变量设置为 on，然后重启 MinIO 部署。
• 将 api.sync_events 配置项设置为 on，然后重启 MinIO 部署。

支持的 S3 事件类型

MinIO 存储桶通知与 Amazon S3 Event Notifications 兼容。 本节列出所有受支持的事件。

对象事件

MinIO 支持在以下 S3 对象事件上触发通知：

s3:ObjectAccessed:Get

data

s3:ObjectAccessed:GetLegalHold

data

s3:ObjectAccessed:GetRetention

data

s3:ObjectAccessed:Head

data

s3:ObjectCreated:CompleteMultipartUpload

data

s3:ObjectCreated:Copy

data

s3:ObjectCreated:DeleteTagging

data

s3:ObjectCreated:Post

data

s3:ObjectCreated:Put

data

s3:ObjectCreated:PutLegalHold

data

s3:ObjectCreated:PutRetention

data

s3:ObjectCreated:PutTagging

data

s3:ObjectRemoved:Delete

data

s3:ObjectRemoved:DeleteMarkerCreated

data

指定通配符 * 可选择与某个前缀相关的所有事件：

s3:ObjectAccessed:*

data

选择所有以 s3:ObjectAccessed 为前缀的事件。

s3:ObjectCreated:*

data

选择所有以 s3:ObjectCreated 为前缀的事件。

s3:ObjectRemoved:*

data

选择所有以 s3:ObjectRemoved 为前缀的事件。

复制事件

MinIO 支持在以下 S3 复制事件上触发通知：

s3:Replication:OperationCompletedReplication

data

s3:Replication:OperationFailedReplication

data

s3:Replication:OperationMissedThreshold

data

s3:Replication:OperationNotTracked

data

s3:Replication:OperationReplicatedAfterThreshold

data

指定通配符 * 可选择所有 s3:Replication 事件：

s3:Replication:*

data

ILM 转换事件

MinIO 支持在以下 S3 ILM 转换事件上触发通知：

s3:ObjectRestore:Post

data

s3:ObjectRestore:Completed

data

s3:ObjectTransition:Failed

data

s3:ObjectTransition:Complete

data

指定通配符 * 可选择与某个前缀相关的所有事件：

s3:ObjectTransition:*

data

选择所有以 s3:ObjectTransition 为前缀的事件。

s3:ObjectRestore:*

data

选择所有以 s3:ObjectRestore 为前缀的事件。

Scanner 事件

MinIO 支持在以下 S3 scanner 转换事件上触发通知：

s3:Scanner:ManyVersions

data

Scanner 发现具有超过 1,000 个版本的对象。

s3:Scanner:BigPrefix

data

Scanner 发现具有超过 50,000 个子文件夹的前缀。

全局事件

MinIO 支持在以下全局事件上触发通知。 只能通过 ListenNotification API 监听这些事件：

s3:BucketCreated

data

s3:BucketRemoved

data

负载模式

所有通知负载都使用相同的整体模式。 根据通知类型的不同，某些字段可能会省略或为 null。

{
    "eventVersion": "string",
    "eventSource": "string",
    "awsRegion": "string",
    "eventTime": "string",
    "eventName": "string",
    "userIdentity": {
        "principalId": "string"
    },
    "requestParameters": {
        "key": "value"
    },
    "responseElements": {
        "key": "value"
    },
    "s3": {
        "s3SchemaVersion": "string",
        "configurationId": "string",
        "bucket": {
            "name": "string",
            "ownerIdentity": {
                "principalId": "string"
            },
            "arn": "string"
        },
        "object": {
            "key": "string",
            "size": 10000,
            "eTag": "string",
            "contentType": "string",
            "userMetadata": {
                "key": "string"
            },
            "versionId": "string",
            "sequencer": "string"
        }
    },
    "source": {
        "host": "string",
        "port": "string",
        "userAgent": "string"
    }
}

示例

以下示例是 s3:ObjectCreated:Put 事件的通知：

{
  "EventName": "s3:ObjectCreated:Put",
  "Key": "test-bucket/image.jpg",
  "Records": [
    {
      "eventVersion": "2.0",
      "eventSource": "minio:s3",
      "awsRegion": "",
      "eventTime": "2025-02-06T01:04:31.998Z",
      "eventName": "s3:ObjectCreated:Put",
      "userIdentity": {
        "principalId": "access_key"
      },
      "requestParameters": {
        "principalId": "access_key",
        "region": "",
        "sourceIPAddress": "192.168.1.10"
      },
      "responseElements": {
        "x-amz-id-2": "dd9025bab4ad464b049177c95eb6ebf374d3b3fd1af9251148b658df7ac2e3e8",
        "x-amz-request-id": "182178E8B36AC9DF",
        "x-minio-deployment-id": "2369dcb4-348b-4d30-8fc9-61ab089ba4bc",
        "x-minio-origin-endpoint": "https://minio.test.svc.cluster.local"
      },
      "s3": {
        "s3SchemaVersion": "1.0",
        "configurationId": "Config",
        "bucket": {
          "name": "test-bucket",
          "ownerIdentity": {
            "principalId": "access_key"
          },
          "arn": "arn:aws:s3:::test-bucket"
        },
        "object": {
          "key": "image.jpg",
          "size": 84452,
          "eTag": "eb52f8e46f60a27a8a1a704e25757f30",
          "contentType": "image/jpeg",
          "userMetadata": {
            "content-type": "image/jpeg"
          },
          "sequencer": "182178E8B3728CAC"
        }
      },
      "source": {
        "host": "192.168.1.10",
        "port": "",
        "userAgent": "MinIO (linux; amd64) minio-go/v7.0.83"
      }
    }
  ]
}

10.2 - 将事件发布到 AMQP (RabbitMQ)

MinIO 支持将 bucket notification 事件发布到 AMQP 0-9-1 服务端点，例如 RabbitMQ。

MinIO 依赖 https://github.com/streadway/amqp 项目实现 AMQP 连接。该项目主要针对 RabbitMQ 部署进行测试，但其他兼容 AMQP 0-9-1 的服务也可能可以使用。本页中的步骤假定服务端点为使用 AMQP 0-9-1 协议的 RabbitMQ 部署。

向 MinIO 部署添加 AMQP 端点

以下步骤用于向 MinIO 部署添加一个新的 AMQP 服务端点，以支持 bucket notifications。

前提条件

AMQP 0-9-1 服务端点

MinIO 依赖 https://github.com/streadway/amqp 项目实现 AMQP 连接。该项目主要针对 RabbitMQ 部署进行测试，但其他兼容 AMQP 0-9-1-compatible 的服务也可能可以使用。 本步骤假定服务端点为使用 0-9-1 协议的 RabbitMQ 部署。

如果 AMQP 服务要求身份验证，则你必须在配置过程中提供相应的用户名和密码，以授权 MinIO 访问该服务。

MinIO mc 命令行工具

本步骤在部分操作中使用 mc 命令行工具。 安装说明请参见 mc Quickstart。

1) 向 MinIO 添加 AMQP 端点

你可以使用环境变量或运行时配置设置来配置新的 AMQP 服务端点。

   set MINIO_NOTIFY_AMQP_ENABLE_<IDENTIFIER>="on"
   set MINIO_NOTIFY_AMQP_URL_<IDENTIFIER>="<ENDPOINT>"
   set MINIO_NOTIFY_AMQP_EXCHANGE_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_EXCHANGE_TYPE_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_ROUTING_KEY_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_MANDATORY_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_DURABLE_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_NO_WAIT_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_INTERNAL_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_AUTO_DELETED_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_DELIVERY_MODE_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_QUEUE_DIR_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_QUEUE_LIMIT_<IDENTIFIER>="<string>"
   set MINIO_NOTIFY_AMQP_COMMENT_<IDENTIFIER>="<string>"

   export MINIO_NOTIFY_AMQP_ENABLE_<IDENTIFIER>="on"
   export MINIO_NOTIFY_AMQP_URL_<IDENTIFIER>="<ENDPOINT>"
   export MINIO_NOTIFY_AMQP_EXCHANGE_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_EXCHANGE_TYPE_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_ROUTING_KEY_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_MANDATORY_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_DURABLE_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_NO_WAIT_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_INTERNAL_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_AUTO_DELETED_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_DELIVERY_MODE_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_QUEUE_DIR_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_QUEUE_LIMIT_<IDENTIFIER>="<string>"
   export MINIO_NOTIFY_AMQP_COMMENT_<IDENTIFIER>="<string>"