本流程假定你可以访问一个已经安装并启用了 MinIO Operator 的 Kubernetes 集群。 关于如何运行 KES，请参见 KES 文档。

在本流程中，你将完成：

1. 创建或修改一个通过 KES 支持 SSE 的 MinIO 部署。 关于生产可用 MinIO 部署的指导，请参见 部署分布式 MinIO 教程。
2. 使用 MinIO Operator Console 创建或管理一个 MinIO 租户。
3. 进入该租户的 Encryption 设置，并通过 受支持的 Key Management System 配置 SSE。
4. 创建一个新的 EK 供 SSE 使用。
5. 配置自动化的存储桶默认 SSE-KMS。

本流程说明如何部署已配置 KES 并启用 服务端加密 的 MinIO。 关于如何运行 KES，请参见 KES 文档。

在本流程中，你将完成：

1. 创建一个新的 EK 供 SSE 使用。
2. 创建或修改一个通过 KES 支持 SSE 的 MinIO 部署。 关于生产可用 MinIO 部署的指导，请参见 部署分布式 MinIO 教程。
3. 配置自动化的存储桶默认 SSE-KMS

你必须能够访问 Kubernetes 集群，并且 kubectl 上下文配置的权限至少具备管理员级别。

本流程假定你的权限集足以支持在 Kubernetes 集群中部署或修改与 MinIO 相关的资源，包括但不限于 pods、statefulsets、replicasets、deployments 和 secrets。

本流程使用 mc 对 MinIO 集群执行操作。 请在一台能够访问该集群网络的机器上安装 mc。 关于如何下载和安装 mc，请参见 mc 安装快速开始。

本流程假定已为 MinIO 集群配置 alias。

本流程假定已经存在一个可从 Kubernetes 集群访问的 受支持 KMS 安装。

• 对于与 MinIO 租户位于同一 Kubernetes 集群的部署，你可以使用 Kubernetes service 名称，让 MinIO 租户连接到目标 KMS 服务。
• 对于位于 Kubernetes 集群外部的部署，你必须确保该集群支持 Kubernetes services、pods 与外部网络之间的通信路由。 这可能需要配置或部署额外的 Kubernetes 网络组件，和/或启用访问公网的能力。

关于部署和配置的指导，请以你所选 KMS 方案的文档为准。

本流程假定已经存在一个 KES 安装，并已连接到受支持的 KMS 安装，且二者都可从本地主机访问。 请参照你所选 受支持 KMS 目标 的安装说明，部署 KES 并将其连接到对应 KMS 方案。

1. 查看 Tenant CRD

   查看 Tenant CRD 中的 TenantSpec.kes 对象、 TenantSpec.configuration 对象，以及 KES Configuration 参考。

   在继续之前，你必须先准备好所选外部 Key Management Service 所需的全部配置。

2. 创建或修改 Tenant YAML，按需设置 KesConfig 的值：

   你必须修改 Tenant YAML 或 Kustomize 模板，以反映所需的 KES 配置。以下示例摘自固定版本的 MinIO Operator v7.1.1 Kustomize 示例。

   kes:
      image: "" # minio/kes:2024-06-17T15-47-05Z
      env: [ ]
      replicas: 2
      kesSecret:
         name: kes-configuration
      imagePullPolicy: "IfNotPresent"

   kes-configuration secret 必须引用一个 Kubernetes Opaque Secret， 其中的 stringData 对象需要以 server-config.yaml 的形式包含完整 KES 配置。 keystore 字段必须包含你所选 Key Management System 的完整配置。

   更多说明请参阅 固定到 v7.1.1 的 Kustomize 示例。

3. 创建或修改 Tenant YAML，按需设置 TenantSpec.configuration 的值。

   创建一个 Opaque Secret，在 config.env 键中写入 Tenant 所需的环境变量，再让 Tenant 按名称引用该 Secret。不要把真实的 root 凭据提交到源码仓库。

   apiVersion: v1
   kind: Secret
   metadata:
     name: storage-configuration
     namespace: minio-tenant
   type: Opaque
   stringData:
     config.env: |-
       export MINIO_ROOT_USER="replace-with-root-user"
       export MINIO_ROOT_PASSWORD="replace-with-a-strong-secret"
   ---
   apiVersion: minio.min.io/v2
   kind: Tenant
   spec:
     configuration:
       name: storage-configuration

   Secret 与 Tenant 必须位于同一个命名空间。上游对象结构见固定到 v7.1.1 的 Tenant 配置示例。

4. 生成新的加密密钥

   说明

   创建密钥前先解封 Vault

   如果你所选的提供方有此要求， 则必须先解封底层 Vault 实例， 然后才能创建新的加密密钥。 更多信息请参考你所选 KMS 方案的文档。

   MinIO 要求某个存储桶或对象使用的 EK 在执行 SSE 操作之前， 必须已经存在于根 KMS 中。 你可以针对 MinIO Tenant 使用 mc admin kms key create 命令。

   在使用 mc 管理 Tenant 之前， 你必须确保本地主机能够访问 MinIO Tenant 的 pods 和 services。 对于 Kubernetes 集群内部主机， 你可以使用 service DNS name。 对于 Kubernetes 集群外部主机， 请指定通过 Ingress、Load Balancer 或类似 Kubernetes 网络控制组件暴露的服务主机名。

   在单独的 Terminal 或 Shell 中运行以下命令：

   # Replace '-n minio' with the namespace of the MinIO deployment
   # If you deployed the Tenant without TLS you may need to change the port range
   
   # You can validate the ports in use by running
   #  kubectl get svc/minio -n minio
   
   kubectl port forward svc/minio 443:443 -n minio

   在新的 Terminal 或 Shell 窗口中执行以下操作：

   • 将本地 mc 客户端连接到 Tenant。
   • 创建加密密钥。

   关于如何在本地主机上安装 mc， 请参见 快速开始。

   # Replace USERNAME and PASSWORD with a user on the tenant with administrative permissions
   # such as the root user
   
   mc alias add k8s https://localhost:443 ROOTUSER ROOTPASSWORD
   
   # Replace my-new-key with the name of the key you want to use for SSE-KMS
   mc admin kms key create k8s encrypted-bucket-key

5. 为存储桶启用 SSE-KMS

   你可以使用 MinIO Tenant Console 或 MinIO mc CLI， 通过生成的密钥启用存储桶默认 SSE-KMS：

mc alias set k8s https://minio.minio-tenant-1.svc.cluster-domain.example:443 ROOTUSER ROOTPASSWORD

mc mb k8s/encryptedbucket
mc encrypt set SSE-KMS encrypted-bucket-key k8s/encryptedbucket