快捷導(dǎo)航

在Minio以STS方式獲得臨時(shí)憑據(jù)過(guò)程

更新時(shí)間：2026年01月06日 08:37:38 作者：兔子先生°

MinIO通過(guò)STS（Security Token Service）機(jī)制提供臨時(shí)訪問(wèn)憑證,提升安全性,臨時(shí)憑證具有時(shí)效性、權(quán)限受限和不可長(zhǎng)期持有的特點(diǎn),有效避免長(zhǎng)期密鑰泄露和精細(xì)化權(quán)限控制,MinIO兼容AWSS3的STS API,無(wú)需額外部署組件,通過(guò)創(chuàng)建策略和用戶并綁定策略

前言

在使用對(duì)象存儲(chǔ)服務(wù)（如MinIO）時(shí)，安全性始終是首要考慮的問(wèn)題。直接將長(zhǎng)期訪問(wèn)密鑰（Access Key 和 Secret Key）暴露給前端應(yīng)用或不可信的客戶端，存在極大的安全風(fēng)險(xiǎn)——一旦泄露，攻擊者可能長(zhǎng)期非法訪問(wèn)存儲(chǔ)資源。

為了解決這一問(wèn)題，MinIO 提供了基于 ??STS（Security Token Service，安全令牌服務(wù)）?? 的臨時(shí)憑據(jù)機(jī)制，允許用戶動(dòng)態(tài)獲取具有有限權(quán)限和有效期的臨時(shí)訪問(wèn)憑證，既滿足業(yè)務(wù)需求，又大幅提升安全性。

一、STS 臨時(shí)憑據(jù)的核心概念

什么是 STS？

STS 是一種安全服務(wù)，允許用戶通過(guò)調(diào)用接口動(dòng)態(tài)申請(qǐng)臨時(shí)訪問(wèn)憑證（包括臨時(shí) Access Key、Secret Key 和 Security Token）。這些臨時(shí)憑證具有以下特性：

??時(shí)效性??：默認(rèn)有效期較短（如 15 分鐘~1 小時(shí)），過(guò)期后自動(dòng)失效。
權(quán)限受限??：臨時(shí)憑證的權(quán)限由關(guān)聯(lián)的 ??策略（Policy）?? 嚴(yán)格限制，僅能執(zhí)行被明確授權(quán)的操作（例如僅允許上傳到特定 Bucket）。
??不可長(zhǎng)期持有??：無(wú)法像長(zhǎng)期密鑰一樣長(zhǎng)期使用，需每次使用時(shí)重新申請(qǐng)。

為什么需要 STS？

避免長(zhǎng)期密鑰泄露??：前端應(yīng)用（如 Web/移動(dòng)端）無(wú)需直接接觸長(zhǎng)期 Access Key，降低因代碼泄露導(dǎo)致的數(shù)據(jù)風(fēng)險(xiǎn)。??
精細(xì)化權(quán)限控制??：通過(guò)策略動(dòng)態(tài)定義臨時(shí)憑證的權(quán)限范圍（例如“僅允許上傳圖片到 user-uploads/目錄”）。
??符合最小權(quán)限原則??：臨時(shí)憑證僅授予完成當(dāng)前任務(wù)所需的最小權(quán)限，減少攻擊面

二、MinIO 對(duì) STS 的支持

MinIO 完全兼容 AWS S3 的 STS API（基于 AWS Signature V4），因此可以直接使用 AWS 官方文檔中的 STS 接口規(guī)范（如 AssumeRole）。

MinIO 的 STS 服務(wù)默認(rèn)內(nèi)置于服務(wù)中，無(wú)需額外部署組件，只需正確配置即可使用。

關(guān)鍵點(diǎn)：

MinIO 的 STS 接口地址通常與主服務(wù)一致（如 http://minio.example.com），通過(guò)特定路徑（如 /sts）訪問(wèn)。
需要為 STS 操作配置一個(gè) ??角色（Role）?? 或 ??策略模板??，用于定義臨時(shí)憑證的權(quán)限。
客戶端通過(guò)調(diào)用 AssumeRole接口（或其他 STS 接口，如 GetFederationToken），傳入角色信息及可選參數(shù)（如會(huì)話名稱），獲取臨時(shí)憑證。

三、配置

1.創(chuàng)建策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ]
        }
    ]
}

2.創(chuàng)建用戶，綁定策略

3.通過(guò)Java 獲得憑據(jù)

    public CredentialsToken getCredentials() {
        try {
            AssumeRoleProvider provider = new AssumeRoleProvider(OssConfiguration.endpoint, OssConfiguration.stsUser,
                    OssConfiguration.stsPassword, Math.toIntExact(OssConfiguration.expire),
                    null, OssConfiguration.region, null, null, null, null);
            Credentials credential = provider.fetch();
            return new CredentialsToken(credential.accessKey(), credential.secretKey(), credential.sessionToken(), OssConfiguration.expire);
        } catch (NoSuchAlgorithmException e) {
            log.debug("Failed to obtain sts.");
            e.printStackTrace();
        }
        return null;
    }