当前位置：首页 > news >正文

在Minio以STS方式获得临时凭据

news 2025/10/11 6:22:29

文章目录

前言
一、STS 临时凭据的核心概念
二、MinIO 对 STS 的支持
三、配置
- 1.创建策略
- 2.创建用户，绑定策略
- 3.通过Java 获得凭据
总结

前言

在使用对象存储服务（如MinIO）时，安全性始终是首要考虑的问题。直接将长期访问密钥（Access Key 和 Secret Key）暴露给前端应用或不可信的客户端，存在极大的安全风险——一旦泄露，攻击者可能长期非法访问存储资源。为了解决这一问题，MinIO 提供了基于 STS（Security Token Service，安全令牌服务）的临时凭据机制，允许用户动态获取具有有限权限和有效期的临时访问凭证，既满足业务需求，又大幅提升安全性。

一、STS 临时凭据的核心概念

什么是 STS？
STS 是一种安全服务，允许用户通过调用接口动态申请临时访问凭证（包括临时 Access Key、Secret Key 和 Security Token）。这些临时凭证具有以下特性：

时效性：默认有效期较短（如 15 分钟~1 小时），过期后自动失效。
权限受限：临时凭证的权限由关联的策略（Policy）严格限制，仅能执行被明确授权的操作（例如仅允许上传到特定 Bucket）。
不可长期持有：无法像长期密钥一样长期使用，需每次使用时重新申请。

为什么需要 STS？

避免长期密钥泄露：前端应用（如 Web/移动端）无需直接接触长期 Access Key，降低因代码泄露导致的数据风险。
精细化权限控制：通过策略动态定义临时凭证的权限范围（例如“仅允许上传图片到 user-uploads/目录”）。
符合最小权限原则：临时凭证仅授予完成当前任务所需的最小权限，减少攻击面

二、MinIO 对 STS 的支持

MinIO 完全兼容 AWS S3 的 STS API（基于 AWS Signature V4），因此可以直接使用 AWS 官方文档中的 STS 接口规范（如 AssumeRole）。MinIO 的 STS 服务默认内置于服务中，无需额外部署组件，只需正确配置即可使用。

关键点：

MinIO 的 STS 接口地址通常与主服务一致（如 http://minio.example.com），通过特定路径（如 /sts）访问。
需要为 STS 操作配置一个角色（Role）或策略模板，用于定义临时凭证的权限。
客户端通过调用 AssumeRole接口（或其他 STS 接口，如 GetFederationToken），传入角色信息及可选参数（如会话名称），获取临时凭证。

三、配置

1.创建策略

在这里插入图片描述

{"Version": "2012-10-17","Statement": [{"Effect": "Allow","Action": ["s3:GetObject","s3:PutObject","s3:DeleteObject","s3:GetBucketLocation"],"Resource": ["arn:aws:s3:::*"]}]
}

2.创建用户，绑定策略

在这里插入图片描述

3.通过Java 获得凭据

    public CredentialsToken getCredentials() {try {AssumeRoleProvider provider = new AssumeRoleProvider(OssConfiguration.endpoint, OssConfiguration.stsUser,OssConfiguration.stsPassword, Math.toIntExact(OssConfiguration.expire),null, OssConfiguration.region, null, null, null, null);Credentials credential = provider.fetch();return new CredentialsToken(credential.accessKey(), credential.secretKey(), credential.sessionToken(), OssConfiguration.expire);} catch (NoSuchAlgorithmException e) {log.debug("Failed to obtain sts.");e.printStackTrace();}return null;}