第 4 章：MinIO 快速搭建
之前几章我们把加密密钥的理论和边界模型都理清楚了。但理论再好，落到地上还得有个实实在在的对象存储环境。MinIO 就是我最常用的选择——开源、兼容 S3 API、部署简单。说白了，它就是咱们整个加密密钥边界项目的“数据底座”。这一章，我们就把它跑起来。
4.1 单机部署：5 分钟搞定
我个人习惯在开发阶段先用单机模式。你不需要分布式集群，一台 Linux 服务器或者 macOS 都行。Windows 也可以，但我建议你在 Linux 下折腾，省掉路径转义之类的小麻烦。
下载二进制文件是最快的方式。去 min.io/download 找一个合适的版本，或者直接用 Docker：
# 方式一：直接二进制
wget https://dl.min.io/server/minio/release/linux-amd64/minio
chmod +x minio
./minio server /data
# 方式二：Docker（我个人推荐开发环境用）
docker run -p 9000:9000 -p 9001:9001 \
-e MINIO_ROOT_USER=admin \
-e MINIO_ROOT_PASSWORD=your-strong-password \
-v /mnt/data:/data \
quay.io/minio/minio server /data --console-address ":9001"
启动后你会看到控制台地址和 API 地址。默认 API 端口 9000，控制台 9001。用浏览器打开 http://localhost:9001，输入上面设置的账号密码，就能看到管理界面了。
4.2 访问控制：Access Key 与 Secret Key
MinIO 的访问控制体系完全兼容 AWS S3 的 IAM 模型。你创建的用户会有一对 Access Key 和 Secret Key。应用程序通过这对密钥来调用 API。
- Access Key：类似于用户名，20 位大写字母和数字。
- Secret Key：相当于密码，40 位随机字符串。
- Policy：JSON 格式的权限策略，控制用户对 Bucket 和对象的操作。
在控制台的“Identity - Users”页面可以创建新用户。你也可以用 mc 命令行工具来管理：
# 安装 mc 客户端
wget https://dl.min.io/client/mc/release/linux-amd64/mc
chmod +x mc
./mc alias set myminio http://localhost:9000 admin your-password
# 创建用户
./mc admin user add myminio newuser newsecretkey
# 设置用户策略（只读一个 Bucket）
./mc admin policy set myminio readonly user=newuser
为什么我要把访问控制放在这里讲？因为你后面所有的加密密钥操作都依赖这个身份认证。密钥边界项目里，密钥管理服务（KMS）和 MinIO 之间的交互，就是通过这组 Access Key 来鉴权的。
4.3 Bucket 创建：存储桶是基本单位
Bucket 的概念不需要多讲，就是对象存储里的“文件夹”。但有几个细节你需要注意：
- 命名规则：只能用小写字母、数字、连字符（-），全局限唯一（单机模式无所谓）。
- 版本控制：建议开启。后面你做密钥版本管理时，这个特性会很有用。
- 加密配置：默认 MinIO 使用服务端加密，但咱们的边界项目会用客户端加密，所以这里不用额外设置。
在控制台点“Buckets → Create Bucket”即可。或者用 mc：
./mc mb myminio/encryption-keys
你看，就这么简单。我在生产环境通常建三个桶：一个放原始数据加密后的密文，一个放密钥元数据，一个放密钥历史的审计日志。后面的章节你会看到具体用途。
4.4 Python SDK 连接测试
终于到代码环节了。MinIO 的 Python SDK 叫 boto3（兼容 AWS S3）或者官方 minio-py。我个人更推荐 minio-py，因为它原生支持一些 MinIO 特有的功能（比如版本控制、生命周期策略）。不过为了通用性，本章我用 boto3 演示，毕竟大多数云存储也用它。
先装包：
pip install boto3
然后写一个测试脚本：
import boto3
from botocore.config import Config
# MinIO 的 endpoint 是 http://localhost:9000
s3_client = boto3.client(
's3',
endpoint_url='http://localhost:9000',
aws_access_key_id='your-access-key',
aws_secret_access_key='your-secret-key',
config=Config(signature_version='s3v4'),
region_name='us-east-1' # MinIO 不校验 region，随意填
)
# 列出所有 bucket
response = s3_client.list_buckets()
print("Buckets:", [b['Name'] for b in response['Buckets']])
# 上传一个测试文件
s3_client.put_object(
Bucket='encryption-keys',
Key='test-key.txt',
Body=b'Hello, MinIO!'
)
print("Upload successful")
运行之后，如果看到打印了 Buckets 列表和 "Upload successful"，那恭喜你，MinIO 搭建通了。
| 参数 | 说明 | 踩坑点 |
|---|---|---|
endpoint_url |
MinIO 服务地址 | 不要忘记 http:// 前缀，否则报连接错误 |
signature_version |
签名版本，MinIO 必须 s3v4 | 老项目可能用 s3v2，不兼容会报 403 |
region_name |
区域标识 | 随便填，但 boto3 会生成签名时使用，保持统一即可 |
嗯，这里要注意一点。如果你在 Windows 上开发，endpoint_url 可能会遇到 DNS 解析问题。我建议直接用 localhost，别用 127.0.0.1，因为 boto3 对 IPv6 的处理有时会翻车。
4.5 整体流程图示
把这一章的内容串起来，就是下面这张图。你从 MinIO 服务开始，到创建用户、建桶，最后用 Python SDK 连上去读写。步骤很清晰吧？
这张图流程很直白。你沿着箭头从顶部走到底部，你就拥有了一个可用的 MinIO 环境。后面的章节，我们所有的加密操作都会在这个环境中进行。