第二章：环境搭建——把实验台支起来

做加密边界项目，第一步不是写代码，是把实验环境搭好。

我见过太多人，代码写了一半发现S3模拟器没配好，调试时对着真实AWS一顿操作，结果月底收到几千块的账单。嗯，这种事经历过一次就够了。

这一章咱们把四种环境一口气搞定：MinIO本地部署、AWS S3模拟器配置、Docker Compose快速搭建、CLI工具安装。说白了就是让你的笔记本变成一个能跑加密边界项目的完整实验室。

2.1 MinIO 本地部署

MinIO 是目前用得最广的 S3 兼容存储。我为什么推荐它？因为它跟 AWS S3 的 API 保持高度一致，而且部署起来真的太轻松了。

2.1.1 二进制安装（Linux/macOS）

我个人习惯用二进制方式，不依赖 Docker 也能跑。步骤如下：

# 下载 MinIO 服务端
wget https://dl.min.io/server/minio/release/linux-amd64/minio
chmod +x minio
sudo mv minio /usr/local/bin/

# 下载 MinIO Client
wget https://dl.min.io/client/mc/release/linux-amd64/mc
chmod +x mc
sudo mv mc /usr/local/bin/

# 创建数据目录
mkdir -p ~/minio-data

# 启动服务（单节点）
minio server ~/minio-data --console-address :9001

2.1.2 Windows 安装

Windows 上用 MinIO 也很简单，直接下载 .exe 就行：

# PowerShell 管理员模式
Invoke-WebRequest -Uri "https://dl.min.io/server/minio/release/windows-amd64/minio.exe" -OutFile "C:\minio\minio.exe"

# 创建数据目录
mkdir C:\minio-data

# 启动
C:\minio\minio.exe server C:\minio-data --console-address :9001

启动后浏览器打开 http://localhost:9001，用控制台打印的密钥登录。嗯，这里要注意，Windows 下路径反斜杠容易出问题，建议统一用正斜杠。

2.2 AWS S3 模拟器配置

S3 模拟器有很多种，像 LocalStack、MinIO GateWay。但我建议直接用 MinIO，因为它本来就是完全兼容 S3 API 的，没必要额外搭一套。

2.2.1 配置 S3 兼容端点

不管用哪个模拟器，核心配置就这几项：

参数	MinIO 值	AWS S3 值
Endpoint	http://localhost:9000	https://s3.amazonaws.com
Region	us-east-1	按实际区域填写
Access Key	自定义	IAM 用户 Access Key
Secret Key	自定义	IAM 用户 Secret Key
SSL	false	true
Path Style	true	false

2.3 Docker Compose 快速搭建

如果你不想手动装，或者需要同时跑多个服务（比如 MinIO + Redis + 你的加密应用），Docker Compose 是最省事的方案。

2.3.1 编写 docker-compose.yml

我自己的项目里常用这套配置：

version: '3.8'

services:
  minio:
    image: minio/minio:latest
    container_name: minio-server
    ports:
      - "9000:9000"
      - "9001:9001"
    environment:
      MINIO_ROOT_USER: admin
      MINIO_ROOT_PASSWORD: password123
    volumes:
      - ./minio-data:/data
    command: server /data --console-address ":9001"
    networks:
      - encryption-network

networks:
  encryption-network:
    driver: bridge

2.3.2 启动和管理

几个常用操作：

# 启动所有服务
docker-compose up -d

# 查看日志
docker-compose logs -f

# 停止并清除
docker-compose down -v

为什么要加 -v？因为我曾经调试时忘加这个参数，容器虽然停了，但数据卷还在，下次启动发现之前的测试桶还在。如果你需要干净环境，docker-compose down -v 会连数据一起清掉。

2.4 CLI 工具安装

环境搭好了，还得有趁手的工具去操作它。说白了就是命令行里能直接上传下载文件、创建桶、管理密钥。

2.4.1 安装 AWS CLI

AWS CLI 是跟 S3 交互的标准工具，MinIO 也兼容它。

# Linux/macOS
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

# Windows (PowerShell)
msiexec.exe /i https://awscli.amazonaws.com/AWSCLIV2.msi

2.4.2 配置 MinIO 凭证

配置时用 aws configure 命令，记得指定 endpoint：

$ aws configure
AWS Access Key ID [None]: admin
AWS Secret Access Key [None]: password123
Default region name [None]: us-east-1
Default output format [None]: json

# 设置 endpoint（必须）
$ aws configure set s3.addressing_style path
$ aws configure set s3.endpoint_url http://localhost:9000

2.4.3 安装 MinIO Client (mc)

mc 比 AWS CLI 更轻量，而且对 MinIO 的某些特性支持更好。比如加密边界项目里涉及的服务端加密配置，mc 可以直接通过 mc encrypt 命令设置。

# 安装后配置 alias
mc alias set local http://localhost:9000 admin password123

# 验证连接
mc admin info local

# 常用操作（文件加密上传）
mc cp --attr "x-amz-server-side-encryption=AES256" localfile local/mybucket/

我个人习惯把 mc 和 aws CLI 都装上。抽检时用 aws CLI 验证兼容性，日常操作用 mc。两个工具各有各的顺手之处。

2.4.4 安装 s3cmd

s3cmd 是另一个老牌工具，我有时用它来做大规模并发测试：

# Linux
sudo apt-get install s3cmd
# 或 pip 安装
pip install s3cmd

# 配置
s3cmd --configure

环境搭完，咱们来简单跑几个命令，验证一下是不是真的通了。

打开终端：

# 1. 检查 MinIO 是否运行
curl -I http://localhost:9000

# 2. 创建测试桶
mc mb local/test-encryption

# 3. 上传一个加密对象
echo "This is a test file for encryption" | mc pipe local/test-encryption/secret.txt

# 4. 查看对象属性
mc stat local/test-encryption/secret.txt

# 5. 下载并查看内容
mc cat local/test-encryption/secret.txt

如果每一步都正常返回，好，你的加密边界实验室就绪了。