4. MinIO 持久化与配置：数据卷挂载、Access Key/Secret Key 配置、TLS 证书配置

在 Development 环境中，MinIO 作为 S3 兼容存储的核心组件，其持久化与安全配置直接决定了调试数据的可靠性与接口调用的安全性。本章围绕三个关键维度展开：数据卷挂载确保容器重启后数据不丢失；Access Key / Secret Key 配置建立身份认证基础；TLS 证书配置保障传输层加密。以下内容均基于 Docker Compose 部署方式，兼顾快速验证与生产习惯养成。

4.1 数据卷挂载：持久化存储基石

MinIO 默认将数据存储在容器内部文件系统，容器销毁后数据即丢失。Development 环境必须通过 Docker 卷（Volume） 或 绑定挂载（Bind Mount） 实现持久化。推荐使用命名卷，因其由 Docker 管理，跨平台兼容性更好。

4.1.1 卷挂载配置示例（docker-compose.yml）

version: '3.8'
services:
  minio:
    image: minio/minio:RELEASE.2024-01-01T00-00-00Z
    container_name: dev-minio
    ports:
      - "9000:9000"   # API 端口
      - "9001:9001"   # Console 端口
    volumes:
      - minio-data:/data               # 对象数据持久化卷
      - minio-config:/root/.minio      # 配置与凭证持久化卷
    environment:
      MINIO_ROOT_USER: admin
      MINIO_ROOT_PASSWORD: password123
    command: server /data --console-address ":9001"

volumes:
  minio-data:
    driver: local
  minio-config:
    driver: local

4.1.2 卷类型对比

4.2 Access Key / Secret Key 配置：身份认证体系

MinIO 使用 Access Key（用户名） 和 Secret Key（密码） 进行身份认证。Development 环境可通过环境变量或配置文件设置初始凭证。注意：MinIO 在首次启动后会将凭证持久化到 /root/.minio，后续修改环境变量不会覆盖已有凭证。

4.2.1 环境变量方式（推荐快速启动）

environment:
  MINIO_ROOT_USER: devadmin
  MINIO_ROOT_PASSWORD: devsecret123

4.2.2 配置文件方式（适合版本管理）

创建 config.env 文件，内容如下：

MINIO_ROOT_USER=devadmin
MINIO_ROOT_PASSWORD=devsecret123

在 docker-compose.yml 中引用：

env_file:
  - ./config.env

4.2.3 凭证变更与重置

若需要修改凭证，必须删除已持久化的配置卷：

# 停止并删除容器
docker compose down

# 删除配置卷（注意：这会清除所有配置，包括 TLS 证书）
docker volume rm dev_minio-config

# 重新启动
docker compose up -d

4.3 TLS 证书配置：传输层加密

Development 环境虽然不涉及真实数据，但启用 TLS 可以提前暴露证书配置问题，避免上线后手忙脚乱。MinIO 支持 自签名证书 和 Let's Encrypt 证书，Development 环境推荐使用自签名证书。

4.3.1 生成自签名证书

使用 OpenSSL 生成 CA 和服务器证书：

# 1. 生成 CA 私钥和证书
openssl req -x509 -newkey rsa:4096 -keyout ca-key.pem -out ca.pem \
  -days 365 -nodes -subj "/CN=MinIO Dev CA"

# 2. 生成服务器私钥和 CSR
openssl req -newkey rsa:4096 -keyout server-key.pem -out server.csr \
  -nodes -subj "/CN=minio.local"

# 3. 使用 CA 签发服务器证书
openssl x509 -req -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -days 365

4.3.2 证书挂载与配置

将证书文件放入 ./certs/ 目录，并在 docker-compose.yml 中挂载：

volumes:
  - ./certs:/root/.minio/certs:ro
  - minio-data:/data
  - minio-config:/root/.minio

environment:
  MINIO_ROOT_USER: devadmin
  MINIO_ROOT_PASSWORD: devsecret123
  MINIO_SERVER_URL: "https://minio.local:9000"

MinIO 会自动检测 /root/.minio/certs/ 目录下的 server-cert.pem 和 server-key.pem，并启用 HTTPS。

4.3.3 验证 TLS 配置

# 使用 curl 验证（忽略自签名证书警告）
curl -k https://localhost:9000/minio/health/live

# 使用 mc 客户端配置（需指定 CA 证书）
mc alias set dev https://minio.local:9000 devadmin devsecret123 \
  --api S3v4 --insecure

4.4 整体配置架构图

下图展示了 MinIO 持久化与配置的完整架构，包括数据卷、凭证、TLS 证书三者的关系与挂载路径：

4.5 配置清单与验证步骤

完成上述配置后，按以下清单逐项验证：