minio/kes

sh
brew install minio/stable/kes

通过以下命令拉取最新版本：

docker pull minio/kes

你也可以使用 https://jedisct1.github.io/minisign/ 验证二进制文件，方法是下载对应的 https://github.com/minio/kes/releases/latest 签名文件，然后运行：

minisign -Vm kes-<操作系统>-<架构> -P RWTx5Zr1tiHQLwG9keckT0c45M3AGeHD6IvimQHpyRywVWGbP1aVSGav

通过 Go 工具链下载并安装二进制文件：

sh
go install github.com/minio/kes/cmd/kes@latest

1. 配置 CLI

将 KES CLI 指向 https://play.min.io:7373 的 KES 服务器，并使用以下 API 密钥：

sh
export KES_SERVER=https://play.min.io:7373
export KES_API_KEY=kes:v1:AD9E7FSYWrMD+VjhI6q545cYT9YOyFxZb7UnjEepYDRc

2. 创建密钥

接下来，创建一个新的根加密密钥（例如 my-key）：

kes key create my-key

注意：如果密钥已存在，创建操作将失败并显示 key already exist。

3. 生成 DEK

现在，你可以使用该密钥派生新的数据加密密钥（DEK）：

sh
kes key dek my-key

DEK 的明文部分将被应用程序用于加密数据，密文部分将与加密数据一起存储，以便将来解密。

如需快速启动设置，请查看我们的 https://github.com/minio/kes/wiki/Filesystem-Keystore%E3%80%82%E6%9B%B4%E5%A4%9A%E5%8F%82%E8%80%83%E8%AF%B7%E6%9F%A5%E7%9C%8B%E6%88%91%E4%BB%AC%E7%9A%84%E5%AF%86%E9%92%A5%E5%BA%93 https://github.com/minio/kes/wiki#guides%E3%80%82

1. 获取管理员凭证

首先，你需要下载私钥和证书，以管理员身份认证到 KES 服务器：

sh
curl -sSL --tlsv1.2 \
   -O 'https://raw.githubusercontent.com/minio/kes/master/root.key' \
   -O 'https://raw.githubusercontent.com/minio/kes/master/root.cert'

2. 创建密钥

接下来，创建一个新的根加密密钥（例如 my-key）：

sh
curl -sSL --tlsv1.3 \
    --key root.key \
    --cert root.cert \
    -X POST 'https://play.min.io:7373/v1/key/create/my-key'

注意：如果密钥已存在，创建操作将失败并显示 key already exist。

3. 生成 DEK

现在，你可以使用该密钥派生新的数据加密密钥（DEK）：

sh
curl -sSL --tlsv1.3 \
    --key root.key \
    --cert root.cert \
    --data '{}' \
    -X POST 'https://play.min.io:7373/v1/key/generate/my-key'

DEK 的明文部分将被应用程序用于加密数据，密文部分将与加密数据一起存储，以便将来解密。

4. 更多参考

完整的 REST API 端点列表请参考 KES https://github.com/minio/kes/wiki/Server-API%E3%80%82

这意味着你使用的 KES 身份无权执行特定操作（如创建或列出密钥）。

KES https://github.com/minio/kes/blob/6452cdc079dfae54e4a46102cb4622c80b99776f/server-config.yaml#L8 可以执行任何通用 API 操作。使用管理员身份执行通用 API 操作时，不应出现 not authorized: insufficient permissions 错误。

除管理员身份外，KES 支持基于策略的访问控制模型。以下两种情况会导致 not authorized: insufficient permissions 错误：

1. 使用未分配任何策略的 KES 身份：KES 拒绝未知身份发出的请求。

   解决方法是为该身份分配策略，参考 https://github.com/minio/kes/blob/6452cdc079dfae54e4a46102cb4622c80b99776f/server-config.yaml#L79-L88%E3%80%82

2. 使用已分配策略但策略不允许甚至拒绝 API 调用的 KES 身份：

   这种情况下，需在分配给该身份的策略中授予 API 权限。参考 https://github.com/minio/kes/wiki/Server-API#api-overview%E3%80%82%E4%BE%8B%E5%A6%82%EF%BC%8C%E5%88%9B%E5%BB%BA%E5%AF%86%E9%92%A5%E6%97%B6%E5%BA%94%E5%85%81%E8%AE%B8 /v1/key/create/<key-name>，其中 <key-name> 可以是特定密钥名（如 my-key-1）或允许任意密钥名的模式（如 my-key*）。

   注意：拒绝规则优先于允许规则。因此，需确保任何拒绝模式不会意外匹配你的 API 请求。