MinIO控制台无需认证即可访问，除基本认证外还有何解决办法？

我已在服务器上部署MinIO，并配置了两个访问URL：

• minio.example.com - MinIO API
• minio-admin.example.com - MinIO Console（UI）

我已为存储桶设置策略（对/路径配置readonly policy），MinIO API URL的权限控制符合预期：访问minio.example.com/browser/my-bucket时，会收到如下预期的AccessDenied错误：

<Error>
<Code>AccessDenied</Code>
<Message>Access Denied.</Message>
<Key>test</Key>
<BucketName>browser</BucketName>
<Resource>/browser/my-bucket</Resource>
<RequestId>17E051413F91E8A2</RequestId>
<HostId>dd9025bab4ad464b049177c95eb6ebf374d3b3fd1af9251148b658df7ac2e3e8</HostId>
</Error>

但访问minio-admin.example.com/browser/my-bucket时，无需认证即可查看存储桶内的完整文件列表。请问除了为第二个URL设置基本认证外，还有其他实现该权限控制目标的方法吗？我可以在代理中配置基本认证，但并不偏好此方案，是否存在其他途径？

解决方案 #

方法1：确保MinIO Console强制启用认证 #

MinIO Console默认继承集群的认证体系，只要集群未禁用认证（默认状态），Console就会要求用户输入MinIO账号密码登录。如果你的Console能匿名访问，优先检查：

• 反向代理是否移除了Console的认证校验逻辑；
• 是否在MinIO启动时主动添加了--anonymous参数开启匿名访问（移除该参数即可恢复强制认证）。

方法2：通过MinIO Policy限制Console访问权限 #

你可以创建精细的Policy，限制用户（包括匿名用户）对Console管理接口的访问，或者限制其查看存储桶的权限：

1. 创建禁止Console访问的Policy（JSON格式）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": ["admin:*"],
      "Resource": ["arn:aws:s3:::*"]
    }
  ]
}

2. 将该Policy绑定到匿名用户（如果集群允许匿名访问）或特定用户，阻止其访问Console的管理接口。

方法3：调整反向代理配置，确保认证头正确传递 #

如果反向代理（如Nginx）转发Console请求时，未正确传递Authorization、X-MinIO-*等认证相关头，可能导致Console跳过认证。以Nginx为例，添加以下配置确保头信息完整传递：

server {
    server_name minio-admin.example.com;
    location / {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://your-minio-console-internal-address:9090;
    }
}

方法4：通过桶策略限制/browser路径访问 #

MinIO Console的/browser路径默认允许匿名预览（如果集群开启匿名访问），你可以针对目标存储桶添加Policy，拒绝匿名用户访问该路径：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": ["arn:aws:s3:::my-bucket/browser/*", "arn:aws:s3:::my-bucket"]
    }
  ]
}

内容的提问来源于stack exchange，提问作者Anton Kozyk