Minio如何强制用户首次登录时修改密码？

MinIO 本身没有原生提供「首次登录强制修改密码」的内置策略，但可以通过自定义业务流程+MinIO Admin API/命令实现该需求，具体操作步骤如下：

1. 为新用户添加「首次登录」标记 #

创建用户时，通过用户备注或自定义元数据标记该用户为首次登录状态：

# 使用mc命令创建用户，通过--comment添加首次登录标记
mc admin user add <你的MinIO别名> <用户名> --comment 'first_login=true'

2. 登录时校验标记并拦截操作 #

在你的应用对接逻辑中，完成用户登录验证后：

• 调用MinIO Admin API或mc admin user info命令获取用户信息，检查标记：

  mc admin user info <你的MinIO别名> <用户名>
  

• 如果返回的用户备注中first_login=true，则限制用户仅能进入密码修改页面，禁止执行其他MinIO操作（如桶的读写、资源访问等）。

3. 修改密码后更新标记 #

用户完成密码修改操作后（使用mc admin user update或Admin API更新密码），同步更新用户的标记状态，解除限制：

# 更新用户备注，标记为已完成首次密码修改
mc admin user update <你的MinIO别名> <用户名> --comment 'first_login=false'

4. 可选：临时限制用户权限（强化流程） #

为首次登录用户分配仅允许修改自身密码的临时策略，确保用户在完成密码修改前无法进行其他操作：

1. 创建临时策略文件temp-password-policy.json：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["admin:UpdateUser"],
         "Resource": ["arn:aws:iam:::user/<用户名>"]
       }
     ]
   }
   

2. 加载并分配该策略给用户：

   mc admin policy add <你的MinIO别名> temp-password-policy temp-password-policy.json
   mc admin policy attach <你的MinIO别名> temp-password-policy --user <用户名>
   

3. 用户完成密码修改后，替换为该用户的正式权限策略即可。

内容的提问来源于stack exchange，提问作者yzhi