EKS反向代理部署的MinIO升级后出现Signature Mismatch签名不匹配问题

这个问题是MinIO RELEASE.2021-11-03T03-36-36Z 版本开始强化AWS V4签名校验逻辑导致的。S3签名计算强依赖请求的Host头、访问协议、端口信息，反向代理的Header传递不当、MinIO公开访问地址配置和实际暴露地址不一致，都会直接导致服务端计算的签名和客户端提交的签名不匹配。

• 首先验证MinIO本身服务是否正常：你已经做了端口转发到本地9001控制台端口，登录失败是因为控制台的API请求默认会读取MINIO_SERVER_URL配置的地址。你可以先转发MinIO的9000 API端口，用mc配置本地直连地址：mc alias set local http://localhost:9000 <你的AccessKey> <你的SecretKey>，如果能正常列出存储桶，说明MinIO本身服务无异常，问题100%出在反向代理配置或者MinIO公开地址配置上。
• 检查Nginx反向代理的Header配置：确认你的Nginx配置没有错误修改Host头，且正确传递了客户端请求的原始Host、协议、端口信息。
• 检查MinIO启动参数：确认MinIO容器的启动参数里是否配置了MINIO_SERVER_URL和MINIO_BROWSER_REDIRECT_URL，这两个参数从该版本开始会直接参与签名计算，如果和反向代理暴露的访问地址不一致就会出现签名错误。

1. 修正Nginx反向代理配置 #

确保你的Nginx对应Location块里包含以下Header传递规则，不要修改或覆盖原始Host头：

location / {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_pass http://<你的MinIO服务集群地址>:9000;
}

注意不要使用proxy_set_header Host $host，必须用$http_host保留原始请求的端口信息，否则会导致签名计算出错。

2. 配置MinIO对应的环境变量 #

在EKS的MinIO Deployment中添加以下两个环境变量，值替换为你反向代理暴露给外部的实际访问地址：

env:
- name: MINIO_SERVER_URL
  value: "http://<你的反向代理域名>:<端口>" # 如果是HTTPS访问则修改协议为https
- name: MINIO_BROWSER_REDIRECT_URL
  value: "http://<你的反向代理域名>:<端口>/minio/ui"

配置完成后重启MinIO Pod生效。

3. 验证修复结果 #

重新配置mc的反向代理访问别名：
mc alias set prod <你的反向代理访问地址> <AccessKey> <SecretKey>
执行mc ls prod验证是否可以正常列出存储桶，同时访问控制台地址验证登录是否正常。

内容的提问来源于stack exchange，提问作者Naman Rawal