Kubernetes 1.12部署MinIO后，Nginx-Ingress下AWS CLI调用失败

我之前在K8s环境部署MinIO时也碰到过一模一样的签名不匹配问题，核心原因是MinIO的签名验证依赖请求的Host头，而Ingress的配置导致CLI计算签名用的Host和MinIO收到的Host不一致，结合你的情况，给你几个具体的解决步骤：

1. 修正MinIO的Server URL配置 #

MinIO需要明确知道对外的访问端点，这样它才能用正确的Host来验证签名。在你的MinIO Deployment中添加环境变量MINIO_SERVER_URL，值设置为你的对外端点：

env:
  - name: MINIO_SERVER_URL
    value: "https://my-endpoint-url.com"

这个配置会让MinIO把对外的URL作为签名验证的Host基准，避免内部Service名称（比如minio:9000）和外部端点不匹配的问题。

2. 调整Nginx Ingress的Host头传递配置 #

你之前尝试的两个配置方向有误：如果强制设置Host: minio:9000，AWS CLI用my-endpoint-url.com计算的签名，和MinIO收到的minio:9000 Host验证的签名肯定不匹配。正确的做法是原封不动地传递客户端的Host头，同时补充必要的转发头：

在你的Ingress资源的annotations中添加以下配置：

annotations:
  nginx.ingress.kubernetes.io/configuration-snippet: |
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  nginx.ingress.kubernetes.io/proxy-body-size: "0" # 可选，大文件上传场景需要

• proxy_set_header Host $http_host：确保MinIO收到的Host和AWS CLI请求的Host完全一致
• X-Forwarded-Proto：传递客户端的协议（http/https），MinIO需要这个来生成正确的预签名URL

3. 确认Ingress的路径配置 #

MinIO的API是基于根路径的，确保你的Ingress规则的路径配置正确，不要用子路径（除非你特别配置了MinIO的路径前缀）：

spec:
  rules:
  - host: my-endpoint-url.com
    http:
      paths:
      - path: /
        pathType: Prefix # 或者Exact，根据K8s版本调整
        backend:
          service:
            name: minio-service
            port:
              number: 9000

4. 快速验证AWS CLI配置 #

虽然端口转发正常，但还是快速确认一下你的AWS CLI profile配置：

• ~/.aws/credentials中的access key和secret是否和MinIO的配置一致
• ~/.aws/config中是否正确设置了endpoint-url（或者你已经通过命令行参数传递了）

测试验证 #

完成上述配置后，重启MinIO Deployment并重新应用Ingress资源，然后再次运行命令：

aws s3 ls --endpoint-url https://my-endpoint-url.com --profile=minio

应该就能正常列出存储桶了。

内容的提问来源于stack exchange，提问作者David H.