搭建 MinIO 对象存储

适用场景

需要 S3 兼容的对象存储，用于备份、日志、模型文件、Loki/Thanos/Velero 后端。MinIO 部署简单，支持分布式纠删码和多租户。

前置条件

• 至少 4 块独立磁盘（分布式模式）。
• 域名和 TLS 证书。
• 明确 bucket、用户和生命周期策略。
• 备份和监控方案。

步骤

1. 使用 Helm 安装分布式 MinIO：

helm repo add minio https://charts.min.io/
helm install minio minio/minio \
  --namespace minio --create-namespace \
  --set mode=distributed \
  --set replicas=4 \
  --set persistence.size=100Gi \
  --set rootUser=admin \
  --set rootPassword='***'
kubectl -n minio get pods

2. 使用 mc 连接：

mc alias set local http://minio:9000 admin '***'
mc admin info local

3. 创建 bucket 和用户：

mc mb local/backups
mc admin user add local app '***'
mc admin policy attach local readwrite --user app

4. 配置生命周期：

mc ilm rule add local/backups --expire-days 30
mc ilm rule ls local/backups

5. 配置 TLS：

kubectl -n minio create secret tls minio-tls \
  --cert=public.crt --key=private.key

6. 开启版本控制：

mc version enable local/backups

验证

• 所有 MinIO Pod 就绪，集群状态健康。
• mc admin info 显示磁盘和节点正常。
• 上传下载对象成功。
• 生命周期规则生效。
• TLS 证书有效。

回滚

• 升级前备份配置和 IAM。
• 保留旧版本镜像和 values。
• 对象数据不要立即删除，确认新集群稳定后再清理。
• 分布式模式缩容要按 MinIO 的退役流程操作。

常见坑

• 使用单机模式承载生产数据，节点故障后数据丢失。
• 磁盘数量或容量不一致，纠删码利用率低。
• root 凭据泄露，整个对象存储可被控制。
• bucket 没有版本控制和生命周期，误删无法恢复。
• TLS 证书链不完整，客户端校验失败。
• 反向代理超时或请求体限制太小，大文件上传失败。
• 磁盘满后写入失败，没有容量告警。
• 升级跨多个版本，元数据不兼容。

相关命令

• mc — bucket、用户、策略和生命周期
• kubectl — 查看 MinIO 集群
• helm — 安装和升级
• openssl — 证书检查