Установка Minio на Debian 11

Minio — популярный опен‑сорс S3‑совместимый сервер объектного хранения, написанный на Go. Он удобен, когда нужно собственное S3‑совместимое хранилище: для фотографий, видео, логов, резервных копий и образов контейнеров/VM. Поддерживает CLI, веб‑интерфейс и AMQP; подходит для масштабируемых развёртываний с репликацией.

Необходимые условия

• Сервер с Debian 11.
• Настроен root‑доступ или пользователь с sudo.

Установка Minio

Скачайте последний бинарник Minio:

wget https://dl.min.io/server/minio/release/linux-amd64/minio

Сделайте бинарный файл исполняемым и переместите в системный PATH:

chmod +x minio
mv minio /usr/local/bin/

Создайте выделённого системного пользователя для запуска Minio:

useradd -r minio -s /sbin/nologin

Смените владельца бинарного файла на пользователя minio:

chown minio:minio /usr/local/bin/minio

Проверьте версию установленного Minio:

minio --version

Ожидаемый вывод (пример):

minio version RELEASE.2022-02-26T02-54-46Z

Подготовка раздела для хранения Minio

Minio лучше хранить на отдельном диске или разделе. Сначала просмотрите подключённые диски:

fdisk -l

Пример вывода показывает /dev/sda и /dev/sdb. Дальше создайте GPT‑разметку и первичный раздел на /dev/sdb:

parted -s -a optimal -- /dev/sdb mklabel gpt
parted -s -a optimal -- /dev/sdb mkpart primary 0% 100%
parted -s -- /dev/sdb align-check optimal 1

Отформатируйте раздел в ext4:

mkfs.ext4 /dev/sdb1

Пример вывода mkfs (содержимое останется таким, как у вас):

mke2fs 1.46.2 (28-Feb-2021)
... (вывод опущен)

Создайте точку монтирования и добавьте запись в /etc/fstab:

mkdir /mnt/minio
nano /etc/fstab

Добавьте строку (точно так же, с помощью nano):

/dev/sdb1 /mnt/minio ext4 rw 0 0

Смонтируйте все из fstab и проверьте:

mount -a
df -h

Пример ожидаемого вывода:

/dev/sdb1        49G   24K   47G   1% /mnt/minio

Смените владельца точки монтирования на minio:

chown minio:minio /mnt/minio

Важно: убедитесь, что диск надёжно подключён и монтируется после перезагрузки. Если у вас LVM, RAID или сеть (iSCSI/NFS), адаптируйте шаги соответственно.

Конфигурация Minio и systemd

Создайте каталог конфигурации и назначьте владельца:

mkdir /etc/minio
chown minio:minio /etc/minio

Создайте файл переменных окружения для сервиса:

nano /etc/default/minio

Пример содержимого (замените ключи на надёжные):

MINIO_ACCESS_KEY="minioaccesskey"
MINIO_VOLUMES="/mnt/minio"
MINIO_OPTS="-C /etc/minio --address 0.0.0.0:9000"
MINIO_SECRET_KEY="miniosecretkey"

Примечание: новые версии Minio рекомендуют переменные MINIO_ROOT_USER и MINIO_ROOT_PASSWORD вместо MINIO_ACCESS_KEY и MINIO_SECRET_KEY; проверьте предупреждения при старте и используйте актуальные имена переменных.

Скачайте unit‑файл systemd:

wget https://raw.githubusercontent.com/minio/minio-service/master/linux-systemd/minio.service

Отредактируйте minio.service так, как показано ниже или как требуется в вашей среде:

[Unit]
Description=MinIO
Documentation=https://docs.min.io
Wants=network-online.target
After=network-online.target
AssertFileIsExecutable=/usr/local/bin/minio

[Service]
WorkingDirectory=/usr/local/

User=minio
Group=minio
ProtectProc=invisible

EnvironmentFile=/etc/default/minio
ExecStartPre=/bin/bash -c "if [ -z \"${MINIO_VOLUMES}\" ]; then echo \"Variable MINIO_VOLUMES not set in /etc/default/minio\"; exit 1; fi"
ExecStart=/usr/local/bin/minio server $MINIO_OPTS $MINIO_VOLUMES

Restart=always
LimitNOFILE=1048576
TasksMax=infinity
TimeoutStopSec=infinity
SendSIGKILL=no

[Install]
WantedBy=multi-user.target

Переместите unit в systemd и запустите сервис:

mv minio.service /etc/systemd/system/
systemctl daemon-reload
systemctl start minio
systemctl enable minio
systemctl status minio

Пример вывода статуса показывает, что Minio активен и слушает API на порту 9000. Обратите внимание на предупреждение о deprecated ключах и динамическом порте консоли — при необходимости фиксируйте порт через –console-address.

Доступ к панели Minio

Откройте браузер и перейдите на http://:9000. Введите ключ доступа и секретный ключ (или MINIO_ROOT_USER и MINIO_ROOT_PASSWORD) в форму входа.

После входа вы попадёте в дашборд, где можно создавать бакеты, загружать файлы и смотреть метрики.

Кнопка создания бакета и диалог создания:

После создания бакета можно загружать файлы через веб‑интерфейс или использовать mc/SDK.

Проверка метрик и логов через UI:

Безопасность и эксплуатация

Важно: Minio часто размещают в DMZ или за reverse proxy. Рекомендации по безопасности:

• Используйте MINIO_ROOT_USER и MINIO_ROOT_PASSWORD и задавайте длинные случайные пароли.
• Настройте TLS (например, через nginx/traefik или напрямую с сертификатом в Minio) и запретите HTTP в production.
• Изолируйте сеть: откройте порты только для нужных хостов (9000, консольный порт если нужен).
• Регулярно обновляйте Minio до актуальных патчей безопасности.
• Разверните мониторинг и алерты (Prometheus экспортер поддерживается Minio).
• Резервное копирование конфигурации и политики IAM.

Короткая инструкция по TLS через nginx (пример):

• Настройте nginx как reverse proxy со SSL (Let’s Encrypt).
• Проксируйте / и /console на соответствующие порты Minio.
• Включите опцию proxy_set_header X-Forwarded-Proto https.

Чек‑лист по ролям

Оператор:

• Проверить, что /mnt/minio монтируется после перезагрузки.
• Убедиться, что unit systemd настроен и включён.
• Настроить мониторинг и ротацию логов.

Инженер безопасности:

• Заменить устаревшие переменные доступа на MINIO_ROOT_USER/PASSWORD.
• Внедрить TLS и firewall.
• Проверить права доступа к файловой системе.

Разработчик/DevOps:

• Настроить mc или SDK и протестировать CRUD операции.
• Написать тесты резервного копирования и восстановления.
• Настроить политику бакетов и учетные записи сервисов.

Мини‑методология развёртывания

1. Подготовить и протестировать диск/RAID/LVM.
2. Установить бинарник и создать сервисную учётную запись.
3. Настроить systemd‑unit и переменные окружения.
4. Запустить в staging, проверить API и UI.
5. Включить TLS, мониторинг и бэкапы.
6. Перевести в production и документировать SOP.

Альтернативные подходы

• Использовать официальный Docker‑образ Minio вместо прямой установки бинарника.
• Если нужна распределённая система — развернуть Minio в режиме distributed на нескольких узлах.
• Если требуется интеграция с облаком — подключать бэкенды (например, S3, GCS) через gateway‑режим Minio.

Быстрый справочник и факты

• Порт API по умолчанию: 9000.
• Переменные окружения: MINIO_ROOT_USER, MINIO_ROOT_PASSWORD.
• Рекомендуемая настройка LimitNOFILE для production: >= 1 048 576.
• TLS и мониторинг обязательны для production.

Глоссарий — 1 строка

• Бакет: логическая коллекция объектов, аналог “папки” в S3.
• mc: официальный клиент Minio (MinIO Client).
• Console: веб‑интерфейс управления Minio.

Критерии приёмки

• Сервис systemd стартует и остаётся активным после рестартов.
• API отвечает на запросы на порту 9000 и проходит простое CRUD‑тестирование.
• Бэкап и восстановление данных проверены на тестовом бакете.
• TLS настроен и браузер не показывает предупреждений о сертификате.

Заключение

Поздравляем — Minio установлен на Debian 11 и готов к использованию. Вы получили локальное S3‑совместимое хранилище, которое можно интегрировать с приложениями, CI/CD и резервным копированием. Если нужно, могу прислать примеры конфигурации nginx, Docker‑композицию или playbook для Ansible.

Резюме:

• Установили бинарник и пользователя minio.
• Подготовили диск и прописали /etc/fstab.
• Создали systemd‑unit и запустили сервис.
• Добавили рекомендации по безопасности и чек‑листы.