MinIO in der Produktion: S3-kompatibler Object Storage mit automatisiertem Backup

SeaweedFS end to end: master/volume/filer architecture, logical volumes, replication, the S3 gateway, K8up backups, mirroring, and the TLS saga.

Warum MinIO

MinIO hat sich zum De-facto-Standard für selbstgehosteten, S3-kompatiblen Speicher entwickelt. Es bietet einen Drop-in-Ersatz für AWS S3, der überall läuft – auf Laptops, Bare Metal oder Kubernetes – und dabei dieselben API-Semantiken verwendet.

Die zentrale architektonische Entscheidung: MinIO ersetzt den lokalen Dateisystem-Speicher durch eine S3-API. Dadurch werden Ihre Anwendungsdaten von dem Server entkoppelt, auf dem die Anwendung läuft. Backups, Replikation und Disaster Recovery werden so zu S3-nativen Operationen anstatt zu Dateisystem-Skripten.

Architektur

S3 API Kompatibilität

MinIO implementiert dieselbe S3-API, die auch AWS S3 verwendet. Jedes Tool, das S3 spricht, funktioniert auch mit MinIO:

import boto3

client = boto3.client(
    "s3",
    endpoint_url="http://minio:9000",
    aws_access_key_id="minioadmin",
    aws_secret_access_key="<password>",
)
client.create_bucket(Bucket="data")
client.upload_file("backup.sql", "data", "backups/daily.sql")

Diese Kompatibilität erstreckt sich auf alle von MinIO unterstützten S3-Features:

• Presigned URLs (temporärer Zugriff ohne Anmeldedaten)
• Multipart-Uploads (Unterstützung für große Dateien)
• Bucket-Policies und IAM-ähnliche Zugriffskontrolle
• Object Locking und Retention
• Event-Benachrichtigungen (via Bucket-Webhooks oder AMQP)

Was MinIO NICHT unterstützt (im Vergleich zu AWS S3):

• S3 Select (serverseitige Filterung)
• S3 Object Lambda
• Glacier/Deep Archive Storage-Klassen
• Cross-Region-Replikation (nur Single-Region)

Für die meisten selbstgehosteten Workloads ist der unterstützte Funktionsumfang vollständig.

MinIO Konfigurationsentscheidungen

Root-Anmeldedaten

MinIO benötigt einen Root-Benutzer (Access Key + Secret Key). Im Gegensatz zu AWS IAM gibt es kein separates Root-Konto – die Anmeldedaten, die Sie in .env festlegen, fungieren als Superadmin:

MINIO_ROOT_USER=minioadmin
MINIO_ROOT_PASSWORD=a-strong-32-character-password

Wichtige Einschränkungen:

• Der Root-Benutzer kann nicht gelöscht oder deaktiviert werden
• Die Berechtigungen der Root-Anmeldedaten können nicht eingeschränkt werden
• Erstellen Sie separate Access Keys für Anwendungen über die Web-Konsole
• Rotieren Sie das Root-Passwort regelmäßig mithilfe von mc admin user info

Storage-Layout

MinIO bildet einen lokalen Dateisystempfad (/data) auf die S3-API ab. Jeder Bucket wird zu einem Unterverzeichnis:

/data/
├── .minio.sys/          # MinIO internal metadata
├── data/                # S3 bucket "data"
│   ├── uploads/
│   └── archives/
├── backups/             # S3 bucket "backups"
└── logs/                # S3 bucket "logs"

Diese flache Dateistruktur bedeutet, dass Sie MinIO-Daten direkt auf der Festplatte durchsuchen können (nur lesend – schreiben Sie niemals direkt in /data außerhalb von MinIO).

Erasure Coding (Multi-Disk)

Für Produktions-Deployments mit mehreren Festplatten bietet das Erasure Coding von MinIO eine RAID-ähnliche Resilienz ohne den RAID-Overhead:

# With 4 data + 2 parity drives, tolerate 2 drive failures
docker compose run --rm minio server /disk{1..6}

Erasure Coding verwendet die Reed-Solomon-Kodierung – Daten werden in N Daten-Shards und M Paritäts-Shards aufgeteilt. Der Speicher-Overhead beträgt M/N. Bei 4+2 liegt der Overhead bei 50 %, es werden jedoch zwei gleichzeitige Festplattenausfälle toleriert.

Nginx Proxy Konfiguration

Der Nginx-Proxy in diesem Stack erfüllt drei Zwecke:

1. Unterstützung für große Uploads

Die Standardkonfiguration von MinIO hat konservative Limits. Der Nginx-Proxy überschreibt diese für Anwendungen, die große Uploads benötigen:

client_max_body_size 5G;
client_body_buffer_size 10M;
proxy_request_buffering off;

Die Einstellung von proxy_request_buffering off ist entscheidend für Uploads über 1 GB – ohne diese Einstellung puffert Nginx den gesamten Request-Body auf die Festplatte, bevor er an MinIO gesendet wird, was dazu führt, dass Schreibvorgänge bei großen Uploads ins Stocken geraten.

2. Rate Limiting

Object Storage ist bandbreitenintensiv. Rate Limiting verhindert, dass ein einzelner Client die Netzwerkverbindung sättigt:

limit_req zone=minio_api burst=200 nodelay;

Die Burst-Größe von 200 erlaubt kurze Spitzen, während ein dauerhaftes Rate Limit von 100 Anfragen pro Sekunde erzwungen wird.

3. Connection Tuning

S3-API-Verbindungen können langlebig sein (insbesondere bei Multipart-Uploads):

proxy_connect_timeout 300;
proxy_send_timeout 300;
proxy_read_timeout 300;

Diese verhindern, dass Nginx inaktive S3-Verbindungen vorzeitig abbricht.

Backup-Strategie

Der backup-agent-Container implementiert eine mehrschichtige Backup-Strategie:

Ebene 1: Lokale Spiegelung (mc mirror)

mc mirror --overwrite --watch local/data remote/data

Das Flag --watch ermöglicht eine kontinuierliche Synchronisierung – geänderte Dateien werden sofort gespiegelt. Für geplante Backups (z. B. nächtlich) lassen Sie --watch weg und führen den Befehl über einen Cron-Zeitplan aus.

Ebene 2: Offsite-Backup (S3-zu-S3)

Konfigurieren Sie einen Remote-Endpunkt (Backblaze B2, AWS S3, Wasabi) und spiegeln Sie mc mirror alle Buckets auf das Remote-Ziel. Die Vorteile eines Object-to-Object-Backups gegenüber einem Backup auf Dateiebene:

• Kein Zwischenspeicher: Daten werden direkt von MinIO an das Backup-Ziel gestreamt
• Standardmäßig inkrementell: mc mirror überträgt nur geänderte Objekte
• Versionierung bleibt erhalten: Objekt-Metadaten und Versions-IDs werden beibehalten
• Keine Auswirkungen auf die lokale Festplatte: Der Backup-Agent läuft in einem separaten Container ohne lokale Speicheranforderungen

Ebene 3: Lifecycle-Policies

Lassen Sie alte Daten mithilfe von Bucket-Lifecycle-Regeln automatisch ablaufen:

{
  "Rules": [
    {
      "ID": "expire-old-backups",
      "Status": "Enabled",
      "Expiration": {
        "Days": 30
      }
    }
  ]
}

Dies geschieht auf MinIO-Ebene – es ist kein externer Cron-Job erforderlich.

Produktions-Checkliste

• Starke MINIO_ROOT_PASSWORD festlegen (24+ Zeichen, alphanumerisch + Symbole)
• HTTPS über den SSL Reverse Proxy Stack konfigurieren
• Erasure Coding für Multi-Disk-Resilienz aktivieren (verwenden Sie minio server /disk{1..N})
• Monitoring einrichten – MinIO stellt Prometheus-Metriken unter /minio/v2/metrics/cluster bereit
• Bucket-Versionierung zum Schutz vor versehentlichem Löschen konfigurieren
• MINIO_VERSION auf ein spezifisches Release fixieren, nicht auf :latest
• Backup-Restore testen – mc mirror remote/data local/data in umgekehrter Richtung
• mc admin heal wöchentlich per Cron einrichten, um degradierte Laufwerke zu erkennen
• Bucket-Zugriff einschränken – pro Anwendung Access Keys erstellen, Root-Account nicht teilen

Die wichtigsten Erkenntnisse

• MinIO ist ein Drop-in-S3-Ersatz – jedes S3 SDK oder CLI-Tool funktioniert ohne Modifikationen
• Der Nginx-Proxy ist essenziell – ohne ihn laufen große Uploads in einen Timeout und einzelne Clients können die Bandbreite sättigen
• Backups sollten S3-zu-S3 erfolgen – mc mirror ist für Object Storage zuverlässiger als Backups auf Dateisystemebene
• Erasure Coding ersetzt RAID – verwenden Sie 4+2 (4 Daten + 2 Parität) für die Resilienz in der Produktion
• Schreiben Sie niemals direkt in das Datenverzeichnis von MinIO – verwenden Sie immer die S3 API