Posted inFedora

Cài MinIO trên Fedora: Tự xây S3 Storage ‘ngon bổ rẻ’ và trị dứt điểm SELinux

Fedora tutorial - IT technology blog
Fedora tutorial - IT technology blog

Vấn đề thực tế: Khi S3 của AWS làm rỗng ví của bạn

2 giờ sáng, mình ngồi nhìn bảng dashboard chi phí AWS và thở dài. Một dự án staging nhỏ mà hóa đơn S3 cứ nhảy số liên tục. Chỉ riêng tiền lưu trữ và phí GET/PUT cho mớ ảnh demo đã tiêu tốn gần 50$ mỗi tháng. Bạn cần một giải pháp lưu trữ Object Storage tương thích hoàn toàn với S3 API để không phải sửa code, nhưng phải chạy trên hạ tầng riêng để tiết kiệm.

Mình chọn dựng MinIO trên Fedora Server. Tuy nhiên, thực tế thường khắc nghiệt hơn lý thuyết. Cài xong service không chạy, hoặc chạy được lại bị lỗi ‘Permission Denied’ dù đã chmod 777. Nếu bạn đang loay hoay với SELinux hay Firewalld trên Fedora, đây là giải pháp dành cho bạn.

Tại sao MinIO thường ‘ngỏm’ trên Fedora?

Fedora là một distro tuyệt vời nhưng cực kỳ nghiêm ngặt về bảo mật. Có 3 rào cản chính khiến việc cài đặt MinIO thất bại:

  • SELinux: Chế độ Enforcing mặc định sẽ chặn đứng MinIO khi nó cố ghi dữ liệu vào các folder lạ.
  • Firewalld: Fedora mặc định khóa chặt mọi port. Không mở port 9000 và 9001 thì coi như ‘đắp chiếu’.
  • Phân quyền Systemd: Chạy MinIO bằng root là tự sát về bảo mật. Nhưng cấu hình user riêng lại rất dễ dính lỗi filesystem.

Lựa chọn cài đặt: Docker hay Binary?

Nhiều người sẽ khuyên dùng Docker cho nhanh. Nhưng nếu bạn muốn tận dụng tối đa hiệu năng bare-metal và quản lý tài nguyên trực tiếp qua systemd, cài đặt Binary là lựa chọn bền vững hơn hẳn.

Hướng dẫn cài đặt MinIO và Hardening trên Fedora

Bước 1: Chuẩn bị hệ thống

Luôn bắt đầu bằng việc cập nhật hệ thống để tránh xung đột thư viện.

sudo dnf update -y
sudo dnf install wget policycoreutils-python-utils -y

Bước 2: Tải và cài đặt MinIO Binary

Thay vì dùng bản cũ trong repo, hãy lấy bản mới nhất để có đầy đủ tính năng bảo mật.

wget https://dl.min.io/server/minio/release/linux-amd64/minio
sudo chmod +x minio
sudo mv minio /usr/local/bin/

Bước 3: Tạo User và cấu hình phân quyền

Chúng ta sẽ tạo một user hệ thống không có quyền login để cô lập ứng dụng.

sudo groupadd -r minio-user
sudo useradd -M -r -g minio-user minio-user

# Tạo thư mục dữ liệu
sudo mkdir -p /mnt/minio_data
sudo chown minio-user:minio-user /mnt/minio_data

Bước 4: Trị dứt điểm SELinux

Đây là phần quan trọng nhất. Thay vì tắt SELinux (vốn rất nguy hiểm), hãy dạy cho Fedora biết MinIO là ứng dụng an toàn. Chúng ta cần gán nhãn (label) đúng cho file thực thi và thư mục data.

# Gán nhãn cho binary và data
sudo semanage fcontext -a -t bin_t "/usr/local/bin/minio"
sudo semanage fcontext -a -t var_lib_t "/mnt/minio_data(/.*)?"
sudo restorecon -Rv /usr/local/bin/minio
sudo restorecon -Rv /mnt/minio_data

Lệnh restorecon sẽ áp dụng các nhãn bảo mật vừa khai báo. Nếu thiếu bước này, MinIO sẽ báo lỗi ‘Access Denied’ ngay khi khởi động.

Bước 5: Cấu hình môi trường

Tạo file /etc/default/minio. Đây là nơi chứa thông tin đăng nhập và đường dẫn lưu trữ.

MINIO_VOLUMES="/mnt/minio_data"
MINIO_OPTS="--address :9000 --console-address :9001"
MINIO_ROOT_USER="admin_minio"
MINIO_ROOT_PASSWORD="ThayBangMatKhauManh123"

Bước 6: Thiết lập Systemd Service

Tạo file /etc/systemd/system/minio.service để quản lý service dễ dàng hơn.

[Unit]
Description=MinIO
After=network-online.target

[Service]
User=minio-user
Group=minio-user
EnvironmentFile=/etc/default/minio
ExecStart=/usr/local/bin/minio server $MINIO_OPTS $MINIO_VOLUMES
Restart=always
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

Bước 7: Mở cửa Firewalld

Nếu không thực hiện bước này, bạn sẽ bị lỗi ‘Connection Timed Out’ khi truy cập từ trình duyệt.

sudo firewall-cmd --permanent --add-port=9000/tcp
sudo firewall-cmd --permanent --add-port=9001/tcp
sudo firewall-cmd --reload

Bước 8: Khởi động hệ thống

Kích hoạt MinIO lần đầu tiên:

sudo systemctl daemon-reload
sudo systemctl enable --now minio

Hãy kiểm tra lại bằng lệnh sudo systemctl status minio. Nếu thấy màu xanh active (running), bạn đã thành công!

Kinh nghiệm thực tế khi vận hành

Sau khi chạy MinIO cho hệ thống xử lý 500GB dữ liệu mỗi tháng, mình có vài lưu ý nhỏ:

  1. Btrfs và CoW: Fedora dùng Btrfs làm mặc định. Tính năng Copy-on-Write (CoW) có thể làm chậm tốc độ ghi của database MinIO. Hãy tắt nó cho thư mục data bằng lệnh: sudo chattr +C /mnt/minio_data.
  2. Log: Khi có lỗi, đừng đoán mò. Hãy dùng journalctl -u minio -f để xem log thời gian thực.
  3. SSL: Đừng mở port 9001 ra internet mà không có HTTPS. Cách tốt nhất là dùng Nginx làm Reverse Proxy để gánh phần SSL.

Tự xây dựng S3-compatible không chỉ giúp bạn làm chủ dữ liệu mà còn tiết kiệm hàng triệu đồng tiền cloud mỗi năm. Chúc các bạn cấu hình thành công!

Share:
Tags: