MinIO S3 VPS: Object Storage Tự Host Tại Iceland

AWS S3, Cloudflare R2 và Backblaze B2 đều rẻ nhưng có hạn chế lớn về privacy. Nhà cung cấp có quyền scan object, suspend account khi nghi vi phạm và buộc phải tuân thủ yêu cầu pháp lý từ Mỹ. Bên cạnh đó, egress fee có thể vượt 90 USD mỗi TB ở AWS - bất ngờ đắt khi bạn cần download lại dữ liệu.

MinIO tự host trên VPS offshore Iceland của AnubizHost loại bỏ cả ba vấn đề. Bạn có API S3 chạy trên hạ tầng do mình kiểm soát, băng thông không giới hạn không tính egress fee và object nằm trong jurisdiction privacy-friendly. Code ứng dụng chỉ cần thay endpoint S3 - dùng SDK chuẩn boto3, aws-sdk hay rclone vẫn hoạt động bình thường.

VPS Pro 8GB RAM với 200GB SSD NVMe của AnubizHost là khởi đầu tuyệt vời cho dự án nhỏ. Khi cần mở rộng, deploy 4 VPS Standard tạo distributed MinIO với erasure code 2+2 - dữ liệu sống sót khi mất 2/4 VPS. Thanh toán Bitcoin hoặc Monero tách biệt hoàn toàn danh tính khỏi storage infrastructure.

Cài MinIO binary mới nhất trên VPS từ AnubizHost:

wget https://dl.min.io/server/minio/release/linux-amd64/minio
chmod +x minio
mv minio /usr/local/bin/
useradd -r minio-user -s /sbin/nologin
mkdir -p /mnt/data /etc/minio
chown minio-user:minio-user /mnt/data

Tạo file env /etc/default/minio:

MINIO_VOLUMES="/mnt/data"
MINIO_OPTS="--console-address :9001"
MINIO_ROOT_USER=admin
MINIO_ROOT_PASSWORD=StrongPassword2026Long

Tạo systemd service /etc/systemd/system/minio.service, enable và start. MinIO chạy ở cổng 9000 (S3 API) và 9001 (web console).

Distributed mode với 4 node yêu cầu file system identical trên mỗi node. Mỗi VPS chạy lệnh với endpoint của cả 4 node:

minio server http://node{1...4}.example.com/mnt/data --console-address :9001

Erasure code mặc định cho phép mất 2/4 node mà dữ liệu vẫn nguyên vẹn. Đặt Nginx hoặc Traefik phía trước với HTTPS để bảo vệ traffic. Tuyệt đối không expose console port 9001 ra Internet công khai, dùng SSH tunnel để admin.

Bucket policy MinIO tương thích chuẩn S3, viết bằng JSON. Tạo policy giới hạn user app-1 chỉ được read/write trong bucket app-1-data, không được delete và không được liệt kê bucket khác:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::app-1-data/*"
    }
  ]
}

Áp dụng qua mc admin policy create rồi attach vào user. Cách này theo least-privilege principle, ngăn cascade damage khi credential bị lộ.

Replication giúp duplicate object sang MinIO thứ hai - cấu hình bucket replication với target là VPS AnubizHost ở vị trí khác. Mọi PUT object được nhân bản trong vài giây, cung cấp DR cross-site cho dữ liệu critical.

Server-side encryption (SSE-S3 hoặc SSE-KMS) mã hóa object ở rest. Với SSE-KMS, key được quản lý bởi Vault tự host (xem bài Vault VPS) - không một entity nào có thể giải mã object mà không qua Vault. Audit log MinIO ghi mọi API call qua webhook về Loki hoặc Elasticsearch, cung cấp evidence trail đầy đủ cho compliance và forensic khi cần.