Object Storage - Gestion de l'immuabilité des objets avec Object Lock (WORM)

Objectif

Object Lock est une fonctionnalité qui vous permet de stocker des objets en utilisant un modèle WORM (Write Once, Read Many) et peut être utilisé dans des scénarios où il est impératif que les données ne soient pas modifiées ou supprimées après avoir été écrites.

Ce guide explique comment gérer l'Object Lock.

Concept

Object Lock fournit deux façons de gérer la rétention des objets. La première étant les périodes de rétention et la seconde le Legal hold.

Comment fonctionne Object Lock ?

Pour comprendre le fonctionnement de Object Lock, nous devons d'abord comprendre comment la suppression d'objets et le versioning fonctionnent ensemble. Lorsqu'une opération de suppression d'objet est effectuée sur un objet dans un bucket sur lequel le versioning est activé, elle ne supprime pas l'objet de manière permanente, mais crée un marqueur de suppression sur l'objet. Ce marqueur de suppression devient la version la plus récente et la version actuelle de l'objet avec un nouvel ID de version.

Un marqueur de suppression possède les propriétés suivantes :

• Une clé et un ID de version comme tout autre objet.
• Il n'a pas de données associées, donc il ne récupère rien d'une requête GET (vous obtenez une erreur 404).
• Par défaut, il n'est plus affiché dans l'espace client.
• La seule opération que vous pouvez utiliser sur un marqueur de suppression est DELETE, et seul le propriétaire du bucket peut effectuer une telle demande.

Pour supprimer définitivement un objet, vous devez spécifier l'ID de version dans votre demande de suppression d'objet :

aws s3api delete-object --bucket <bucket_name> --key <object_key> --version-id <version_id>

La fonction Object Lock empêche les objets, pendant une durée fixe (mode de rétention) ou indéfiniment (conservation légale), d'être :

• supprimés même si vous spécifiez le version ID (vous obtenez une erreur « Access Denied ») ;
• écrasés par le versioning.

Périodes de rétention

Une période de rétention définit une durée pendant laquelle un objet reste verrouillé. Pendant cette période, l’objet est protégé et ne peut ni être modifié ni supprimé. La rétention peut être définie en jours ou en années, avec un minimum d’un jour et sans limite maximale.

Lors de la définition d’une période de rétention pour un bucket ou ses objets, vous devez choisir le mode de rétention à appliquer : Governance ou Compliance.

Mode Governance

Le mode Governance empêche la plupart des utilisateurs de supprimer ou modifier les objets pendant la période de rétention, tout en permettant à certains utilisateurs disposant de droits spécifiques de gérer la rétention ou de supprimer des objets.

Les utilisateurs autorisés possédant s3:BypassGovernanceRetention peuvent ainsi remplacer ou supprimer des objets en mode Governance.

Mode Compliance

Le mode Compliance garantit que les objets ne peuvent être ni modifiés ni supprimés par aucun utilisateur, y compris les administrateurs, pendant toute la période de rétention.

Une fois ce mode activé pour un objet, son mode de rétention et sa durée ne peuvent pas être modifiés.

Legal hold

La fonction Legal hold est conçue pour toutes les situations où vous n'êtes pas sûr de la durée pendant laquelle vous voulez que vos objets restent immuables. La fonction Legal hold est un interrupteur ON/OFF qui peut être appliqué à chaque objet, indépendamment de la configuration du verrou, de la rétention de l'objet ou de l'âge de l'objet. Elle peut être appliquée aux objets qui sont verrouillés.

La fonction Legal hold offre la même protection qu'une période de rétention, mais elle n'a pas de date d'expiration. Au lieu de cela, la fonction Legal hold reste en place jusqu'à ce que vous la supprimiez explicitement.

Prérequis

• Connaître vos informations d'identification Object Storage (access_key et secret_access_key)
• Avoir installé et configuré l'AWS CLI

Consultez notre guide « Débuter avec Object Storage » pour plus de détails.

En pratique

Permissions

Lisez ce guide pour en savoir plus sur la gestion des identités et des accès.

Configuration d'Object Lock

aws s3api create-bucket \
  --bucket <bucket_name> \
  --object-lock-enabled-for-bucket

aws s3api create-bucket \
  --bucket object-lock-bucket \
  --object-lock-enabled-for-bucket

Configuration d'Object Lock sur un bucket

Object Lock vous permet de définir une période de rétention sur un bucket spécifique. Une fois définie, la règle spécifiée est appliquée par défaut à chaque nouvel objet placé dans le bucket spécifié.

aws s3api put-object-lock-configuration \
  --bucket <bucket_name> \
    --object-lock-configuration '{ "ObjectLockEnabled": "Enabled", "Rule": { "DefaultRetention": { "Mode": "GOVERNANCE", "Days": 60 }}}'

aws s3api get-object-lock-configuration \
  --bucket <bucket_name>

{
  "ObjectLockConfiguration" : {
    "ObjectLockEnabled" : "Enabled",
    "Rule" : {
      "DefaultRetention" : {
        "Mode" : "GOVERNANCE",
        "Days" : 60
      }
    }
  }
}

Comment configurer une période de rétention sur un objet

Pour appliquer une configuration de rétention sur un objet :

aws s3api put-object-retention \
  --bucket <bucket_name> \
  --key <object_key> \
  --retention '{"Mode":"COMPLIANCE","RetainUntilDate":"2023-01-01T12:00:00.00Z"}'

Pour afficher la configuration de rétention d'un objet, exécutez :

aws s3api get-object-retention \
  --bucket <bucket_name> \
  --key <object_key>

Le résultat devrait ressembler à ceci :

{
  "Rétention" : {
  "Mode" : "COMPLIANCE",
  "RetainUntilDate" : "2023-01-01T12:00:00Z"
  }
}

Contournement du mode Governance

Pour contourner le mode Governance, vous devez indiquer explicitement dans votre requête que vous souhaitez contourner ce mode. Pour ce faire, incluez l'en-tête --bypass-governance-retention avec votre requête:

aws s3api delete-object \
  --bucket <bucket_name> \
  --key <object_key> \
  --bypass-governance-retention

Comment configurer Object Lock Legal hold sur un objet

Pour appliquer une configuration Legal hold à l'objet spécifié :

aws s3api put-object-legal-hold \
  --bucket <bucket_name> \
  --key <object_key> \
  --legal-hold Status=ON

Pour afficher la configuration Legal hold d'un objet, exécutez :

aws s3api get-object-legal-hold \
  --bucket <bucket_name> \
  --key <object_key>

Le résultat devrait ressembler à ceci :

{
  "LegalHold": {
    "Status": "ON"
  }
}

Object Lock et suppression d'objets

Lorsque le versioning est activé, une suppression d'objet ne supprime pas l'objet immédiatement mais crée un marqueur de suppression. Ce marqueur devient la version actuelle de l’objet avec un nouvel ID.

Un marqueur de suppression :

• A une clé et un ID de version comme tout autre objet.
• Ne contient pas de données (GET retourne 404).
• N'est pas affiché par défaut dans l’espace client.
• Ne peut être manipulé que par DELETE, par le propriétaire du bucket.

La fonction Object Lock empêche les objets d’être :

• supprimés même avec un ID de version (renvoie Access Denied).
• écrasés par le versioning.

Fonctionnement des suppressions avec Object Lock

Lorsque l’Object Lock est activé et qu’un objet est protégé par une période de rétention ou une conservation légale, les tentatives de suppression se comportent différemment selon le type de requête :

aws s3api delete-object --bucket my-bucket --key an-object --version-id 123456huijw0

Aller plus loin

Si vous avez besoin d'une formation ou d'une assistance technique pour la mise en oeuvre de nos solutions, contactez votre commercial ou cliquez sur ce lien pour obtenir un devis et demander une analyse personnalisée de votre projet à nos experts de l’équipe Professional Services.

Échangez avec notre communauté d'utilisateurs.