Object Lock

Object Lock работает по принципу WORM (Write Once Read Many) и позволяет заблокировать объекты, чтобы предотвратить их перезапись или удаление.

Для использования Object Lock в бакете должно быть включено версионирование. Блокировка объектов применяется только к версиям объектов.

Блокировка может быть разных типов и режимов. В зависимости от типа блокировки ее можно установить на отдельные объекты или на бакет по умолчанию — блокировка будет применяться к новым объектам.

Возможность управления блокировкой также зависит от роли пользователя и правил политики доступа, подробнее в инструкции Управлять доступом к S3. Работать с Object Lock можно в панели управления (возможности ограничены), через S3 API и инструменты, которые его используют — например, AWS CLI.

Чтобы управлять блокировкой объектов после настройки Object Lock, используйте инструкцию Управлять блокировкой объекта.

Если вы удалите проект, в котором есть заблокированные объекты, они не будут удалены, пока блокировка активна. При этом они не будут отображаться в панели управления и через API. Чтобы восстановить заблокированные объекты после удаления проекта, создайте тикет.

Типы и режимы блокировки

Блокировка может быть временной и бессрочной. У временной блокировки есть два режима — Governance и Compliance.

Если у объекта одновременно включены временная и бессрочная блокировки, приоритет имеет бессрочная блокировка.

	Бессрочная	Временная
		Режим Governance	Режим Compliance
На что можно назначить	На объекты	на объекты; на бакет по умолчанию — блокировка будет применяться ко всем новым объектам	на объекты; на бакет по умолчанию — блокировка будет применяться ко всем новым объектам
Возможные действия с блокировкой	Отключение блокировки	сокращение срока блокировки*; продление срока блокировки; изменение режима блокировки на Compliance	Продление срока блокировки
Возможность удаления объектов	Нельзя никому, пока блокировка включена	Можно*	Нельзя никому до истечения срока блокировки

* Доступно только пользователям:

• с ролью member;
• с другими ролями с доступом в S3, если в бакете есть политика доступа, которая разрешает действие s3:BypassGovernance.

Включить Object Lock в бакете

к сведению

Включить Object Lock могут:

• Владелец аккаунта;
• пользователи с ролями member, s3.admin и object_storage:admin;
• пользователи с ролями s3.bucket.user, s3.user и object_storage_user если политика доступа разрешает им действие s3:PutBucketObjectLockConfiguration.

Если вы включили Object Lock, его нельзя отключить и нельзя приостановить версионирование.

Включение Object Lock не блокирует объекты автоматически. После настройки Object Lock в бакете вы сможете:

• управлять блокировкой объектов;
• загружать объекты сразу с активной блокировкой (только через S3 API и инструменты, которые его используют);
• управлять временной блокировкой по умолчанию в бакете.

Панель управления

Если в бакете отключено или приостановлено версионирование, оно будет включено автоматически при включении Object Lock.

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Отметьте чекбокс Включить Object Lock.

6. Опционально: включите временную блокировку по умолчанию в бакете:

   6.1. Отметьте чекбокс Включить блокировку по умолчанию.

   6.2. Выберите режим блокировки.

   6.3. Укажите срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

   Вы сможете управлять временной блокировкой по умолчанию и после включения Object Lock.

7. Нажмите Сохранить.

AWS CLI

1. Убедитесь, что у вас включено версионирование.

2. Если вы не использовали AWS CLI, настройте его.

3. Откройте CLI.

4. Включите Object Lock:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled"}'

   Укажите <bucket_name> — имя бакета.

5. Убедитесь, что Object Lock включен:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   При включенном Object Lock вернется ответ:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled"
       }
   }

Управлять временной блокировкой по умолчанию в бакете

к сведению

Управлять временной блокировкой по умолчанию могут:

• Владелец аккаунта;
• пользователи с ролями member, s3.admin и object_storage:admin;
• пользователи с ролями s3.bucket.user, s3.user и object_storage_user, если политика доступа разрешает им соответствующие действия.

Включить временную блокировку по умолчанию

Временная блокировка будет применяться ко всем новым объектам в бакете.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Убедитесь, что у вас отмечен чекбокс Включить Object Lock.

6. Отметьте чекбокс Включить блокировку по умолчанию.

7. Выберите режим блокировки.

8. Укажите срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

9. Нажмите Сохранить.

AWS CLI

1. Откройте CLI.

2. Включите временную блокировку в бакете по умолчанию:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled",
           "Rule": { "DefaultRetention": { "Mode": "<lock_mode>", "<time_gap>": <number> } }
   }'

   Укажите:

   • <bucket_name> — имя бакета;
   • <lock_mode> — режим блокировки. Возможные значения — GOVERNANCE или COMPLIANCE;
   • <time_gap> — единица времени, в которой будет измеряться срок блокировки. Возможные значения — DAYS или YEARS;
   • <number> — срок блокировки в днях или годах. Не может быть больше 100 лет.

3. Убедитесь, что временная блокировка в бакете включена:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   Пример ответа при включенной временной блокировке:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled",
           "Rule": {
               "DefaultRetention": {
                   "Mode": "GOVERNANCE",
                   "Days": 30
               }
           }
       }
   }

Изменить срок временной блокировки по умолчанию

Если установлен режим блокировки:

• Governance — срок блокировки можно сократить или продлить;
• Compliance — срок блокировки можно только продлить.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Укажите новый срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

6. Нажмите Сохранить.

AWS CLI

Чтобы изменить срок блокировки, используйте подраздел Включить временную блокировку по умолчанию и укажите новые значения параметров <time_gap> и <number>.

Изменить режим временной блокировки по умолчанию

Можно только изменить режим блокировки Governance на Compliance.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.
2. Перейдите в раздел Бакеты.
3. Откройте страницу бакета → вкладка Конфигурация.
4. В блоке Защита данных в строке Object Lock нажмите Изменить.
5. Выберите режим блокировки Compliance.
6. Укажите срок блокировки. Максимальный срок блокировки Complience — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI.
7. Нажмите Сохранить.

AWS CLI

Чтобы изменить режим блокировки, используйте подраздел Включить временную блокировку по умолчанию и в параметре <lock_mode> укажите COMPLIANCE.

Отключить временную блокировку по умолчанию

Можно отключить только временную блокировку в режиме Governance.

При отключении временной блокировки новые объекты не будут блокироваться. Объекты, которые были загружены и автоматически заблокированы до отключения временной блокировки по умолчанию, останутся заблокированными в соответствии с режимом блокировки. Сам Object Lock в бакете не будет отключен.

Панель управления

Отключить временную блокировку в панели управления может только Владелец аккаунта или пользователь с ролью member.

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.
2. Перейдите в раздел Бакеты.
3. Откройте страницу бакета → вкладка Конфигурация.
4. В блоке Защита данных в строке Object Lock нажмите Изменить.
5. Снимите чекбокс Включить блокировку по умолчанию.
6. Нажмите Сохранить.

AWS CLI

Отключить временную блокировку через AWS CLI может Владелец аккаунта, пользователь с ролью member или пользователь с другой ролью с доступом в S3, если политика доступа разрешает ему действие s3:BypassGovernanceRetention.

1. Откройте CLI.

2. Отключить временную блокировку в бакете по умолчанию:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled"
   }'

   Укажите <bucket_name> — имя бакета.

3. Убедитесь, что временная блокировка в бакете отключена:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   Пример ответа при отключенной временной блокировке:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled"
       }
   }