Bloqueo de objetos de Amazon S3

Object Lock de S3 brinda dos formas de administrar la retención de objetos: periodos de retención y retenciones legales. Con Object Lock de S3 habilitado en un bucket, una versión de objeto puede tener un periodo de retención y una retención legal, uno pero no el otro, o ninguno de los dos. 

• Periodo de retención: especifica un periodo fijo durante el cual un objeto permanece bloqueado. Durante este periodo, el objeto tiene protección WORM y no se puede sobrescribir ni eliminar. Cuando asigna un periodo de retención a una versión de objeto, Amazon S3 almacena una marca de tiempo en los metadatos de la versión del objeto para mostrar cuándo vence el periodo de retención. Una vez transcurrido el periodo de retención, la versión del objeto se puede sobrescribir o eliminar, a menos que también haya impuesto una retención legal a la versión del objeto. Con una política de bucket, puede establecer períodos de retención mínimos y máximos permitidos para un bucket que le permita establecer un rango de períodos de retención permitidos. Para obtener más información, consulte períodos de retención.
• Retención legal: ofrece la misma protección que un período de retención, pero no tiene fecha de caducidad. En cambio, se mantiene una retención legal hasta que la elimine de forma explícita. Las retenciones legales son independientes de los períodos de retención. Para obtener más información, consulte retenciones legales.

Los períodos de retención y los modos de retención se configuran siempre de forma conjunta, a diferencia de las retenciones legales, que se configuran de forma independiente. El bloqueo de objetos de S3 ofrece dos modos de retención que aplican diferentes niveles de protección a los objetos. Puede aplicar cualquier modo de retención a cualquier versión de objeto que esté protegida por el bloqueo de objetos.

• Modo de gobierno: en el modo de gobierno, los usuarios no pueden sobrescribir ni eliminar la versión de un objeto ni modificar su configuración de bloqueo a menos que tengan permisos especiales. Con el modo de gobierno, protege los objetos para que no los eliminen la mayoría de los usuarios, pero aun así puede conceder permiso a algunos usuarios para modificar la configuración de retención o eliminar el objeto si es necesario. También puede usar el modo de control para probar la configuración del período de retención antes de crear un período de retención en el modo de cumplimiento.
• Modo de cumplimiento: en el modo de cumplimiento, ningún usuario puede sobrescribir ni eliminar una versión de un objeto protegido, incluido el usuario raíz de su cuenta de AWS. Cuando un objeto está bloqueado en el modo de cumplimiento, no puede cambiar el modo de retención ni acortar el período de retención. El modo de cumplimiento ayuda a garantizar que la versión de un objeto no se pueda sobrescribir ni eliminar durante el periodo de retención.  Object Lock de S3 ha sido evaluado según la Regla 17a-4 (f) de la SEC, la Regla 4511 de FINRA y la Regulación 1.31 de la CFTC de Cohasset Associates. 

Object Lock de S3 se puede habilitar con facilidad en el bucket para todos los objetos nuevos con un bloqueo predeterminado. Para los objetos existentes, puede utilizar las operaciones por lotes de S3 con el bloqueo de objetos de S3 para bloquear o ampliar cualquier retención existente, o habilitar o eliminar una retención legal para hasta miles de millones de objetos a la vez. A continuación, debe especificar la lista de objetos de destino en su manifiesto y enviarla a operaciones por lotes para completar el proceso.

Como todos los demás ajustes del bloqueo de objetos de S3, los períodos de retención se aplican a las versiones de objetos individuales. Las diferentes versiones de un mismo objeto pueden tener diferentes modos y períodos de retención.

Por ejemplo, supongamos que tiene un objeto que lleva 15 días en un período de retención de 30 días y sube un objeto nuevo a Amazon S3 con el mismo nombre y un período de retención de 60 días. En este caso, la carga se realiza correctamente y Amazon S3 crea una nueva versión del objeto con un período de retención de 60 días. La versión anterior mantiene su período de retención original y se puede eliminar en 15 días.

Puede ampliar un período de retención después de aplicar una configuración de retención a una versión del objeto. Para ello, envíe una nueva solicitud de bloqueo mediante operaciones por lotes de S3 para la versión del objeto con una fecha de retención posterior a la configurada actualmente para la versión del objeto. Amazon S3 sustituye el período de retención existente por un nuevo período más largo. Más información.

Para los datos almacenados en Amazon S3, lo primero que se recomienda es el control de versiones de Amazon S3, que le permite conservar, recuperar y restaurar todas las versiones de todos los objetos almacenados en un bucket de Amazon S3. A continuación, puede agregar  Object Lock de Amazon S3 para evitar que los datos se eliminen o sobrescriban durante un período de tiempo fijo o indefinidamente. Para crear copias adicionales de sus datos en otra región de AWS a fin de protegerlos en varias regiones, puede habilitar la replicación de Amazon S3 en un bucket con Object Lock de S3 activado. A continuación, puede utilizar la replicación de S3 con el control de versiones de S3 y el bloqueo de objetos de S3 para copiar objetos de manera automática en distintas regiones de AWS y en cuentas de AWS independientes. Para utilizar el bloqueo de objetos de S3 con objetos existentes o para extender el período de bloqueo a los objetos existentes que están a punto de caducar, puede utilizar las operaciones por lotes de S3 y los informes de inventario de S3. Por último, puede obtener visibilidad de sus niveles actuales de protección de datos y del uso de estas características en un único panel con Amazon S3 Storage Lens.

Para obtener más información sobre cómo puede proteger sus datos en Amazon S3, visite el tutorial de introducción sobre la protección de datos de S3.