Bloqueio de objetos do Amazon S3

O bloqueio de objetos do S3 disponibiliza duas maneiras de gerenciar a retenção de objetos: períodos de retenção e retenções legais. Com o bloqueio de objetos do S3 habilitado em um bucket, uma versão de objeto pode ter um período de retenção e uma retenção legal, ou um deles, mas não o outro, ou nenhum deles. 

• Período de retenção: especifica um período fixo durante o qual um objeto permanece bloqueado. Durante esse período, o objeto é protegido por WORM e não pode ser substituído ou excluído. Quando você estabelece um período de retenção em uma versão do objeto, o Amazon S3 armazena um carimbo de data/hora nos metadados da versão do objeto para mostrar quando o período de retenção expira. Após o período de retenção expirar, a versão do objeto poderá ser substituída ou excluída, a menos que você também tenha estabelecido uma retenção legal na versão do objeto. Usando uma política de bucket, é possível definir períodos de retenção mínimos e máximos permitidos para um bucket para ajudar você a estabelecer uma variedade de períodos de retenção permitidos. Para obter mais informações, consulte períodos de retenção.
• Suspensão legal: oferece a mesma proteção de um período de retenção, mas não tem data de validade. Em vez disso, uma suspensão legal permanece em vigor até que você a remova explicitamente. Suspensões legais são independentes de períodos de retenção. Para obter mais informações, consulte retenções legais.

Os períodos de retenção e os modos de retenção são sempre configurados em conjunto, ao contrário das retenções legais, que são configuradas de forma independente. O bloqueio de objetos do S3 disponibiliza dois modos de retenção que aplicam diferentes níveis de proteção aos objetos. Você pode aplicar qualquer um dos modos de retenção a qualquer versão do objeto protegida pelo Bloqueio de objetos.

• Modo de governança: no modo de governança, os usuários não podem sobrescrever ou excluir uma versão do objeto ou alterar suas configurações de bloqueio, a menos que tenham permissões especiais. Com o modo de governança, você impede que os objetos sejam excluídos pela maioria dos usuários, mas ainda pode conceder permissão a alguns deles para alterar as configurações de retenção ou excluir o objeto, se necessário. Você também pode usar o modo de governança para testar as configurações do período de retenção antes de criar um período de retenção no modo de conformidade.
• Modo de conformidade: no modo de conformidade, uma versão do objeto protegido não pode ser substituída ou excluída por nenhum usuário, incluindo o usuário-raiz na sua conta da AWS. Quando um objeto está bloqueado no modo de conformidade, você não pode alterar o modo de retenção e não pode encurtar o período de retenção. O modo de conformidade ajuda a garantir que uma versão de objeto não possa ser substituída ou excluída durante o período de retenção.  O bloqueio de objetos do S3 foi avaliado para a Regra SEC 17a-4(f), a Regra FINRA 4511 e a Norma 1.31 da CFTC pela Cohasset Associates. 

O Bloqueio de objetos do S3 pode ser habilitado facilmente no bucket para todos os novos objetos com um bloqueio padrão. Para objetos existentes, você pode usar Operações em lote do S3 com o Bloqueio de objetos do S3 para aplicar um bloqueio ou estender qualquer retenção existente ou habilitar ou remover uma suspensão legal para até bilhões de objetos ao mesmo tempo. Você especifica a lista de objetos de destino no seu manifesto e a envia a Operações em lote para conclusão.

Como todas as outras configurações do Bloqueio de objetos do S3, períodos de retenção são aplicáveis a versões de objetos individuais. Versões diferentes de um único objeto podem ter modos e períodos de retenção diferentes.

Por exemplo, suponha que você tenha um objeto de 15 dias em um período de retenção de 30 dias e carregue um novo objeto no Amazon S3 com o mesmo nome e um período de retenção de 60 dias. Nesse caso, seu upload é bem-sucedido e o Amazon S3 cria uma nova versão do objeto com um período de retenção de 60 dias. A versão mais antiga mantém seu período de retenção original e pode ser excluída em 15 dias.

Você pode estender um período de retenção depois de aplicar uma configuração de retenção a uma versão de objeto. Para fazer isso, envie uma nova solicitação de bloqueio usando Operações em lote do S3 para a versão do objeto com uma data de retenção posterior à atualmente configurada para a versão do objeto. O Amazon S3 substitui o período de retenção existente pelo novo período mais longo. Saiba mais.

Para dados armazenados no Amazon S3, as práticas comerciais começam com o Versionamento do S3, que permite preservar, recuperar e restaurar todas as versões de cada objeto armazenado em um bucket do Amazon S3. Em seguida, você pode adicionar o Bloqueio de objetos do Amazon S3 para evitar que os dados sejam excluídos ou sobrescritos por um período fixo ou indefinidamente. Para criar cópias adicionais dos seus dados em outra região da AWS para proteção entre várias regiões, é possível ativar a replicação do Amazon S3 em um bucket com o Bloqueio de objetos do S3 ativado. Em seguida, você pode usar a Replicação do S3 com o Versionamento do S3 e o Bloqueio de objetos do S3 para copiar automaticamente os objetos em todas as regiões da AWS e entre contas separadas da AWS. Para usar o Bloqueio de objetos do S3 com objetos existentes ou estender o período de bloqueio em objetos existentes que estão se aproximando da expiração do bloqueio, você pode usar Operações em lote do S3 e Relatórios de inventário do S3. Por último, você pode trazer visibilidade dos seus níveis atuais de proteção de dados e do uso desses recursos em um único painel com a Lente de Armazenamento do Amazon S3.

Para saber mais sobre como você pode proteger seus dados no Amazon S3, acesse o Tutorial de conceitos básicos sobre proteção de dados do S3.