S3 Object Lock: Governance hat einen IAM-Generalschlüssel

S3 sperrt die Version. IAM verteilt den Generalschlüssel

Warum es wichtig ist

Ein Aufbewahrungsdatum auf dem Bildschirm sagt wenig über den Kreis der Menschen mit Ausnahmerechten. Im Governance-Modus darf eine berechtigte Identität die Sperre umgehen; die AWS-Konsole fügt das nötige Signal automatisch hinzu. Die entscheidende Beschaffungsklausel steht daher in der Rechtevergabe.

Mara Voss2. November 2026 um 15:34 UTCLesezeit 2 MinLetzte Aktualisierung: 2. November 2026

Delegierter Ausgang neben einer härteren Aufbewahrungszusage. Konzeptionelle Illustration.

Zusammenfassung

S3 Object Lock schützt einzelne Versionen. Im Governance-Modus kann eine Identität mit s3:BypassGovernanceRetention die Aufbewahrung ausdrücklich umgehen; die AWS-Konsole setzt für sie den erforderlichen Header.
Im Compliance-Modus kann während der Frist auch der Root-Nutzer weder verkürzen noch die geschützte Version löschen. Eine rechtliche Sperre bleibt davon getrennt.

Das Datum ist nur die halbe Verfügung

Die Archivabteilung zeigt eine Retain-until-Date und nennt die Datei unveränderlich. Dann kommt die IAM-Liste: Wer hat s3:BypassGovernanceRetention? Governance verweigert normale Löschungen und Fristverkürzungen, lässt aber dieser Berechtigung einen Ausgang. Bei API-Aufrufen muss der Bypass ausdrücklich signalisiert werden. AWS zufolge übernimmt die S3-Konsole den Header automatisch, wenn der Nutzer berechtigt ist. Eine besondere Macht steckt damit in einer gewöhnlichen Verwaltungsoberfläche.

Der Schutz hängt an der Objektversion. Eine neue Datei unter demselben Schlüssel erzeugt eine neue Version. Ein Löschmarker kann den Schlüssel aus der aktuellen Ansicht verschwinden lassen, während die alte, geschützte Version bleibt. Wer nur die Oberfläche kontrolliert, verwechselt Sichtbarkeit mit Existenz. Der Nachweis braucht Versions-ID, Aufbewahrungsmodus, Datum und den Kreis der Bypass-Berechtigten.

Compliance setzt eine andere Grenze. Laut AWS kann während der Frist selbst Root weder das Datum vorziehen noch die geschützte Version löschen. Ein Legal Hold gilt unabhängig; ein Governance-Bypass hebt ihn nicht auf, während s3:PutObjectLegalHold zum Entfernen berechtigt. Und ohne den passenden Verschlüsselungsschlüssel lässt sich ein korrekt aufbewahrtes Objekt womöglich nicht mehr lesen. Drei getrennte Verantwortungen liegen hinter einem einzigen Werbewort.

Governance ist für Betriebe sinnvoll, die einen Fehl-Upload korrigieren können müssen. Diese Beweglichkeit kostet Härte der Zusage. Der Käufer sollte die Berechtigtenliste und einen Test an einer konkreten Version verlangen. Wer eine Frist ohne administrativen Notausgang bestellt, muss den Compliance-Modus ausdrücklich wählen und die Folgen für Schlüssel, Konto und Fehler tragen.