Resumen

  • S3 Object Lock protege versiones concretas. En Governance, un usuario con s3:BypassGovernanceRetention puede saltar la retención si la solicitud lo indica; la consola de AWS pone esa indicación automáticamente para él.
  • Compliance impide acortar la retención o borrar la versión incluso al usuario raíz. Una retención legal funciona aparte y sigue activa tras el bypass de Governance.

El formulario ya trae la excepción

Una empresa compra «almacenamiento inmutable» y enseña la fecha de retención como prueba. En Governance, esa fecha obliga a los usuarios corrientes. El titular de s3:BypassGovernanceRetention juega con otras reglas: puede eliminar una versión o acortar su plazo mediante una solicitud de bypass. AWS exige que la API marque esa intención de forma expresa. Si el titular usa la consola S3, la consola añade la cabecera por él. Así, el botón habitual puede ejercer un poder que la presentación comercial dejó fuera de la diapositiva.

La palabra «objeto» también esconde una precisión: se protege una versión, no todo lo que alguna vez lleve el mismo nombre. Una carga nueva bajo la misma clave crea otra versión. Un marcador de borrado puede sacar la clave de la vista principal mientras la versión retenida permanece. Para verificar la promesa hay que consultar el ID de versión y sus atributos, además de la política de permisos.

Compliance cambia la negociación. AWS dice que ni el usuario raíz puede acortar el plazo o borrar una versión durante ese periodo. La retención legal tiene su propio mando; el bypass de Governance no la quita, pero alguien con s3:PutObjectLegalHold puede retirarla. Y si se pierde la clave de cifrado, conservar los bits no garantiza poder leerlos. Cada decisión tiene dueño.

Governance sirve cuando operaciones necesita una salida ante una carga equivocada. Esa salida cuesta certeza. El comprador debe pedir la lista de identidades autorizadas a usarla, no solo una captura del campo «retener hasta». Si el acuerdo exige que ningún administrador abra la puerta durante el plazo, el modo elegido debe decir Compliance.

Fuentes