Кратко

  • S3 Object Lock защищает отдельную версию объекта. При Governance субъект с s3:BypassGovernanceRetention может явно запросить обход; консоль AWS добавляет нужный заголовок для обладателя разрешения.
  • При Compliance даже root-пользователь не может сократить срок или удалить защищённую версию до его окончания. Юридическое удержание действует отдельно и переживает обход Governance.

У замка есть ведомость ключей

Заказчик просит подтвердить, что архив нельзя стереть. Администратор показывает дату «хранить до». В режиме Governance этого достаточно против обычного удаления, но не против обладателя s3:BypassGovernanceRetention. AWS требует явно указать обход в запросе API; консоль S3 автоматически ставит нужный заголовок, если у пользователя есть разрешение. Особое право таким образом оказывается рядом с привычной кнопкой управления.

Защищена версия, а не имя файла на все времена. Новая запись под тем же ключом создаёт новую версию. Маркер удаления может убрать ключ из текущего списка, оставив прежнюю защищённую версию на месте. Для проверки договора нужны ID версии, режим, дата окончания и перечень обладателей права обхода. Отсутствие имени в списке отвечает на другой вопрос.

Compliance делает обещание жёстче: пока срок не вышел, даже root не может приблизить дату или удалить защищённую версию. Юридическое удержание имеет отдельную логику; обход Governance его не снимает, а владелец s3:PutObjectLegalHold может убрать удержание. Потерянный ключ шифрования оставит данные сохранёнными, но может сделать их недоступными для чтения. Удаление, удержание и чтение требуют разных хозяев решения.

Режим Governance подходит организации, которой нужен выход при ошибочной загрузке. За гибкость она платит менее твёрдым обещанием хранения. В закупочной спецификации стоит перечислить тех, кто может обойти срок, и проверить конкретную версию. Если обещание исключает досрочное решение любого администратора, нужен явно выбранный Compliance.

Источники