摘要

  • S3 Object Lock 的治理模式保护的是具体对象版本。拥有 s3:BypassGovernanceRetention 的主体可在请求中明确要求绕过；AWS 控制台会替有此权限的用户自动加入所需标记。
  • 合规模式在保留期内连账户根用户也不能缩短期限或删除版本。法律保全是独立控制，治理模式的绕过不会解除它。

一张保留日期截图少了半张权力表

存储管理员展示一张屏幕：对象保留至某年某日。看起来，删除按钮已经失效。治理模式确实会拒绝普通用户提前删除受保护版本、缩短期限；但 IAM 还可以把 s3:BypassGovernanceRetention 交给特定主体。AWS 要求 API 请求明确带上绕过标记，而控制台对有权用户会自动添加该标记。权限一旦发出，日常界面就能执行例外。

另一处容易看错的是“对象”。锁定单位是版本。用同一个键名再写入，会生成新版本；加入删除标记，可以让当前列表里的键名消失，原先受保护的版本仍留在存储中。要核实保留承诺，得查版本 ID、保留模式、到期日以及有权绕过的身份，而不是只看列表里有没有那个文件名。

合规模式换了另一份合同：在期限届满前，即使账户根用户也不能缩短日期或删除受保护版本。法律保全另外计账；治理模式的绕过不取消它，拥有 s3:PutObjectLegalHold 的主体则可以解除保全。加密密钥若丢失或被删除，留住的版本也可能读不出来。删除权、保全权、密钥保管权分别属于谁，决定了档案真正的命运。

治理模式的弹性有用：误存数据时，运营团队可能需要退出通道。那条通道的价格是承诺的硬度。买方若要在期限内没有管理员能够提前打开的版本保留，就该明确选择合规模式，并承担密钥和账户管理的后果。

来源