2 S3 Object Lock est une capacité de niveau API qui impose une protection WORM (write once, read many) aux données des objets. Configurée sur un bucket versionné, elle empêche la suppression ou l’écrasement des versions d’objets pendant une durée définie ou jusqu’à la levée d’une conservation légale (legal hold). Introduit à l’origine dans l’écosystème Amazon S3 et désormais largement pris en charge par les plateformes compatibles S3, S3 Object Lock est devenu un modèle de référence pour mettre en œuvre le stockage immuable dans les architectures de données modernes. Cet article explique comment fonctionne S3 Object Lock, la différence entre les modes Governance et Compliance, le comportement des périodes de conservation et des conservations légales, et la façon dont cette capacité est mise en œuvre dans le cloud et on-premise. Ce que fait S3 Object Lock Fondamentalement, S3 Object Lock associe des règles de protection à chaque version d’objet. Lorsqu’une période de conservation ou une conservation légale est appliquée : La version d’objet protégée ne peut pas être supprimée. La version d’objet protégée ne peut pas être écrasée. En mode Compliance, la période de conservation ne peut pas être réduite. L’application se fait au niveau de l’API S3. Si une requête de suppression ou d’écrasement vise une version d’objet protégée, elle est rejetée tant que les conditions de protection ne sont pas levées. Object Lock doit être activé à la création du bucket, et le versionnage doit être actif. La protection s’applique aux versions d’objets, et pas seulement aux noms d’objets. Pourquoi le versionnage est indispensable Le versionnage garantit que les mises à jour ne détruisent pas les données précédentes. Dans un bucket versionné : Chaque écriture crée une nouvelle version d’objet. Les versions précédentes restent stockées, sauf suppression explicite. Les métadonnées de conservation sont associées à chaque version. Object Lock s’appuie sur ce modèle. Lorsqu’une règle de conservation est appliquée, elle protège une version précise d’un objet. Si une nouvelle version est chargée plus tard, elle peut avoir sa propre configuration de conservation, indépendante. Cette conception permet un contrôle fin et la préservation à un instant donné, sans dépendre de processus manuels. Les périodes de conservation : une immuabilité limitée dans le temps Une période de conservation définit la durée pendant laquelle une version d’objet reste immuable. Lorsqu’une période de conservation est définie : Une date de fin de conservation (retain-until) est enregistrée dans les métadonnées de la version d’objet. Les opérations de suppression et d’écrasement sont rejetées jusqu’à cette date. En mode Compliance, la date de conservation ne peut pas être avancée. Les périodes de conservation sont limitées dans le temps. Une fois la date de fin de conservation passée, la version d’objet n’est plus protégée par Object Lock. Elle peut alors être supprimée ou modifiée selon les autorisations et politiques de cycle de vie habituelles. L’expiration ne déclenche pas de suppression automatique. Elle lève simplement la restriction d’immuabilité. Les politiques de conservation peuvent être appliquées : Par défaut, au niveau du bucket. Individuellement, objet par objet. Via des appels API intégrés aux applications ou aux logiciels de sauvegarde. Les conservations légales : une protection sans limite de durée Une conservation légale (legal hold) offre une protection comparable, mais sans date d’expiration prédéfinie. Lorsqu’une conservation légale est active : La version d’objet ne peut pas être supprimée. La protection reste en place jusqu’à sa levée explicite. Les dates de conservation sont ignorées tant que la conservation légale est active. Les conservations légales sont couramment utilisées lorsque les exigences de préservation ne sont pas liées à une durée fixe, par exemple lors d’enquêtes ou d’audits. Périodes de conservation et conservations légales peuvent coexister. Si l’un des deux mécanismes est actif, la suppression est bloquée. Mode Governance ou mode Compliance Lors de la configuration d’une période de conservation, les administrateurs doivent choisir un mode de conservation. La distinction entre Governance et Compliance détermine la rigueur avec laquelle l’immuabilité est appliquée. Le mode Governance En mode Governance : Les versions d’objets protégées ne peuvent pas être supprimées par les utilisateurs standard. Les utilisateurs autorisés disposant d’autorisations spécifiques peuvent contourner les contrôles de conservation. Les actions de contournement exigent une intention explicite et des identifiants appropriés. Le mode Governance offre l’immuabilité avec une certaine souplesse administrative. Il est généralement utilisé lorsqu’une protection contre les suppressions accidentelles est requise, tout en autorisant un contournement contrôlé. Le mode Compliance En mode Compliance : Les versions d’objets protégées ne peuvent pas être supprimées avant la date de fin de conservation. La période de conservation ne peut pas être réduite. Aucun contournement n’est autorisé, pas même par les administrateurs. Le mode Compliance impose un comportement non réinscriptible et non effaçable pendant la période de conservation définie. Les périodes de conservation peuvent être prolongées, mais pas réduites. Le choix entre Governance et Compliance dépend des exigences de la politique et du contexte réglementaire. S3 Object Lock et résilience face aux ransomwares S3 Object Lock est souvent cité dans les discussions sur la résilience face aux ransomwares, car il empêche la suppression des versions d’objets protégées pendant leur période de conservation. Lorsque des applications de sauvegarde écrivent des données sur une cible compatible S3 qui prend en charge Object Lock : Les métadonnées de conservation peuvent être appliquées dès l’ingestion. Les points de restauration protégés ne peuvent pas être supprimés prématurément. Les appels API destructeurs visant des objets verrouillés sont rejetés. Object Lock n’empêche pas les accès non autorisés et ne détecte pas les activités malveillantes. Sa fonction est précise : il garantit qu’une fois écrites et protégées, les données ne peuvent être ni modifiées ni supprimées avant que les conditions de conservation soient remplies. Cette capacité soutient les stratégies de sauvegarde modernes qui prévoient au moins une copie immuable des données. Conservation réglementaire et exigences WORM Dans de nombreux secteurs, les données doivent être stockées dans un format non réinscriptible et non effaçable pendant des durées définies. Le mode Compliance de S3 Object Lock est conçu pour répondre à ces exigences en : Empêchant la suppression pendant la période de conservation. Empêchant la réduction de la durée de conservation. Imposant l’immuabilité de façon cohérente via l’API. Les cadres réglementaires des services financiers, de la santé et d’autres secteurs exigent souvent des contrôles démontrables sur l’intégrité et la conservation des documents. Des évaluations indépendantes ont examiné des mises en œuvre de S3 Object Lock au regard de certaines normes réglementaires, et confirmé que, correctement configurées, elles peuvent contribuer aux objectifs de conformité. Les organisations vérifient généralement que leur plateforme de stockage compatible S3 met en œuvre Object Lock conformément aux recommandations réglementaires applicables. Cloud public et plateformes compatibles S3 Bien qu’introduit par AWS, S3 Object Lock est mis en œuvre par de nombreux systèmes de stockage objet compatibles S3. Les organisations peuvent ainsi appliquer des contrôles d’immuabilité cohérents : Dans les environnements de cloud public. Dans les déploiements hybrides. Sur le stockage objet on-premise. Scality RING et Scality ARTESCA prennent tous deux en charge S3 Object Lock en modes Governance et Compliance, et offrent une immuabilité compatible API au sein des datacenters d’entreprise. Ces plateformes respectant la spécification S3, les applications qui prennent en charge AWS S3 Object Lock s’y intègrent sans modification. Les enjeux d’architecture L’immuabilité au niveau de l’API est un contrôle essentiel, mais l’architecture de stockage influe sur son comportement réel. Lorsqu’elles évaluent des systèmes de stockage objet qui prennent en charge S3 Object Lock, les organisations examinent souvent : La façon dont les versions d’objets sont stockées en interne. Si les données sont écrasées sur place. La façon dont la réplication préserve les métadonnées de conservation. La journalisation d’audit des modifications de conservation et de conservation légale. Dans l’architecture de Scality, les mises à jour de données créent de nouvelles versions au lieu d’écraser les blocs existants. Cela s’aligne naturellement sur le modèle de protection par version de S3 Object Lock. L’immuabilité est donc à la fois imposée au niveau de l’API et soutenue par une conception du stockage centrée sur les versions. La place de S3 Object Lock dans la protection des données moderne S3 Object Lock fonctionne indépendamment des logiciels d’orchestration des sauvegardes. Les plateformes de sauvegarde gèrent la planification, l’indexation et les opérations de restauration. Le stockage objet impose la conservation et l’immuabilité une fois les données écrites. Cette séparation garantit que : Les applications déterminent quoi écrire et quand. Les systèmes de stockage déterminent ce qui ne peut pas être supprimé. Lorsque l’intégration est bien faite, les paramètres de conservation sont appliqués automatiquement lors de l’ingestion des sauvegardes, ce qui limite la dépendance à la configuration manuelle. Conclusion S3 Object Lock offre une protection WORM de niveau API aux environnements de stockage objet. En combinant versionnage, conservation limitée dans le temps, conservations légales et modes d’application clairement définis, il garantit que les versions d’objets protégées ne peuvent être ni supprimées ni écrasées pendant des périodes définies. Dans les stratégies de résilience face aux ransomwares, il préserve les données de restauration pendant les périodes critiques (en anglais). Dans les secteurs réglementés, il répond aux exigences de conservation non réinscriptible et non effaçable. Disponible dans le cloud public et sur des plateformes compatibles S3 comme Scality RING et ARTESCA, S3 Object Lock offre un modèle d’immuabilité cohérent, aligné sur les architectures de stockage objet modernes.
