Блокировка объектов (object lock)

VK Object Storage позволяет защитить объекты, заблокировав их удаление или перезапись (object lock). Блокировка объектов в VK Object Storage призвана обеспечивать:

• Устойчивость к киберугрозам. Неизменяемые резервные копии позволят восстановить нескомпрометированное состояние объектов.
• Целостность данных и защита от ошибок. Неизменяемость объектов защищает критически важную информацию от случайного или злонамеренного удаления или повреждения, вызванного человеческим фактором или программными сбоями.
• Соблюдение нормативных требований. Для обеспечения аудита и юридической значимости закон может требовать, чтобы данные сохранялись без изменений в течение заданного времени.

В VK Object Storage поддерживается два типа блокировки:

• временная (retention period);
• бессрочная (legal hold).

Эти типы могут применяться как по отдельности, так и совместно для одного объекта, обеспечивая гибкие сценарии защиты.

Блокировку объектов можно включить только в бакете с включенным версионированием. Пока блокировка включена, приостановить версионирование в бакете нельзя.

Временная блокировка действует фиксированное время. Поддерживаются два режима временной блокировки: управляемый режим (GOVERNANCE) и строгий режим (COMPLIANCE).

В обоих режимах:

• Объект не может быть удален до истечения установленного срока.
• Срок блокировки не может быть сокращен, только увеличен.

Управляемый режим (GOVERNANCE) подходит для реализации внутренних политик защиты данных. Он предотвращает случайное удаление критических файлов разработчиками или автоматизированными скриптами, но оставляет возможность администраторам выполнять необходимые операции по управлению данными.

В режиме GOVERNANCE пользователь, обладающий правами на запись (WRITE), может обойти блокировку:

• удалить объект до истечения установленного срока;
• сократить срок блокировки;
• изменить режим на COMPLIANCE.

Строгий режим блокировки (COMPLIANCE) обеспечивает максимальный уровень защиты. Заблокированный в этом режиме объект не может быть перезаписан или удален ни одним пользователем, включая администратора проекта, до истечения срока хранения.

Строгий режим подходит для выполнения строгих нормативных или законодательных требований (например, 152-ФЗ), где неизменяемость данных должна быть гарантирована на техническом и процедурном уровне.

Бессрочная блокировка не имеет срока истечения и действует, пока не будет снята явно. Такую блокировку может в любой момент применить к объекту или снять с объекта пользователь, обладающий правами на запись (WRITE).

Бессрочная блокировка действует независимо от установленного для объекта периода временной блокировки и имеет приоритет над ней.

Бессрочная блокировка применяется в ситуациях с неопределенным сроком хранения данных, таких как судебные разбирательства, внутренние аудиты или расследования. Данные остаются защищенными до завершения соответствующего процесса, после чего блокировка может быть снята.

Попытка удаления объекта с включенной блокировкой даст разные результаты, в зависимости от того, использовался ли идентификатор версии:

• в параметре versionId при запросе API с методами DeleteObject, DeleteMultipleObjects или командах AWS CLI delete-object, delete-objects;
• при удалении в личном кабинете VK Cloud с включенной опцией Показать версии объектов.

Маркер удаления заблокировать нельзя, а при его удалении предыдущая версия объекта становится текущей.