Object Lock

Последнее изменение: 12 ноября 2026Открыть в Markdown

Object Lock работает по принципу WORM (Write Once Read Many) и позволяет заблокировать объекты, чтобы предотвратить их перезапись или удаление.

Для использования Object Lock в бакете должно быть включено версионирование. Блокировка объектов применяется только к версиям объектов.

Блокировка может быть разных типов и режимов. В зависимости от типа блокировки ее можно установить на отдельные объекты или на бакет по умолчанию — блокировка будет применяться к новым объектам.

Возможность управления блокировкой также зависит от роли пользователя и правил политики доступа, подробнее в инструкции Управлять доступом к S3. Работать с Object Lock можно в панели управления (возможности ограничены), через S3 API и инструменты, которые его используют — например, AWS CLI.

Чтобы управлять блокировкой объектов после настройки Object Lock, используйте инструкцию Управлять блокировкой объекта.

Если вы удалите проект, в котором есть заблокированные объекты, они не будут удалены, пока блокировка активна. При этом они не будут отображаться в панели управления и через API. Чтобы восстановить заблокированные объекты после удаления проекта, создайте тикет.

Типы и режимы блокировки

Блокировка может быть временной и бессрочной. У временной блокировки есть два режима — Governance и Compliance.

Если у объекта одновременно включены временная и бессрочная блокировки, приоритет имеет бессрочная блокировка.

	Бессрочная	Временная: режим Governance	Временная: режим Compliance
		На что можно назначить	На объекты	на объекты; на бакет по умолчанию — блокировка будет применяться ко всем новым объектам	на объекты; на бакет по умолчанию — блокировка будет применяться ко всем новым объектам
Возможные действия с блокировкой	Отключение блокировки	Временная блокировка объекта: сокращение срока блокировки*; продление срока блокировки; изменение режима блокировки на Compliance	Временная блокировка объекта — только продление срока блокировки
		Временная блокировка по умолчанию в бакете: изменение срока блокировки; изменение режима блокировки; отключение блокировки	Временная блокировка по умолчанию в бакете: изменение срока блокировки; изменение режима блокировки; отключение блокировки
Возможность удаления объектов	Нельзя никому, пока блокировка включена	Временная блокировка объекта — можно*	Временная блокировка объекта — нельзя никому до истечения срока блокировки
		Временная блокировка по умолчанию в бакете — удаление объектов не зависит от наличия временной блокировки по умолчанию в бакете на момент удаления объекта. Зависит только от статуса блокировки конкретного объекта: объект заблокирован — до истечения срока блокировки удаление доступно только определенным пользователям*; объект не заблокирован — удаление доступно всем	Временная блокировка по умолчанию в бакете — удаление объектов не зависит от наличия временной блокировки по умолчанию в бакете на момент удаления объекта. Зависит только от статуса блокировки конкретного объекта: объект заблокирован — удаление недоступно до истечения срока блокировки; объект не заблокирован — удаление доступно

* Доступно только пользователям:

• с ролью member;
• с другими ролями с доступом в S3, если в бакете есть политика доступа, которая разрешает действие s3:BypassGovernance.

Включить Object Lock в бакете

к сведению

Включить Object Lock могут:

• Владелец аккаунта;
• пользователи с ролями member, s3.admin и object_storage:admin;
• пользователи с ролями s3.bucket.user, s3.user и object_storage_user если политика доступа разрешает им действие s3:PutBucketObjectLockConfiguration.

Если вы включили Object Lock, его нельзя отключить и нельзя приостановить версионирование.

Включение Object Lock не блокирует объекты автоматически. После настройки Object Lock в бакете вы сможете:

• управлять блокировкой объектов;
• загружать объекты сразу с активной блокировкой (только через S3 API и инструменты, которые его используют);
• управлять временной блокировкой по умолчанию в бакете.

Панель управления

Если в бакете отключено или приостановлено версионирование, оно будет включено автоматически при включении Object Lock.

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Отметьте чекбокс Включить Object Lock.

6. Опционально: включите временную блокировку по умолчанию в бакете:

   6.1. Отметьте чекбокс Включить блокировку по умолчанию.

   6.2. Выберите режим блокировки.

   6.3. Укажите срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

   Вы сможете управлять временной блокировкой по умолчанию и после включения Object Lock.

7. Нажмите Сохранить.

AWS CLI

1. Убедитесь, что у вас включено версионирование.

2. Если вы не использовали AWS CLI, настройте его.

3. Откройте CLI.

4. Включите Object Lock:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled"}'

   Укажите <bucket_name> — имя бакета.

5. Убедитесь, что Object Lock включен:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   При включенном Object Lock вернется ответ:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled"
       }
   }

Управлять временной блокировкой по умолчанию в бакете

к сведению

Управлять временной блокировкой по умолчанию могут:

• Владелец аккаунта;
• пользователи с ролями member, s3.admin и object_storage:admin;
• пользователи с ролями s3.bucket.user, s3.user и object_storage_user, если политика доступа разрешает им соответствующие действия.

Проверить наличие временной блокировки по умолчанию

Наличие временной блокировки по умолчанию означает, что после ее включения все новые объекты при загрузке были заблокированы. При этом в бакете могут быть не заблокированные объекты — те, что были загружены:

• до включения блокировки в бакете;
• после включения блокировки в бакете и были сразу заблокированы, но срок их блокировки истек.

Чтобы проверить наличие временной блокировки у определенного объекта, используйте подраздел Проверить наличие временной блокировки инструкции Управлять блокировкой объектов.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.
2. Перейдите в раздел Бакеты.
3. Откройте страницу бакета → вкладка Конфигурация.
4. В блоке Защита данных в строке Object Lock посмотрите информацию о статусе, режиме и сроке временной блокировки по умолчанию.

AWS CLI

1. Откройте CLI.

2. Проверьте наличие блокировки:

   aws s3api get-object-lock-configuration \
   --bucket <bucket_name>

   Укажите <bucket_name> — имя бакета.

3. Посмотрите вывод команды. Если временная блокировка по умолчанию:

   • включена — в выводе будет поле DefaultRetention с указанием режима и срока блокировки;

   • отключена — вывод будет зависеть от того, был ли сам Object Lock включен в бакете:

     • Object Lock включен — поле DefaultRetention будет отсутствовать в выводе;
     • Object Lock не включен — отобразится ошибка о том, что конфигурация не найдена.

Включить временную блокировку по умолчанию

Временная блокировка будет применяться ко всем новым объектам в бакете. Ранее загруженные объекты заблокированы не будут. Чтобы заблокировать уже загруженные объекты, используйте подраздел Включить временную блокировку инструкции Управлять блокировкой объекта.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Убедитесь, что у вас отмечен чекбокс Включить Object Lock.

6. Отметьте чекбокс Включить блокировку по умолчанию.

7. Выберите режим блокировки.

8. Укажите срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

9. Нажмите Сохранить.

AWS CLI

1. Откройте CLI.

2. Включите временную блокировку в бакете по умолчанию:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled",
           "Rule": { "DefaultRetention": { "Mode": "<lock_mode>", "<time_gap>": <number> } }
   }'

   Укажите:

   • <bucket_name> — имя бакета;
   • <lock_mode> — режим блокировки. Возможные значения — GOVERNANCE или COMPLIANCE;
   • <time_gap> — единица времени, в которой будет измеряться срок блокировки. Возможные значения — DAYS или YEARS;
   • <number> — срок блокировки в днях или годах. Не может быть больше 100 лет.

3. Убедитесь, что временная блокировка в бакете включена:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   Пример ответа при включенной временной блокировке:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled",
           "Rule": {
               "DefaultRetention": {
                   "Mode": "GOVERNANCE",
                   "Days": 30
               }
           }
       }
   }

Изменить срок временной блокировки по умолчанию

Измененный срок временной блокировки будет применяться ко всем новым объектам в бакете. Срок блокировки ранее загруженных объектов останется без изменений. Чтобы изменить срок временной блокировки уже загруженных объектов, используйте подраздел Изменить срок временной блокировки инструкции Управлять блокировкой объекта.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Укажите новый срок блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

6. Нажмите Сохранить.

AWS CLI

Чтобы изменить срок блокировки, используйте подраздел Включить временную блокировку по умолчанию и укажите новые значения параметров <time_gap> и <number>.

Изменить режим временной блокировки по умолчанию

Измененный режим временной блокировки будет применяться ко всем новым объектам в бакете. Режим блокировки ранее загруженных объектов останется без изменений. Чтобы изменить режим временной блокировки уже загруженных объектов, используйте подраздел Изменить режим временной блокировки инструкции Управлять блокировкой объекта.

Панель управления

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.

2. Перейдите в раздел Бакеты.

3. Откройте страницу бакета → вкладка Конфигурация.

4. В блоке Защита данных в строке Object Lock нажмите Изменить.

5. Выберите режим блокировки Compliance.

6. Выберите новый режим блокировки.

7. Укажите срок действия блокировки. Максимальный срок блокировки:

   • для режима Compliance — один год. Чтобы установить блокировку Compliance на срок больше года, используйте API или инструменты, например AWS CLI;
   • для режима Governance — 100 лет.

8. Нажмите Сохранить.

AWS CLI

Чтобы изменить режим блокировки, используйте подраздел Включить временную блокировку по умолчанию и укажите новые значения параметров <lock_mode>, <time_gap> и <number>.

Отключить временную блокировку по умолчанию

После отключения временной блокировки по умолчанию новые объекты не будут блокироваться, но опция Object Lock в бакете останется включена — ее отключить нельзя.

Объекты, которые были загружены и автоматически заблокированы до отключения временной блокировки по умолчанию, останутся заблокированными в соответствии с режимом блокировки. Чтобы отключить временную блокировку в режиме Governance уже загруженных объектов, используйте подраздел Отключить временную блокировку инструкции Управлять блокировкой объекта.

Панель управления

Отключить временную блокировку в панели управления может только Владелец аккаунта или пользователь с ролью member.

1. В панели управления в верхнем меню нажмите Продукты и выберите S3.
2. Перейдите в раздел Бакеты.
3. Откройте страницу бакета → вкладка Конфигурация.
4. В блоке Защита данных в строке Object Lock нажмите Изменить.
5. Снимите чекбокс Включить блокировку по умолчанию.
6. Нажмите Сохранить.

AWS CLI

Отключить временную блокировку через AWS CLI может Владелец аккаунта, пользователь с ролью member или пользователь с другой ролью с доступом в S3, если политика доступа разрешает ему действие s3:BypassGovernanceRetention.

1. Откройте CLI.

2. Отключить временную блокировку в бакете по умолчанию:

   aws s3api put-object-lock-configuration \
       --bucket "<bucket_name>" \
       --object-lock-configuration '{
           "ObjectLockEnabled": "Enabled"
   }'

   Укажите <bucket_name> — имя бакета.

3. Убедитесь, что временная блокировка в бакете отключена:

   aws s3api get-object-lock-configuration --bucket "<bucket_name>"

   Укажите <bucket_name> — имя бакета.

   Пример ответа при отключенной временной блокировке:

   {
       "ObjectLockConfiguration": {
           "ObjectLockEnabled": "Enabled"
       }
   }