Object Lock (WORM-Schutz) im Object Storage

STACKIT Object Storage unterstützt S3 Object Lock, das Write Once Read Many (WORM)-Schutz für Ihre Objekte bietet. Sobald der Object Lock für einen Bucket aktiv ist, können in diesem Bucket gespeicherte Objekte für einen definierten Aufbewahrungszeitraum vor dem Löschen oder Überschreiben geschützt werden.

Object Lock ist nützlich für die Einhaltung gesetzlicher Vorschriften, gesetzliche Aufbewahrungspflichten und alle Szenarien, in denen Unveränderlichkeit der Daten erforderlich ist.

So funktioniert der Object Lock

Object Lock funktioniert auf drei Ebenen:

Level 1: Project          Enable Object Lock capability for the project
         (Compliance Lock)
              |
              | prerequisite for
              v
Level 2: Bucket           Enable Object Lock on individual buckets
         (at creation)    + configure default retention policy
              |
              | applies to
              v
Level 3: Object           Individual objects are WORM-protected
         (via S3 API)     with retention period and/or legal hold

Ebene 1: Compliance-Sperre auf Projektebene

Bevor Sie den Object Lock für einen Bucket verwenden können, müssen Sie die Compliance-Sperre auf Projektebene mit der STACKIT-API aktivieren. Dies ist die Voraussetzung für alle Object Lock-Funktionalitäten innerhalb des Projekts.

• Aktivierung/Deaktivierung mit POST/DELETE /v1/project/{projectId}/compliance-lock
• Die maximale Aufbewahrungsdauer für Projekte beträgt 365 Tage.
• Die Compliance-Sperre kann nur deaktiviert werden, wenn im Projekt keine Buckets mit Object Lock vorhanden sind.
• Ein Projekt mit aktiver Compliance-Sperre kann nicht gelöscht werden (HTTP 409). Sie müssen zunächst die Compliance-Sperre deaktivieren.

Einzelheiten finden Sie unter Object Lock verwalten.

Ebene 2: Object Lock auf Bucket-Ebene

Sobald die Compliance-Sperre aktiv ist, können einzelne Buckets mit aktivierter Object Lock erstellt werden.

• Die Object Lock kann nur zum Zeitpunkt der Bucket-Erstellung aktiviert werden, nicht danach
• Die Object Lock kann nicht deaktiviert werden, sobald sie für einen Bucket aktiviert ist
• Sie können eine Standardaufbewahrungsrichtlinie für den Bucket konfigurieren, die automatisch für jedes in diesen Bucket hochgeladene Objekt gilt

Einzelheiten finden Sie unter Object Lock verwalten und Konfigurieren Sie die Standardaufbewahrung.

Ebene 3: Aufbewahrung auf Objektebene

Sobald für einen Bucket der Object Lock aktiviert ist, können Sie die Aufbewahrung einzelner Objekte mithilfe der standardmäßigen S3-kompatiblen API verwalten:

• Aufbewahrung: Schützen Sie ein Objekt für einen bestimmten Zeitraum
• Legal Hold: Löschung unabhängig von der Aufbewahrungsfrist verhindern

Einzelheiten finden Sie unter Aufbewahrung auf Objektebene mit S3-API.

Aufbewahrungsmodi

Object Lock unterstützt zwei Aufbewahrungsmodi. In der folgenden Tabelle wird beschrieben, wie sich jeder Modus auf die Aufbewahrungsdauer einzelner Objekte auswirkt:

Modus	Beschreibung	Kann die Aufbewahrung verkürzt werden?	Aufbewahrung verlängerbar?	Retention abnehmbar?
COMPLIANCE	Strengster Schutz. Niemand kann das Objekt löschen oder überschreiben, bis die Aufbewahrungsfrist abgelaufen ist.	NEIN	Ja	NEIN
GOVERNANCE	Objekte sind geschützt, aber Benutzer mit speziellen S3-Berechtigungen (s3:BypassGovernanceRetention) können sie vor Ablauf der Aufbewahrungsfrist ändern oder löschen.	Mit Bypass	Ja	Mit Bypass

Wählen Sie den Modus COMPLIANCE, wenn Sie behördliche Anforderungen erfüllen müssen, die eine unveränderliche Speicherung vorschreiben. Wählen Sie den Modus GOVERNANCE, wenn Sie Schutz vor versehentlichem Löschen benötigen, aber die Möglichkeit zum Entfernen von Objekten in Ausnahmefällen beibehalten möchten.

Verwendung eines S3-Clients mit Object Lock

Wenn Sie mit einem S3-kompatiblen Client (z. B. aws-cli oder boto3) arbeiten, beachten Sie die folgenden Unterschiede gegenüber der STACKIT API:

• Bucket-Erstellung mit Object Lock: Technisch ist es möglich, mit einem S3-Client einen Bucket mit ObjectLockEnabledForBucket=true zu erstellen, auch wenn die Compliance-Sperre auf Projektebene noch nicht aktiviert wurde. Solche Buckets aktivieren nicht den Projektlöschschutz.
• Nur GOVERNANCE-Modus: Ohne eine aktive Compliance-Sperre können Objekte in diesen Buckets nur die GOVERNANCE-Aufbewahrung verwenden. Für den COMPLIANCE-Modus muss die Compliance-Sperre aktiviert sein.

Wenn Sie planen, mit Aufbewahrungsrichtlinien zu arbeiten, aktivieren Sie immer zuerst die Compliance-Sperre. Das sorgt dafür volle COMPLIANCE-Modus-Unterstützung und aktiviert den Projektlöschschutz.

Einschränkungen und Grenzen

Parameter	Wert
Maximale Aufbewahrungsdauer	365 Tage
Aktivierung der Object Lock	Nur zum Zeitpunkt der Bucket-Erstellung
Deaktivierung der Object Lock	Nicht möglich, sobald es für einen Bucket aktiviert ist
Deaktivierung der Compliance-Sperre	Nur wenn im Projekt keine Buckets mit Object Lock vorhanden sind
Löschschutz durch Compliance-Sperre	Das Projekt kann nicht gelöscht werden, während die Compliance-Sperre aktiv ist