AWS S3オブジェクトロックとは？分かりやすく簡単解説

AWS S3には、オブジェクトロックという機能があるのをご存知でしょうか？

S3が非常に便利で、最高に使いやすいソリューションであるのは間違いないのですが、誤ってデータが削除されてしまうリスクはどうしても避けられません。

そんなリスクに対応できるのが、S3オブジェクトロックです。

この記事では、S3オブジェクトロックの概要について、初心者にも分かりやすく解説していきます。

S3オブジェクトロックとは？

S3オブジェクトロックは、Amazon S3の機能の一つでデータの削除や上書きを防ぐための仕組みです。

特定の期間、または無期限でオブジェクトを保護し、意図しないデータの改変や削除を防ぐことができます。

S3オブジェクトロックには2つの管理方法があります。

種類	説明
保持期間	オブジェクトごとに「この期間は上書き、削除できない」と期限を指定することができます。
リーガルホールド	法的な理由などでデータを保持し続ける場合、一時的に上書き、削除を禁止できます。保持期間と違い、期限なしで設定・解除が可能です。

スクロールできます

一見同時に設定できなさそうに見えますが、それぞれ独立しているため設定できます。
リーガルホールドは期限がないためいつでも解除ができますが、それは明示的に解除をしない限りは操作ができないと言うことです。

例えば、保持期間が過ぎた後でも、リーガルホールドが有効であれば削除できません。

S3オブジェクトロックには2つの保持モードがあります。

モード	説明
ガバナンスモード (Governance Mode)	特定のIAMユーザーやロールはオブジェクトを上書き、削除できるが、通常のユーザーはできない
コンプライアンスモード (Compliance Mode)	rootユーザを含めた全てのユーザーが削除や変更できない完全な保護モード

スクロールできます

コンプライアンスモードはかなり強力で、保持期間内に万一削除が必要になった場合は、AWSアカウントごと削除をしなければならない徹底ぶりです。間違って設定しないようにしましょう。

保持モードに何故このような名前がついているのか、ちょっと寄り道して見ていきましょう。

前述の通り、ガバナンスモードは、「特定の管理者が解除できる」モードです。

コンプライアンスモードは「誰も解除できない絶対的なロック」です。

まとめると、「ガバナンス」はルールを運用しながら管理、「コンプライアンス」は決めたルールを完全に守ることを強制するために利用します。

ユースケース

オブジェクト誤削除の防止
誤って重要なデータを削除してしまうのを防ぐために活用
バックアップデータの保護
定期的なバックアップデータを一定期間削除されないようにすることで、安全にデータを保持することができます
コンプライアンス対応
コンプライアンス要件として一定期間データを保持することが義務付けられている場合に、オブジェクトロックを利用することで規制を満たせます
ランサムウェア対策
データを変更不可とするため、データを暗号化して身代金を要求するランサムウェア攻撃から防御するために、オブジェクトロックを活用できます

S3オブジェクトロック自体には追加料金は発生しません。
ただし、当たり前ですがオブジェクトロックを有効にしたデータそのもののストレージ料金は発生します。

そのため、データが削除できない期間が長くなればなるほど、ストレージコストがかかる点に注意してください。

オブジェクトが変更されていないことを確認する必要があるため、バージョニング有効化が必須です。

AWSマネジメントコンソールで、S3コンソールでバケットを選択、または作成する。
バケットのプロパティでバージョニングとオブジェクトロックを有効にする。
保存したいオブジェクトを作成したバケットにアップロード
※ マネジメントコンソール上では、アップロードと同時にオブジェクトロックの有効化はできません
アップロードしたオブジェクトの「プロパティ」を開き、「オブジェクトロック」を設定
- 保持モード(ガバナンスモード/コンプライアンス)を選択
- 保持期日を指定
必要に応じてリーガルホールドを設定
設定を保存

S3オブジェクトロックは、データの削除や変更を防ぎ、安全性を向上させてくれます。