Een bedrijf bewaart back-upbestanden in een Amazon S3-bucket en vereist dat die back-ups ten minste 90 dagen na aanmaak niet kunnen worden verwijderd. Wat moet een SysOps-beheerder implementeren om aan deze beperking te voldoen?

De juiste oplossing is om S3 Object Lock in compliance mode te gebruiken op een nieuwe S3-bucket met een retentieperiode van 90 dagen. In compliance mode kunnen objecten niet worden overschreven of verwijderd door welke gebruiker dan ook, inclusief de root-gebruiker, totdat de retentieperiode is verstreken. Dit voldoet aan de vereiste dat back-ups minimaal 90 dagen niet verwijderbaar zijn. Een IAM policy die s3:DeleteObject blokkeert, is niet voldoende, omdat deze kan worden gewijzigd of verwijderd door een gebruiker met voldoende rechten, waardoor de back-ups alsnog verwijderd kunnen worden. S3 Versioning beschermt objecten niet tegen verwijdering; het bewaart alleen eerdere versies. Governance mode in S3 Object Lock biedt minder strikte bescherming, omdat gebruikers met de juiste IAM-machtigingen de retentie-instellingen nog steeds kunnen wijzigen of objecten kunnen verwijderen.