MinIO 对象锁定

概述

MinIO 对象锁定（“对象保留”）强制执行一次写入多次读取 (WORM) 不变性，以保护版本化对象免遭删除。MinIO 支持基于持续时间的对象保留和无限期法律保留。

MinIO 对象锁定提供关键数据保留合规性，并根据Cohasset Associates满足 SEC17a-4(f)、FINRA 4511(C) 和 CFTC 1.31(c)-(d) 的要求。

无锁定的存储桶

MinIO 版本控制保留对象变异的完整历史记录。但是，应用程序可以显式删除特定的对象版本。

带锁定的存储桶

对存储桶中对象的应用 30 天 WORM 锁定默认值，确保所有对象版本的最短保留期和保护期。

锁定存储桶中的删除操作

删除操作在版本化存储桶中遵循正常行为，其中 MinIO 为对象创建DeleteMarker。但是，对象的非删除标记版本仍受保留规则约束，并受到任何特定删除或覆盖尝试的保护。

锁定存储桶中的版本化删除操作

MinIO 会阻止任何尝试删除受 WORM 锁定保护的特定对象版本。客户端可以删除该版本的尽早时间是锁定过期时。

MinIO 对象锁定在功能和 API 上与 AWS S3 兼容。此页面总结了 MinIO 实现的对象锁定/保留概念。有关其他资源，请参阅 AWS S3 文档中有关S3 对象锁定工作原理的内容。

您只能在创建存储桶时启用对象锁定，如S3 行为所述。您无法在未启用锁定的存储桶上启用对象锁定。然后，您可以随时配置对象保留规则。对象锁定需要版本控制并隐式启用该功能。

与版本控制的交互

受 WORM 锁定保护的对象在锁定过期或显式解除之前都是不可变的。锁定针对每个对象版本，其中每个版本都是独立不可变的。

如果应用程序对锁定对象执行非版本化删除操作，则该操作会生成删除标记。尝试显式删除任何 WORM 锁定对象都会失败并出现错误。删除标记不符合 WORM 锁定保护的条件。有关更多信息，请参阅 S3 文档中有关管理删除标记和对象生命周期的内容。

例如，考虑以下存储桶，默认情况下启用了GOVERNANCE 模式锁定

$ mc ls --versions play/locking-guide

  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

尝试对data.csv的特定版本执行删除操作由于对象锁定设置而失败

$ mc rm --version-id 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 play/data.csv

  Removing `play/locking-guide/data.csv` (versionId=62429eb1-9cb7-4dc5-b507-9cc23d0cc691).
  mc: <ERROR> Failed to remove `play/locking-guide/data.csv`.
      Object, 'data.csv (Version ID=62429eb1-9cb7-4dc5-b507-9cc23d0cc691)' is
      WORM protected and cannot be overwritten

尝试对data.csv执行非版本化删除操作成功并为对象创建新的DeleteMarker

$ mc rm play/locking-guide/data.csv

  [DATETIME]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

与生命周期管理的交互

MinIO 的对象过期会尊重任何对受过期规则涵盖的对象生效的对象锁定和保留设置。

对于仅针对当前对象版本的过期规则，MinIO 会为已锁定的对象创建删除标记。
对于针对非当前对象版本的过期规则，MinIO 只能在保留期过后或被显式解除（例如法律保留）后才能过期非当前版本。

例如，考虑以下存储桶，默认情况下启用了治理模式锁定，持续 45 天

$ mc ls --versions play/locking-guide

  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

为当前对象（年龄超过 7 天）创建过期规则会导致对象的删除标记

$ mc ls --versions play/locking-guide

  [0D]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

但是，针对非当前对象（年龄超过 7 天）的过期规则只有在配置的 WORM 锁定过期后才会生效。由于存储桶设置了 45 天的 GOVERNANCE 保留，因此只有 data.csv 的 v1 版本已解锁，因此有资格删除。

教程

创建启用了对象锁定的存储桶

您必须在创建存储桶时启用对象锁定，这与 S3 的行为一致。您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 创建启用了对象锁定的存储桶。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。从存储桶列表中选择存储桶行。您可以使用搜索栏过滤列表。

单击创建存储桶按钮打开存储桶创建模态框。切换对象锁定选择器以在存储桶上启用对象锁定。

MinIO CLI

使用 mc mb 命令以及 --with-lock 选项创建启用了对象锁定的存储桶

mc mb --with-lock ALIAS/BUCKET

将 ALIAS 替换为已配置的 MinIO 部署的 别名。
将 BUCKET 替换为要创建的存储桶的 名称。

配置存储桶默认对象保留

您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 配置对象锁定规则（“对象保留”）。

MinIO 支持设置存储桶默认和每个对象的保留规则。以下示例设置存储桶默认保留。对于每个对象的保留设置，请参阅您首选 SDK 使用的 PUT 操作的文档。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。您可以使用搜索栏过滤列表。

每个存储桶行都有一个管理按钮，用于打开该存储桶的管理视图。

在保留部分，选择启用。此部分仅对启用了对象锁定的存储桶可见。

在设置保留配置模态框中，设置所需的存储桶默认保留设置。

对于保留模式，选择合规性或治理。
对于持续时间，选择保留持续时间的单位天或年。
对于保留有效期，设置 MinIO 在指定存储桶的保留模式下保留对象的时间段。

MinIO CLI

使用 mc retention set 命令以及 --recursive 和 --default 选项设置存储桶的默认保留模式

mc retention set --recursive --default MODE DURATION ALIAS/BUCKET

将 MODE 替换为合规性或治理。
将 DURATION 替换为对象锁定保持有效的时间段。
将 ALIAS 替换为已配置的 MinIO 部署的 别名。
将 BUCKET 替换为要设置默认保留规则的存储桶的名称。

启用法律保留

您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 启用或禁用对象的无限期法律保留。

您可以对已在合规性或治理锁定下保留的对象设置法律保留。即使保留锁定过期，对象仍将在法律保留下保持 WORM 锁定状态。您或其他具有必要权限的用户必须显式解除法律保留才能删除 WORM 锁定。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。您可以使用搜索栏过滤列表。

每个存储桶行都有一个管理按钮，用于打开该存储桶的管理视图。

浏览到对象并选择它以打开对象详细信息视图。选择法律保留按钮以切换对象的法律保留状态。

MinIO CLI

使用 mc legalhold set 命令切换对象的法律保留状态。

mc legalhold set ALIAS/PATH

将 ALIAS 替换为已配置的 MinIO 部署的 别名。
将 PATH 替换为要为其启用法律保留的对象的路径。

对象保留模式

MinIO 实现以下 S3 对象锁定模式

模式	摘要
GOVERNANCE 模式	防止任何非特权用户修改或更改对象或其锁定设置的操作。具有存储桶或对象上 `s3:BypassGovernanceRetention` 权限的用户可以修改对象或其锁定设置。在配置的保留规则持续时间过后，MinIO 会自动解除锁定。
COMPLIANCE 模式	防止任何修改或更改对象或其锁定设置的操作。任何 MinIO 用户都无法修改对象或其设置，包括 MinIO root 用户。在配置的保留规则持续时间过后，MinIO 会自动解除锁定。

模式

摘要

GOVERNANCE 模式

防止任何非特权用户修改或更改对象或其锁定设置的操作。

具有存储桶或对象上 s3:BypassGovernanceRetention 权限的用户可以修改对象或其锁定设置。

在配置的保留规则持续时间过后，MinIO 会自动解除锁定。

COMPLIANCE 模式

防止任何修改或更改对象或其锁定设置的操作。

任何 MinIO 用户都无法修改对象或其设置，包括 MinIO root 用户。

在配置的保留规则持续时间过后，MinIO 会自动解除锁定。

治理模式

处于 GOVERNANCE 锁定状态下的对象受非特权用户的写入操作保护。

GOVERNANCE 锁定的对象对已锁定对象强制执行托管不变性，其中具有 s3:BypassGovernanceRetention 操作权限的用户可以修改已锁定对象、更改保留持续时间或完全解除锁定。绕过 GOVERNANCE 保留还需要将 x-amz-bypass-governance-retention:true 标头设置为请求的一部分。

MinIO 的 GOVERNANCE 锁定在功能上与 S3 治理模式相同。

合规性模式

处于 COMPLIANCE 锁定状态下的对象受所有用户的写入操作保护，包括 MinIO root 用户。

COMPLIANCE 锁定的对象强制对已锁定对象进行完全不变性。在配置的保留期限过去之前，您不能更改或删除锁。

MinIO COMPLIANCE 锁在功能上与S3 COMPLIANCE 模式相同。

法律保留

处于法律保留状态的对象受到所有用户的写入操作保护，包括MinIO 根用户。

法律保留是无限期的，并对已锁定对象强制执行完全不变性。只有拥有s3:PutObjectLegalHold权限的拥有特权的用户才能设置或解除法律保留。

法律保留适用于对象级别。如果您为一组对象（例如存储桶的内容）启用法律保留，则随后在该存储桶中创建的对象不受影响。

法律保留与治理模式和合规模式保留设置互补。同时处于法律保留和GOVERNANCE/COMPLIANCE 保留规则下的对象将保持 WORM 锁定状态，直到法律保留解除并且规则过期。

对于GOVERNANCE 锁定的对象，即使用户拥有绕过保留所需的权限，法律保留也会阻止修改对象。