MinIO 对象锁定

概述

MinIO 对象锁定（“对象保留”）对已版本控制的对象强制执行“一次写入多次读取”（WORM）不变性，以防止删除。

MinIO 对象锁定提供了关键数据保留合规性，并根据 Cohasset Associates 满足 SEC17a-4(f)、FINRA 4511(C) 和 CFTC 1.31(c)-(d) 的要求。

没有锁定的存储桶

MinIO 版本控制保留对象修改的完整历史记录。但是，应用程序可以显式删除特定对象版本。

有锁定的存储桶

将默认 30 天 WORM 锁应用于存储桶中的对象，以确保所有对象版本的最小保留期和保护。

锁定存储桶中的删除操作

删除操作在已版本控制的存储桶中遵循正常行为，MinIO 为对象创建 DeleteMarker。但是，对象的非 Delete Marker 版本仍受保留规则保护，并免受任何特定删除或覆盖尝试。

锁定存储桶中的版本控制删除操作

MinIO 阻止任何尝试删除处于 WORM 锁定保护下的特定对象版本。客户可能最早可以在锁定过期后删除该版本。

MinIO 对象锁定与 AWS S3 的功能和 API 兼容。本页总结了 MinIO 实现的对象锁定/保留概念。有关其他资源，请参阅 AWS S3 文档中的 S3 对象锁定的工作原理。

您只能在创建存储桶时启用对象锁定，如 S3 行为所示。您无法在没有启用锁定的情况下创建的存储桶上启用对象锁定。然后，您可以随时配置对象保留规则。对象锁定需要版本控制，并隐式启用该功能。

与版本控制的交互

在 WORM 锁定下保存的对象是不可变的，直到锁过期或被显式解除。锁定是针对每个对象版本，每个版本都是独立不可变的。

如果应用程序对锁定对象执行非版本化删除操作，则该操作会生成一个删除标记。尝试显式删除任何 WORM 锁定对象的操作都将失败并出现错误。删除标记*不*符合 WORM 锁定下的保护资格。有关更多信息，请参阅 S3 文档关于管理删除标记和对象生命周期的内容。

例如，考虑以下存储桶，默认情况下启用了治理模式锁定

$ mc ls --versions play/locking-guide

  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

尝试对data.csv的特定版本执行删除操作会因对象锁定设置而失败

$ mc rm --version-id 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 play/data.csv

  Removing `play/locking-guide/data.csv` (versionId=62429eb1-9cb7-4dc5-b507-9cc23d0cc691).
  mc: <ERROR> Failed to remove `play/locking-guide/data.csv`.
      Object, 'data.csv (Version ID=62429eb1-9cb7-4dc5-b507-9cc23d0cc691)' is
      WORM protected and cannot be overwritten

尝试对data.csv执行非版本化删除操作会成功并为该对象创建一个新的DeleteMarker

$ mc rm play/locking-guide/data.csv

  [DATETIME]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

与生命周期管理的交互

MinIO 对象过期会尊重任何对由过期规则涵盖的对象生效的对象锁定和保留设置。

对于仅对当前对象版本起作用的过期规则，MinIO 会为锁定对象创建一个删除标记。
对于对非当前对象版本起作用的过期规则，MinIO 只能在保留期过后或显式解除（例如法律保留）后才能过期非当前版本。

例如，考虑以下存储桶，默认情况下为 45 天启用了治理模式锁定

$ mc ls --versions play/locking-guide

  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

为当前对象创建 7 天以上的过期规则会导致为该对象创建一个删除标记

$ mc ls --versions play/locking-guide

  [0D]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

但是，对于非当前对象创建 7 天以上的过期规则，只有在配置的 WORM 锁定过期后才会生效。由于该存储桶具有 45 天的GOVERNANCE保留设置，因此只有data.csv的v1版本解锁，因此有资格被删除。

教程

创建启用了对象锁定的存储桶

您必须在创建存储桶时启用对象锁定，如 S3 行为所示。您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 来创建启用了对象锁定的存储桶。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。从存储桶列表中选择存储桶行。您可以使用搜索栏来过滤列表。

单击创建存储桶按钮以打开存储桶创建模态。切换对象锁定选择器以在存储桶上启用对象锁定。

MinIO CLI

使用带mc mb命令和--with-lock选项来创建启用了对象锁定的存储桶

mc mb --with-lock ALIAS/BUCKET

将ALIAS替换为配置的 MinIO 部署的别名。
将BUCKET替换为要创建的存储桶的名称。

配置存储桶默认对象保留

您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 来配置对象锁定规则（“对象保留”）。

MinIO 支持设置存储桶默认和每个对象保留规则。以下示例设置存储桶默认保留。对于每个对象保留设置，请参考您首选 SDK 使用的PUT操作的文档。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。您可以使用搜索栏来过滤列表。

每个存储桶行都有一个管理按钮，它将打开该存储桶的管理视图。

从保留部分，选择已启用。此部分仅对启用了对象锁定的存储桶可见。

从设置保留配置模态中，设置所需的存储桶默认保留设置。

对于保留模式，选择合规性或治理。
对于持续时间，选择天或年的保留持续时间单位。
对于保留有效性，设置 MinIO 对存储桶在指定保留模式下保存对象的时间长度。

MinIO CLI

使用带有mc retention set命令的--recursive和--default选项来设置存储桶的默认保留模式

mc retention set --recursive --default MODE DURATION ALIAS/BUCKET

将MODE替换为合规性或治理。
将DURATION替换为对象锁生效的持续时间。
将ALIAS替换为配置的 MinIO 部署的别名。
将BUCKET替换为要设置默认保留规则的存储桶的名称。

启用法律保留

您可以使用 MinIO 控制台、MinIO mc CLI 或使用兼容 S3 的 SDK 来启用或禁用对象的不定法律保留。

您可以在对象处于合规性或治理锁定下时对其进行法律保留。即使保留锁过期，该对象也会在法律保留下保持 WORM 锁定状态。您或其他具有必要权限的用户必须显式解除法律保留才能移除 WORM 锁定。

MinIO 控制台

选择 MinIO 控制台的存储桶部分以访问存储桶创建和管理功能。您可以使用搜索栏来过滤列表。

每个存储桶行都有一个管理按钮，它将打开该存储桶的管理视图。

浏览到该对象并选择它以打开对象详细信息视图。选择法律保留按钮以切换该对象的法律保留状态。

MinIO CLI

使用mc legalhold set命令切换对象的法律保留状态。

mc legalhold set ALIAS/PATH

将ALIAS替换为配置的 MinIO 部署的别名。
将PATH替换为要启用法律保留的对象的路径。

对象保留模式

MinIO 实施以下S3 对象锁定模式

模式	摘要
GOVERNANCE 模式	防止非特权用户执行任何会修改或更改对象或其锁定设置的操作。具有存储桶或对象上`s3:BypassGovernanceRetention`权限的用户可以修改对象或其锁定设置。 MinIO 在配置的保留规则持续时间过后会自动解除锁定。
COMPLIANCE 模式	防止任何会修改或更改对象或其锁定设置的操作。没有 MinIO 用户可以修改对象或其设置，包括MinIO root用户。 MinIO 在配置的保留规则持续时间过后会自动解除锁定。

模式

摘要

GOVERNANCE 模式

防止非特权用户执行任何会修改或更改对象或其锁定设置的操作。

具有存储桶或对象上s3:BypassGovernanceRetention权限的用户可以修改对象或其锁定设置。

MinIO 在配置的保留规则持续时间过后会自动解除锁定。

COMPLIANCE 模式

防止任何会修改或更改对象或其锁定设置的操作。

没有 MinIO 用户可以修改对象或其设置，包括MinIO root用户。

MinIO 在配置的保留规则持续时间过后会自动解除锁定。

治理模式

处于GOVERNANCE锁定下的对象受到非特权用户写入操作的保护。

GOVERNANCE 锁定对象对锁定对象强制实施受管不变性，其中具有 s3:BypassGovernanceRetention 操作权限的用户可以修改锁定对象、更改保留期限或完全解除锁定。绕过 GOVERNANCE 保留还需要在请求中设置 x-amz-bypass-governance-retention:true 标头。

MinIO GOVERNANCE 锁定在功能上与 S3 GOVERNANCE 模式相同。

合规模式

处于 COMPLIANCE 锁定状态的对象受到所有用户的写入操作保护，包括 MinIO 根用户。

COMPLIANCE 锁定对象对锁定对象强制实施完全不变性。您无法在配置的保留期限过去之前更改或删除锁定。

MinIO COMPLIANCE 锁定在功能上与 S3 COMPLIANCE 模式相同。

法律保留

处于法律保留状态的对象受到所有用户的写入操作保护，包括 MinIO 根用户。

法律保留是无限期的，对锁定对象强制实施完全不变性。只有具有 s3:PutObjectLegalHold 权限的特权用户才能设置或解除法律保留。

法律保留适用于对象级别。如果您为一组对象（例如存储桶的内容）启用法律保留，则随后在该存储桶中创建的对象不受影响。

法律保留是对 GOVERNANCE 模式和 COMPLIANCE 模式保留设置的补充。同时处于法律保留和 GOVERNANCE/COMPLIANCE 保留规则下的对象将保持 WORM 锁定状态，直到解除法律保留并规则过期。

对于 GOVERNANCE 锁定对象，法律保留阻止修改对象，即使用户具有绕过保留的必要权限。