Версионирование, MFA Delete и репликация

Управление версиями S3 позволяет сохранять, получать и восстанавливать каждую версию каждого объекта, хранящегося в Bucket. Когда управление версиями включено, каждый PUT создаёт новую версию с уникальным идентификатором версии; старая версия сохраняется, а не перезаписывается. Если объект удалён, S3 добавляет маркер удаления как текущую версию, сохраняя все предыдущие версии. Это защищает от случайной перезаписи и удаления, а также от непреднамеренного повреждения данных на уровне приложения — наиболее распространённых сценариев потери данных в рабочей среде.

Bucket S3 может находиться в одном из трёх состояний управления версиями: без управления версиями (состояние по умолчанию, идентификаторы версий отсутствуют), управление версиями включено (все новые объекты получают уникальные идентификаторы версий, а каждая перезапись создаёт новую версию) или управление версиями приостановлено (новые объекты получают пустой идентификатор версии, но существующие версии сохраняются). После включения управления версиями его нельзя удалить, можно только приостановить. Объекты, созданные до включения управления версиями, имеют идентификатор версии null и не затрагиваются, пока не будут перезаписаны или удалены.

Чтобы восстановить старую версию объекта с включённым управлением версиями, есть два варианта. Вариант 1: скопируйте идентификатор старой версии обратно в тот же ключ. Это создаст новую версию, содержащую копию старого содержимого, и сделает её текущей. Вариант 2: удалите текущую версию или маркер удаления, чтобы предыдущая версия стала текущей. Когда Вы «удаляете» объект в Bucket с включённым управлением версиями через консоль, не указывая идентификатор версии, S3 добавляет маркер удаления. Для запросов без указания версии объект выглядит удалённым, но все версии по-прежнему существуют.

MFA Delete добавляет второй уровень защиты для Bucket с включённым управлением версиями. Если эта функция включена, для безвозвратного удаления определённой версии или изменения состояния управления версиями Bucket (включено → приостановлено) в запросе API необходимо указать действительные учётные данные MFA. Это защищает от злоумышленника, получившего Ваши учётные данные AWS и пытающегося безвозвратно удалить критически важные версии, от случайного или автоматизированного удаления закреплённых версий объектов, а также от внутренних угроз, направленных на уничтожение аудиторских следов. Включать и отключать MFA Delete может только пользователь root через CLI.

S3 Object Lock обеспечивает модель однократной записи и многократного чтения (WORM) для соблюдения нормативных требований. Объекты, заблокированные с помощью Object Lock, нельзя удалить или перезаписать в течение указанного периода хранения, даже пользователю root аккаунта. Доступны два режима: режим управления (пользователи со специальными разрешениями могут отменить или снять блокировку) и режим соответствия требованиям (никто, даже AWS, не может удалить объект в течение периода хранения; это наиболее строгая защита). Object Lock необходимо включить при создании Bucket; также требуется управление версиями.

Cross-Region Replication (CRR) автоматически реплицирует новые объекты и обновления из исходного Bucket в одном регионе в целевой Bucket в другом регионе. Сценарии использования: соответствие требованиям (хранение копии данных в определённой стране), аварийное восстановление (снижение RPO для критически важных данных за счёт копии во втором регионе) и снижение задержки (предоставление объектов из региона, ближайшего к пользователям). Для CRR необходимо включить управление версиями в исходном и целевом Bucket, а также создать роль IAM с необходимыми разрешениями на репликацию.

Same-Region Replication (SRR) реплицирует объекты в пределах одного региона. Сценарии использования: агрегация журналов (репликация журналов из нескольких исходных Bucket в один центральный Bucket), синхронизация тестовой среды (хранение копии рабочих данных в Bucket среды разработки в том же регионе) и соблюдение требований к суверенитету данных в одной стране с несколькими зонами доступности AWS. Как и CRR, SRR требует включить управление версиями в обоих Bucket и использовать роль IAM. Автоматически реплицируются только новые объекты, созданные после включения репликации. Для репликации существующих объектов используйте S3 Batch Replication.

Репликация S3 выполняет репликацию новых объектов, метаданных, тегов, ACLs и состояния шифрования. По умолчанию репликация не выполняет репликацию объектов, существовавших до её включения (для них используйте S3 Batch Replication), маркеров удаления (если не включить Delete Marker Replication), объектов в Glacier (они не реплицируются, сначала их необходимо восстановить) и реплицированных объектов (каскадная репликация между тремя Bucket не выполняется). Понимание этих ограничений важно для разработки полноценных стратегий DR, в которых также требуется реплицировать исторические данные и события удаления.

Replication Time Control (RTC) — это дополнительная функция для CRR, предоставляющая соглашение об уровне обслуживания: 99,99% объектов реплицируются в течение 15 минут, а в CloudWatch доступны метрики репликации и уведомления. Без RTC репликация не имеет гарантированного срока: большинство объектов реплицируется быстро, но для некоторых этот процесс может занять несколько часов. RTC необходима, когда требования к аварийному восстановлению или соответствию нормативам задают максимальную точку восстановления (RPO) для данных в S3. За неё взимается дополнительная плата за репликацию каждого ГБ сверх стандартной стоимости передачи данных при репликации.

Включение версионирования увеличивает стоимость хранения, поскольку S3 сохраняет каждую версию каждого объекта до её явного удаления. Файл размером 100 МБ, который перезаписывается 10 раз, теперь занимает 1 000 МБ хранилища. Снизить эти затраты можно с помощью правил жизненного цикла, которые автоматически удаляют непотекущие версии через заданное количество дней (например, удаляют непотекущие версии старше 30 дней) или перемещают их в более дешёвые классы хранения, такие как Glacier. В рабочей среде всегда используйте версионирование вместе с правилами жизненного цикла, чтобы контролировать стоимость хранения.

Версионирование S3 в сочетании с блокировкой объектов (режим Compliance) обеспечивает надёжную защиту от программ-вымогателей. Если злоумышленник зашифрует или удалит ваши объекты, версионирование сохранит предыдущие версии (если только злоумышленник не удалит их окончательно — именно поэтому блокировка объектов запрещает окончательное удаление в течение периода хранения). Для максимальной защиты: включите версионирование, включите MFA Delete, примените блокировку объектов в режиме Compliance для критически важных данных и реплицируйте данные во второй Region с отдельными учётными данными IAM, чтобы компрометация одной учётной записи не позволила уничтожить все копии.

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что версионирование сохраняет все версии каждого объекта и защищает от случайного удаления, MFA Delete и блокировка объектов обеспечивают дополнительную неизменяемость для соблюдения нормативных требований и защиты от программ-вымогателей, а CRR и SRR реплицируют объекты в другие бакеты для выполнения требований DR и нормативных требований. Далее мы рассмотрим классы хранения S3 и политики жизненного цикла для оптимизации затрат.