MinIO 物件鎖定

概觀

MinIO 物件鎖定（「物件保留」）強制執行一次寫入多次讀取 (WORM) 不可變性，以保護版本化物件免於刪除。 MinIO 同時支援基於持續時間的物件保留和無限期法律保留保留。

MinIO 物件鎖定提供關鍵資料保留合規性，並符合 Cohasset Associates 的 SEC17a-4(f)、FINRA 4511(C) 和 CFTC 1.31(c)-(d) 要求，詳情請參閱Cohasset Associates。

未鎖定的儲存貯體

MinIO 版本控制會保留物件變更的完整歷史記錄。但是，應用程式可以明確刪除特定的物件版本。

已鎖定的儲存貯體

對儲存貯體中的物件套用預設的 30 天 WORM 鎖定，可確保所有物件版本的最短保留期限和保護。

已鎖定儲存貯體中的刪除操作

刪除操作在版本化儲存貯體中遵循正常行為，其中 MinIO 會為物件建立DeleteMarker。但是，物件的非刪除標記版本仍受保留規則約束，並受到任何特定刪除或覆寫嘗試的保護。

已鎖定儲存貯體中的版本化刪除操作

MinIO 會封鎖任何嘗試刪除以 WORM 鎖定保留的特定物件版本的嘗試。用戶端可以刪除版本的最早時間是在鎖定到期之後。

MinIO 物件鎖定在功能和 API 上與 AWS S3 相容。本頁概述了 MinIO 實作的物件鎖定/保留概念。如需其他資源，請參閱 AWS S3 文件中的S3 物件鎖定如何運作。

依照 S3 的行為，您只能在建立儲存貯體時啟用物件鎖定。您無法在未啟用鎖定的情況下建立的儲存貯體上啟用物件鎖定。您可以隨時設定物件保留規則。物件鎖定需要版本控制，並隱式啟用此功能。

與版本控制的互動

在 WORM 鎖定下的物件是不可變的，直到鎖定過期或被明確解除。鎖定是針對每個物件版本，其中每個版本都是獨立不可變的。

如果應用程式對鎖定的物件執行未版本控制的刪除操作，該操作會產生刪除標記。嘗試明確刪除任何 WORM 鎖定的物件會失敗並出現錯誤。刪除標記不符合 WORM 鎖定保護的條件。如需更多資訊，請參閱 S3 關於管理刪除標記和物件生命週期的文件。

例如，考慮以下儲存貯體，其中預設啟用治理模式鎖定

$ mc ls --versions play/locking-guide

  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

由於物件鎖定設定，嘗試對 data.csv 的特定版本執行刪除會失敗

$ mc rm --version-id 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 play/data.csv

  Removing `play/locking-guide/data.csv` (versionId=62429eb1-9cb7-4dc5-b507-9cc23d0cc691).
  mc: <ERROR> Failed to remove `play/locking-guide/data.csv`.
      Object, 'data.csv (Version ID=62429eb1-9cb7-4dc5-b507-9cc23d0cc691)' is
      WORM protected and cannot be overwritten

嘗試對 data.csv 執行未版本控制的刪除會成功，並為該物件建立新的 DeleteMarker

$ mc rm play/locking-guide/data.csv

  [DATETIME]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [DATETIME]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [DATETIME]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [DATETIME]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

與生命週期管理的互動

MinIO 物件過期會遵守過期規則所涵蓋物件的任何有效物件鎖定和保留設定。

對於僅對目前物件版本運作的過期規則，MinIO 會為鎖定的物件建立刪除標記。
對於對非目前物件版本運作的過期規則，MinIO 只能在保留期過後或被明確解除（例如，法律保留）後，讓非目前版本過期。

例如，考慮以下儲存貯體，其中預設啟用治理模式鎖定 45 天

$ mc ls --versions play/locking-guide

  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

為超過 7 天的目前物件建立過期規則會導致該物件的刪除標記

$ mc ls --versions play/locking-guide

  [0D]     0B acce329f-ad32-46d9-8649-5fe8bf4ec6e0 v4 DEL data.csv
  [7D]    29B 62429eb1-9cb7-4dc5-b507-9cc23d0cc691 v3 PUT data.csv
  [30D]    32B 78b3105a-02a1-4763-8054-e66add087710 v2 PUT data.csv
  [60D]    23B c6b581ca-2883-41e2-9905-0a1867b535b8 v1 PUT data.csv

然而，針對超過 7 天的非目前物件的過期規則僅會在設定的 WORM 鎖定過期後才會生效。由於儲存貯體設定了 45 天的 GOVERNANCE 保留期，因此只有 data.csv 的 v1 版本是未鎖定的，因此符合刪除的條件。

教學

建立啟用物件鎖定的儲存貯體

您必須依照 S3 的行為，在建立儲存貯體時啟用物件鎖定。您可以使用 MinIO 主控台、MinIO mc CLI 或使用與 S3 相容的 SDK 來建立啟用物件鎖定的儲存貯體。

MinIO 主控台

選取 MinIO 主控台的儲存貯體區段以存取儲存貯體建立和管理功能。從儲存貯體清單中選取儲存貯體列。您可以使用搜尋列來篩選清單。

按一下建立儲存貯體按鈕以開啟儲存貯體建立模式。切換物件鎖定選取器以啟用儲存貯體上的物件鎖定。

MinIO CLI

使用 mc mb 命令搭配 --with-lock 選項來建立啟用物件鎖定的儲存貯體

mc mb --with-lock ALIAS/BUCKET

將 ALIAS 替換為已設定的 MinIO 部署的別名。
將 BUCKET 替換為要建立的儲存貯體的名稱。

設定儲存貯體預設物件保留

您可以使用 MinIO 主控台、MinIO mc CLI 或使用與 S3 相容的 SDK 來設定物件鎖定規則（「物件保留」）。

MinIO 支援設定儲存貯體預設和每個物件的保留規則。以下範例設定儲存貯體預設保留。對於每個物件的保留設定，請參閱您偏好 SDK 所使用的 PUT 操作文件。

MinIO 主控台

選取 MinIO 主控台的儲存貯體區段以存取儲存貯體建立和管理功能。您可以使用搜尋列來篩選清單。

每個儲存貯體列都有一個管理按鈕，可開啟該儲存貯體的管理檢視。

從保留區段中，選取已啟用。此區段僅適用於建立時啟用物件鎖定的儲存貯體。

從設定保留設定模式中，設定所需的儲存貯體預設保留設定。

對於保留模式，選取合規或治理。
對於期限，選取天或年的保留期限單位。
對於保留有效性，設定 MinIO 在儲存貯體的指定保留模式下保留物件的時間長度。

MinIO CLI

使用 mc retention set 命令搭配 --recursive 和 --default 選項，以設定儲存貯體的預設保留模式

mc retention set --recursive --default MODE DURATION ALIAS/BUCKET

將 MODE 替換為合規或治理。
將 DURATION 替換為物件鎖定保持生效的持續時間。
將 ALIAS 替換為已設定的 MinIO 部署的別名。
將 BUCKET 替換為要在其上設定預設保留規則的儲存貯體名稱。

啟用法律保留

您可以使用 MinIO 主控台、MinIO mc CLI 或使用與 S3 相容的 SDK 來啟用或停用物件的無限期法律保留。

您可以在已經在合規或治理鎖定下的物件上進行法律保留。即使保留鎖定過期，物件仍會保持在法律保留下的 WORM 鎖定狀態。您或具有必要權限的其他使用者必須明確解除法律保留才能移除 WORM 鎖定。

MinIO 主控台

選取 MinIO 主控台的儲存貯體區段以存取儲存貯體建立和管理功能。您可以使用搜尋列來篩選清單。

每個儲存貯體列都有一個管理按鈕，可開啟該儲存貯體的管理檢視。

瀏覽至物件並選取它以開啟物件詳細檢視。選取法律保留按鈕以切換物件的法律保留狀態。

MinIO CLI

使用 mc legalhold set 命令來切換物件的法律保留狀態。

mc legalhold set ALIAS/PATH

將 ALIAS 替換為已設定的 MinIO 部署的別名。
將 PATH 替換為要啟用法律保留的物件路徑。

物件保留模式

MinIO 實作了以下 S3 物件鎖定模式

模式	摘要
治理模式	防止非特權使用者執行任何會變更或修改物件或其鎖定設定的操作。在儲存貯體或物件上具有 `s3:BypassGovernanceRetention` 權限的使用者可以修改物件或其鎖定設定。 MinIO 會在設定的保留規則期限過後自動解除鎖定。
合規模式	防止任何會變更或修改物件或其鎖定設定的操作。沒有任何 MinIO 使用者可以修改物件或其設定，包括 MinIO 根使用者。 MinIO 會在設定的保留規則期限過後自動解除鎖定。

模式

摘要

治理模式

防止非特權使用者執行任何會變更或修改物件或其鎖定設定的操作。

在儲存貯體或物件上具有 s3:BypassGovernanceRetention 權限的使用者可以修改物件或其鎖定設定。

MinIO 會在設定的保留規則期限過後自動解除鎖定。

合規模式

防止任何會變更或修改物件或其鎖定設定的操作。

沒有任何 MinIO 使用者可以修改物件或其設定，包括 MinIO 根使用者。

MinIO 會在設定的保留規則期限過後自動解除鎖定。

治理模式

在 GOVERNANCE 鎖定下的物件會受到保護，防止非特權使用者執行寫入操作。

GOVERNANCE 鎖定的物件會針對鎖定的物件強制執行受管理的不可變性，其中具有 s3:BypassGovernanceRetention 行為的使用者可以修改鎖定的物件、更改保留期限或完全解除鎖定。繞過 GOVERNANCE 保留也需要在請求中設定 x-amz-bypass-governance-retention:true 標頭。

MinIO 的 GOVERNANCE 鎖定在功能上與 S3 治理模式相同。

合規模式

在 COMPLIANCE 鎖定下的物件會受到保護，防止所有使用者執行寫入操作，包括 MinIO 根使用者。

COMPLIANCE 鎖定的物件會針對鎖定的物件強制執行完全的不可變性。在配置的保留期限過期之前，您無法變更或移除鎖定。

MinIO 的 COMPLIANCE 鎖定在功能上與 S3 合規模式相同。

法律保留

在法律保留下的物件會受到保護，防止所有使用者執行寫入操作，包括 MinIO 根使用者。

法律保留是無限期的，並針對鎖定的物件強制執行完全的不可變性。只有具有 s3:PutObjectLegalHold 權限的特權使用者可以設定或解除法律保留。

法律保留在物件層級適用。如果您為一組物件啟用法律保留（例如儲存貯體中的內容），則該儲存貯體中後續建立的物件不受影響。

法律保留是對治理模式和合規模式保留設定的補充。在法律保留和 GOVERNANCE/COMPLIANCE 保留規則下持有的物件，在解除法律保留且規則過期之前，仍會維持 WORM 鎖定。

對於 GOVERNANCE 鎖定的物件，即使使用者具有繞過保留的必要權限，法律保留也會阻止變更物件。