AWS S3 Object Lock

Définition

AWS S3 Object Lock est une fonctionnalité de S3 permettant de stocker des objets en utilisant le modèle WORM (Write Once Read Many), empêchant la suppression ou la modification d'un objet pendant une période de rétention définie. Object Lock protège les données critiques contre la suppression accidentelle, la suppression malveillante (ransomware chiffrant ou supprimant les backups S3), et la modification non autorisée, constituant un mécanisme de protection des backups cloud fondamental. S3 Object Lock propose deux modes de rétention. Le mode Governance autorise les utilisateurs avec la permission s3:BypassGovernanceRetention de modifier ou supprimer les objets verrouillés, permettant aux administrateurs de gérer les objets en cas de besoin légitime. Le mode Compliance est plus strict : aucun utilisateur, pas même le root account AWS, ne peut supprimer ou modifier un objet pendant la période de rétention. Ce mode est requis pour les environnements soumis à des réglementations strictes (SEC 17a-4, CFTC, PCI DSS). Object Lock prend en charge deux types de rétention. La Retention Period définit une durée fixe (exprimée en jours ou en années) pendant laquelle l'objet est protégé. Le Legal Hold est une rétention indéfinie activée ou désactivée manuellement, utilisée lors de procédures légales ou d'investigations (l'objet ne peut pas être supprimé tant que le Legal Hold est actif). L'utilisation d'Object Lock pour la protection des backups contre les ransomwares est un cas d'usage critique : les backups S3 avec Object Lock en mode Compliance ne peuvent pas être chiffrés ou supprimés par un ransomware, même si ses credentials AWS sont compromis avec des droits S3 complets. Cette protection vaut pour les sauvegardes créées par AWS Backup, Veeam, Commvault, ou tout autre outil de backup S3-compatible. La configuration d'Object Lock doit être activée lors de la création du bucket (elle ne peut pas être activée ultérieurement), et le versioning doit être activé (Object Lock fonctionne au niveau des versions d'objets). La période de rétention par défaut peut être configurée au niveau du bucket ou au niveau de chaque objet lors de son upload.