StorageGRID での S3 オブジェクトロックの準拠 ILM ポリシー
この例で使用されているS3バケット、ILMルール、およびILMポリシーは、S3オブジェクトロックが有効になっているバケット内のオブジェクトのオブジェクト保護および保持ポリシー要件を満たすILMポリシーを定義する際の出発点として使用できます。
|
|
以前の StorageGRID リリースで従来のコンプライアンス機能を使用していた場合も、この例を参考にして、従来のコンプライアンス機能が有効になっている既存のバケットを管理できます。 |
|
|
以下のILMルールおよびポリシーは、あくまで例です。ILMルールを設定する方法は数多くあります。新しいポリシーを有効にする前に、シミュレーションを実行して、意図したとおりに機能し、コンテンツの損失を防ぐことができることを確認してください。 |
S3オブジェクトロックの例におけるバケットとオブジェクト
この例では、Bank of ABCという名前のS3テナントアカウントが、Tenant Managerを使用して、重要な銀行記録を保存するためにS3 Object Lockが有効になっているバケットを作成しました。
| バケットの定義 | 例の値 |
|---|---|
テナントアカウント名 |
ABC銀行 |
バケット名 |
bank-records |
バケットリージョン |
us-east-1 (デフォルト) |
bank-records バケットに追加される各オブジェクトおよびオブジェクト バージョンは、 `retain-until-date`および `legal hold`設定に次の値を使用します。
| オブジェクトごとの設定 | 例の値 |
|---|---|
|
「2030-12-30T23:59:59Z」(2030年12月30日) 各オブジェクトバージョンには独自の `retain-until-date`設定があります。この設定値は上げることはできますが、下げることはできません。 |
|
「OFF」(無効) 法的保留は、保存期間中であればいつでも、任意のオブジェクトバージョンに対して設定または解除することができます。オブジェクトが法的保留下にある場合、たとえ `retain-until-date`に達していても、オブジェクトを削除することはできません。 |
S3 オブジェクトロックの ILM ルール 1 の例:バケットマッチング付きイレイジャー コーディングプロファイル
このILMルールの例は、Bank of ABCという名前のS3テナントアカウントにのみ適用されます。 `bank-records`バケット内のすべてのオブジェクトに一致し、6+3イレイジャーコーディングプロファイルを使用して、3つのデータセンターサイトのStorage Nodesにイレイジャー コーディングでオブジェクトを保存します。このルールは、S3オブジェクトロックが有効になっているバケットの要件を満たしています。取り込み時間を基準時間として使用し、Storage Nodes上にコピーが0日目から永久に保持されます。
| ルール定義 | 例の値 |
|---|---|
ルール名 |
準拠ルール:銀行記録バケット内のECオブジェクト - ABC銀行 |
テナント アカウント |
ABC銀行 |
バケット名 |
|
詳細フィルター |
オブジェクトサイズ(MB)が1より大きい 注: このフィルターは、1 MB以下のオブジェクトにはイレイジャー コーディングが使用されないようにします。 |
| ルール定義 | 例の値 |
|---|---|
基準時間 |
取り込み時間 |
配置 |
0日目から永久に保存 |
イレイジャー コーディングプロファイル |
|
S3オブジェクトロックのILMルール2の例:非準拠ルール
このILMルールの例では、最初に複製されたオブジェクトのコピーを2つストレージノードに保存します。1年後には、そのコピーがクラウドストレージプールに永久に保存されます。このルールはクラウドストレージプールを使用しているため、準拠しておらず、S3オブジェクトロックが有効になっているバケット内のオブジェクトには適用されません。
| ルール定義 | 例の値 |
|---|---|
ルール名 |
ルール違反:クラウドストレージプールを使用する |
テナントアカウント |
指定なし |
バケット名 |
明記されていませんが、S3 Object Lock(または従来のコンプライアンス機能)が有効になっていないバケットにのみ適用されます。 |
詳細フィルター |
指定なし |
| ルール定義 | 例の値 |
|---|---|
基準時間 |
取り込み時間 |
配置 |
|
S3オブジェクトロックのILMルール3の例:デフォルトルール
このILMルールの例では、オブジェクトデータを2つのデータセンターにあるストレージプールにコピーします。この準拠ルールは、ILMポリシーにおけるデフォルトルールとして設計されています。フィルターは含まれておらず、非現行の参照時間は使用されず、S3オブジェクトロックが有効になっているバケットの要件を満たしています。インジェストを参照時間として使用し、2つのオブジェクトコピーが0日目から永久にストレージノード上に保持されます。
| ルール定義 | 例の値 |
|---|---|
ルール名 |
デフォルトの準拠ルール:2つのコピー、2つのデータセンター |
テナントアカウント |
指定なし |
バケット名 |
指定なし |
詳細フィルター |
指定なし |
| ルール定義 | 例の値 |
|---|---|
基準時間 |
取り込み時間 |
配置 |
運用開始日から永久に、複製されたコピーを2つ保持します。1つはData Center 1のStorage Nodesに、もう1つはData Center 2のStorage Nodesにそれぞれ保存します。 |
S3オブジェクトロックの準拠ILMポリシーの例
S3オブジェクトロックが有効になっているバケット内のオブジェクトを含め、システム内のすべてのオブジェクトを効果的に保護するILMポリシーを作成するには、すべてのオブジェクトのストレージ要件を満たすILMルールを選択する必要があります。次に、ポリシーをシミュレーションして有効化する必要があります。
ポリシーにルールを追加する
この例では、ILM ポリシーには次の順序で 3 つの ILM ルールが含まれています:
-
S3 Object Lock が有効になっている特定のバケット内の 1 MB を超えるオブジェクトを保護するためにイレイジャー コーディングを使用する準拠ルール。オブジェクトは、0日目から永久に Storage Nodes に保存されます。
-
ストレージノード上にオブジェクトの複製コピーを2つ作成し、1年間保持した後、1つのオブジェクトコピーをクラウドストレージプールに永久に移動する、非準拠のルールです。このルールは、クラウドストレージプールを使用しているため、S3 Object Lock が有効になっているバケットには適用されません。
-
デフォルトの準拠ルールでは、0日目から永久に、ストレージノード上に2つの複製されたオブジェクトコピーが作成されます。
ポリシーをシミュレートする
ポリシーにルールを追加し、デフォルトの準拠ルールを選択し、その他のルールを設定したら、S3 オブジェクトロックが有効になっているバケットと他のバケットからオブジェクトをテストして、ポリシーをシミュレートする必要があります。例えば、例示のポリシーをシミュレートする場合、テストオブジェクトは次のように評価されることが予想されます。
-
最初のルールは、ABC銀行テナントのバケット「bank-records」内で、1 MBを超えるテストオブジェクトのみに一致します。
-
2番目のルールは、他のすべてのテナントアカウントの、すべての非準拠バケット内のすべてのオブジェクトに一致します。
-
デフォルトのルールでは、以下のオブジェクトが一致します:
-
バケット「bank-records」内の、ABC銀行テナントのオブジェクト(サイズ1 MB以下)。
-
他のテナントアカウントすべてに対して S3 Object Lock が有効になっている、他のバケット内のオブジェクト。
-
ポリシーを有効にする
新しいポリシーが期待どおりにオブジェクトデータを保護していることを完全に確認できたら、それを有効化できます。