Amazon S3 Object Lock लगाएँ—गलत मोड में मूल खाता भी फाइल नहीं बचाएगा

Amazon S3 Object Lock लगाने के लिए पहले तय करें कि आपात स्थिति में अधिकृत प्रशासक को संरक्षण पार करने की छूट चाहिए या नहीं। फिर सामान्य प्रयोजन वाले बकेट में संस्करण व्यवस्था और Object Lock चालू करें, नए संस्करणों के लिए डिफ़ॉल्ट प्रतिधारण तय करें और नमूना फ़ाइल से मिटाव तथा बहाली जाँचें। Amazon S3 के उत्पाद विवरण के अनुसार Object Lock के साथ संस्करण व्यवस्था अपने आप सक्षम होती है और संरक्षित संस्करण को निर्धारित अवधि में स्थायी मिटाव या अधिलेखन से बचाया जा सकता है।

Governance में विशेष अनुमति वाला उपयोगकर्ता संरक्षण पार कर सकता है। Compliance में संरक्षित संस्करण को खाते का मूल उपयोगकर्ता भी मिटा नहीं सकता और उसकी प्रतिधारण अवधि घटा नहीं सकता; AWS के प्रतिधारण निर्देश दोनों मोड और कानूनी रोक के व्यवहार को स्पष्ट करते हैं। इसलिए अवधि या अनुमतियों पर संदेह हो तो Compliance को वास्तविक फ़ाइलों पर लगाने से पहले अलग बकेट में निर्णय जाँचें।

Governance, Compliance या कानूनी रोक कैसे चुनें

पहला सवाल यह है कि क्या किसी प्रशासक को तय अवधि पूरी होने से पहले संरक्षण हटाने की जरूरत पड़ सकती है। दूसरा सवाल यह है कि संरक्षण कब समाप्त होगा: पहले से तय समय पर या किसी जाँच अथवा विवाद के समाप्त होने पर। इन उत्तरों से विकल्प स्पष्ट होते हैं:

• Governance: अधिकांश उपयोगकर्ताओं को संरक्षित संस्करण मिटाने से रोकना हो, लेकिन सीमित प्रशासकों को अपवाद देना आवश्यक हो, तो यह मोड चुनें। परीक्षण में भी इसका उपयोग किया जा सकता है। अपवाद की अनुमति रखने वाली भूमिका से स्थायी मिटाव संभव है, इसलिए उस अनुमति को सामान्य संचालन वाली भूमिकाओं में न बाँटें।
• Compliance: तय अवधि के भीतर किसी भी उपयोगकर्ता को संरक्षित संस्करण मिटाने, मोड बदलने या अवधि घटाने की छूट नहीं देनी हो, तो यह मोड चुनें। गलती से बहुत लंबी अवधि लगाने पर उस संस्करण के लिए उसे छोटा नहीं किया जा सकेगा; बकेट की भविष्य की डिफ़ॉल्ट अवधि बदलने से पहले का निर्णय नहीं पलटता।
• कानूनी रोक: समाप्ति की तारीख तय न हो और किसी विशेष संस्करण को जाँच या विवाद पूरा होने तक रखना हो, तो उस पर कानूनी रोक लगाएँ। यह किसी निश्चित अवधि से स्वतंत्र रहती है और इसे हटाने की अनुमति रखने वाला उपयोगकर्ता इसे हटा सकता है।

एक संस्करण पर प्रतिधारण अवधि और कानूनी रोक साथ लागू हो सकती हैं। अवधि समाप्त होने के बाद भी कानूनी रोक संस्करण को बचाए रखती है; कानूनी रोक हटने के बाद भी चल रही प्रतिधारण अवधि प्रभावी रहती है। यदि फ़ाइलें नियमित समय पर रखी और हटाई जाती हैं, तो बकेट की डिफ़ॉल्ट अवधि उपयोगी है। किसी खास फ़ाइल की जाँच चल रही हो, तो कानूनी रोक उसी संस्करण पर लगती है, पूरे बकेट पर नहीं।

पहले अलग बकेट में स्थापना का क्रम जाँचें

गैर-संवेदनशील नमूना फ़ाइल के लिए अलग सामान्य प्रयोजन वाला बकेट बनाएँ। AWS के बकेट कॉन्फ़िगरेशन निर्देश नए और मौजूदा बकेट के चरण देते हैं: Object Lock सक्षम होने के बाद उसे बंद नहीं किया जा सकता और उस बकेट की संस्करण व्यवस्था रोकी नहीं जा सकती। इस स्थायी बकेट सेटिंग की जाँच वास्तविक बकेट का नाम चुनने से पहले करें।

1. नया बकेट बनाते समय कंसोल में संस्करण व्यवस्था सक्षम करें और उन्नत सेटिंग में Object Lock चुनें। मौजूदा बकेट के लिए उसकी गुण सूची में Object Lock अनुभाग खोलकर सुविधा सक्षम करें। दोनों स्थितियों में सहेजने से पहले सही बकेट की पहचान जाँचें।
2. Object Lock चालू करने के बाद डिफ़ॉल्ट प्रतिधारण अलग से सक्षम करें। Governance या Compliance मोड चुनें और अवधि दिनों या वर्षों में दर्ज करें। केवल सुविधा चालू होने का अर्थ यह नहीं है कि हर नए संस्करण पर आपकी चुनी अवधि लग गई है।
3. नमूना फ़ाइल अपलोड करके उसकी संस्करण पहचान, मोड और संरक्षण समाप्त होने की तारीख देखें। अपलोड के समय किसी संस्करण के लिए अलग प्रतिधारण दी गई हो तो उसकी अपनी सेटिंग बकेट की डिफ़ॉल्ट सेटिंग से ऊपर लागू होती है। इसलिए वही अपलोड तरीका जाँचें जो वास्तविक फ़ाइलों के लिए इस्तेमाल होगा।
4. मौजूदा बकेट में पहले से रखे संस्करण अलग से देखें। नई डिफ़ॉल्ट अवधि बाद में रखे जाने वाले संस्करणों के लिए है; पुराने संस्करणों को जरूरत के अनुसार अलग प्रतिधारण या कानूनी रोक दें। केवल बकेट की सेटिंग देखकर सभी पुरानी फ़ाइलों को संरक्षित मानना गलत होगा।

अवधि तय करते समय अपेक्षित पुनर्प्राप्ति समय और अनावश्यक या गलत अपलोड को रखने की कीमत दोनों देखें। Compliance में लंबी अवधि किसी संरक्षित संस्करण के लिए वापस नहीं ली जा सकती। परीक्षण बकेट में पहले छोटी, उपयुक्त अवधि और वास्तविक भूमिकाओं जैसी अनुमतियाँ रखकर प्रक्रिया समझना इस निर्णय की परिचालन जाँच है।

अपवाद और जाँच की अनुमतियाँ अलग रखें

Governance का संरक्षण अपवाद की अनुमति पर निर्भर है। AWS के संचालन निर्देश बताते हैं कि s3:BypassGovernanceRetention अनुमति और स्पष्ट अपवाद संकेत के साथ उपयोगकर्ता संरक्षित संस्करण मिटा या उसकी अवधि घटा सकता है। S3 कंसोल ऐसी अनुमति मिलने पर आवश्यक संकेत अपने आप भेजता है। इसलिए अनुमति वाली भूमिका से कंसोल में मिटाव का प्रयास विफल होगा, ऐसा मानना सुरक्षित नहीं है।

बकेट की डिफ़ॉल्ट सेटिंग बदलने, किसी संस्करण की अवधि तय करने, कानूनी रोक लगाने और इन स्थितियों को पढ़ने के अधिकार अलग काम हैं। इन्हें काम के अनुसार दें और पढ़ने वाली भूमिका से नमूना संस्करण का मोड तथा समाप्ति तारीख देख सकना सुनिश्चित करें। यदि फ़ाइल AWS KMS कुंजी से एन्क्रिप्ट है, तो बहाली अभ्यास में उसे पढ़कर भी देखें: Object Lock कुंजी खोने या मिटने पर सामग्री को पढ़ने योग्य नहीं बनाता।

मिटाव के बाद संस्करण सचमुच मिल रहा है या नहीं

नमूना संस्करण पर उसकी प्रतिधारण अवधि के भीतर संस्करण पहचान सहित स्थायी मिटाव आजमाएँ। फिर उसी फ़ाइल को संस्करण पहचान दिए बिना सामान्य तरीके से मिटाएँ। सामान्य मिटाव ऊपर एक डिलीट मार्कर जोड़ सकता है, जिससे फ़ाइल साधारण सूची में गायब दिखती है जबकि संरक्षित पुराना संस्करण मौजूद रहता है। इसीलिए केवल सूची में फ़ाइल का दिखना या गायब होना सुरक्षा का पर्याप्त परीक्षण नहीं है। संस्करण सूची खोलकर पुरानी सामग्री पढ़ें और उसकी पहचान दर्ज करें।

AWS की संस्करण बहाली प्रक्रिया के अनुसार पुराने संस्करण की प्रति बनाकर उसे नया वर्तमान संस्करण बनाया जा सकता है; मौजूदा डिलीट मार्कर हटाने पर भी पिछला संस्करण फिर सामने आ सकता है। प्रति बनाने के लिए कमांड लाइन या विकास किट चाहिए, जबकि कंसोल में मौजूदा डिलीट मार्कर हटाया जा सकता है। जाँच में अपेक्षित सामग्री पढ़कर पुष्टि करें। यदि अपवाद की अनुमति से Governance वाला कोई संस्करण स्थायी रूप से मिट चुका है, तो मूल खाता भी उसी मिटाए गए संस्करण को वापस नहीं ला सकता; पहले जाँची गई बहाली बचा हुआ पुराना संस्करण मिलने पर ही काम करती है।

यह भी पढ़ें:

• फ्रीलांस TDS कट गया पर 26AS में नहीं दिखा—वापसी दावे से पहले सुधार कराएँ
• DeviantArt पर NoAI लगाएँ—यह रोक नहीं, अनुमति न होने का संकेत है
• Shorts में संगीत लगाएँ या नहीं: 45% हिस्सा फिर भी समान क्यों है