保存庫鎖定政策 - Amazon S3 Glacier
範例 1：用於不超過 365 天的封存之拒絕刪除權限範例 2：根據標籤拒絕刪除權限

此頁面僅適用於使用 Vault 和 REST API 2012 年原始版本的 S3 Glacier 服務的現有客戶。

如果您要尋找封存儲存解決方案，建議您在 Amazon S3、S3 Glacier S3 Instant Retrieval、S3 Glacier Flexible Retrieval 和 S3 Glacier Deep Archive 中使用 S3 Glacier 儲存類別。若要進一步了解這些儲存選項，請參閱 Amazon S3 使用者指南 中的使用 S3 Glacier 儲存類別的 S3 Glacier 儲存類別和長期資料儲存。 Amazon S3 這些儲存類別使用 Amazon S3 API，適用於所有區域，並且可以在 Amazon S3 主控台中管理。它們提供 Storage Cost Analysis、Storage Lens、進階選用加密功能等功能。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

保存庫鎖定政策

Amazon S3 Glacier (S3 Glacier) 保存庫可以有一個資源型保存庫存取政策，和一個連接到該保存庫的保存庫鎖定政策。保存庫鎖定政策是您可以鎖定的保存庫存取政策。使用保存庫鎖定政策可協助您強制執行法規和合規要求。Amazon S3 Glacier 提供一組API操作，供您管理保存庫鎖定政策，請參閱 使用 S3 Glacier API 鎖定文件庫。

做為保存庫鎖定政策的範例，假設您的保存庫必須保留封存一年才能將其刪除。為了實作此要求，您可以建立保存庫鎖定政策，拒絕使用者刪除封存的權限，直到封存已存在一年。您可以在鎖定之前測試此政策。鎖定政策後，政策將不可改變。如需鎖定程序的詳細資訊，請參閱保存庫鎖定政策。如果您要管理可以變更的其他使用者許可，則可以使用保存庫存取政策 (請參閱 保存庫存取政策)。

您可以使用 S3 Glacier SDKs AWS CLI、APIAmazon 或 S3 Glacier 主控台來建立和管理保存庫鎖定政策。如需有關保存庫資源型政策所允許的 S3 Glacier 動作清單，請參閱 API 許可參考。

範例 1：用於不超過 365 天的封存之拒絕刪除權限

假設有一個法規要求，封存保留長達一年，才能將它們刪除。您可以透過實作以下保存庫鎖定政策來強制執行該要求。文件庫存取政策拒絕 glacier:DeleteArchive 動作 examplevault 如果要刪除的檔案小於 1 年。該政策使用特定於 S3 Glacier 的條件索引鍵 ArchiveAgeInDays，來強制執行一年的保留要求。

{
               "Version":"2012-10-17",
               "Statement":[
                  {
                     "Sid": "deny-based-on-archive-age",
                     "Principal": "*",
                     "Effect": "Deny",
                     "Action": "glacier:DeleteArchive",
                     "Resource": [
                        "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault"
                     ],
                     "Condition": {
                        "NumericLessThan" : {
                              "glacier:ArchiveAgeInDays" : "365"
                              }
                           }
                        }
                     ]
                  }

假設您有一個以時間為基礎的保留規則，即一個封存可以在不到一年的時間內被刪除。同時，假設您需要對封存進行合法保留，以防止在法律調查期間無限期地刪除或修改。在這種情況下，法律保留優先於保存庫鎖定政策中指定的以時間為基礎的保留規則。

為了實施這兩個規則，以下範例政策有兩個陳述式：

  • 第一個陳述式拒絕給每個人的刪除許可、鎖定文件庫。此鎖是使用 LegalHold 標籤執行的。

  • 第二個陳述式授予封存小於 365 天的刪除權限。但是，即使存檔少於 365 天，在第一個陳述式中的條件符合時，就沒有人可以將封存刪除。


               {
               "Version":"2012-10-17",
               "Statement":[
                  {
                     "Sid": "lock-vault",
                     "Principal": "*",
                     "Effect": "Deny",
                     "Action": [
                        "glacier:DeleteArchive"
                     ],
                     "Resource": [
                        "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault"
                     ],
                     "Condition": {
                        "StringLike": {
                           "glacier:ResourceTag/LegalHold": [
                           "true",
                           ""
                           ]
                        }
                     }
                     },
                     {
                     "Sid": "you-can-delete-archive-less-than-1-year-old",
                     "Principal": {
                           "AWS": "arn:aws:iam::123456789012:root"
                        },
                     "Effect": "Allow",
                     "Action": [
                        "glacier:DeleteArchive"
                     ],
                     "Resource": [
                        "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault"
                     ],
                     "Condition": {
                        "NumericLessThan": {
                           "glacier:ArchiveAgeInDays": "365"
                        }
                     }
                     }
                  ]
               }