Was ist der Compliance-Modus?
Der Compliance-Modus (Compliance Mode) ist der strengere der beiden Aufbewahrungsmodi von S3 Object Lock. Eine im Compliance-Modus gesperrte Objektversion kann von keinem Konto gelöscht oder überschrieben werden, auch nicht vom Administrator mit den höchsten Rechten, bis das Aufbewahrungsdatum erreicht ist. Die Aufbewahrungsfrist lässt sich nicht verkürzen, und der Modus lässt sich nicht ändern.
Wie funktioniert der Compliance-Modus?
Schreibt die Backup-Software ein Objekt, setzt sie auf dieser Objektversion ein Aufbewahrungsdatum und den Compliance-Modus. Von da an lehnt das Speichersystem selbst jede Anfrage ab, die Version vor diesem Datum zu löschen oder zu ändern. Eine Bypass-Berechtigung gibt es nicht. Erlaubt ist nur die Verlängerung der Aufbewahrungsfrist. Ist das Datum erreicht, endet die Sperre, und die reguläre Aufbewahrungsverarbeitung kann das Objekt entfernen.
Warum zählt es, dass niemand die Sperre aufheben kann?
Die meisten Angriffe auf Backups brechen den Speicher nicht auf. Sie nutzen ein gestohlenes, legitimes Administratorkonto. Eine Kontrolle, die ein Administrator abschalten kann, hält einen Angreifer nicht auf, der zu diesem Administrator geworden ist. Der Compliance-Modus nimmt diese Möglichkeit allen. Der Schutz hängt also nicht davon ab, dass Zugangsdaten geheim bleiben.
| Szenario | Ergebnis im Compliance-Modus |
|---|---|
| Backup-Server kompromittiert, Löschanfragen gesendet | Vom Speicher abgelehnt |
| Konto des Speicheradministrators gestohlen | Sperren lassen sich nicht entfernen |
| Fehler eines Administrators | Gesperrte Daten bleiben erhalten |
| Aufbewahrung soll verkürzt werden | Nicht möglich, bis das Datum erreicht ist |
| Aufbewahrung soll verlängert werden | Erlaubt |
Was bedeutet das für die Planung?
Die Stärke des Compliance-Modus ist zugleich sein Preis. Versehentlich oder zu lange gesperrte Daten bleiben und belegen Kapazität, bis das Datum erreicht ist. Aufbewahrungsfristen sollten deshalb sorgfältig gewählt und zuerst mit kurzen Werten getestet werden. Die Kapazitätsplanung muss den gesamten Sperrzeitraum enthalten, dazu den Zuschlag, der entsteht, wenn die Backup-Software Sperren blockweise verlängert. Und weil Sperren an der Uhr des Speichersystems gemessen werden, muss die Zeitquelle geschützt sein. Der Beitrag Was passiert, wenn Aufbewahrungssperren ablaufen behandelt den Lebenszyklus.
Wie passt der Compliance-Modus in ein Backup-Design?
Der Compliance-Modus gilt üblicherweise für die Kopie, die alles überstehen muss: die unveränderliche Kopie der 3-2-1-1-0-Regel. Typische Sperrfristen für Backups reichen von zwei Wochen bis zu einigen Monaten und decken damit die Zeit ab, in der ein Eindringen unbemerkt bleiben kann. Längere Fristen kommen zum Einsatz, wenn Vorschriften unveränderbare Aufzeichnungen verlangen. Der Modus begrenzt den administrativen Blast Radius eines gestohlenen Kontos auf das, was dieses Konto außerhalb der gesperrten Daten tun kann.
Häufig gestellte Fragen
Kann ein Hersteller oder Support-Techniker eine Sperre im Compliance-Modus entfernen?
Nicht über die S3-Schnittstelle. Der Modus ist so ausgelegt, dass kein Konto das kann. Wie ein Produkt vor Manipulation auf tieferer Ebene schützt, ist eine berechtigte Frage an den Hersteller.
Was passiert, wenn der Speicher mit gesperrten Daten vollläuft?
Neue Backups schlagen fehl, bis Sperren ablaufen oder Kapazität ergänzt wird. Gesperrte Daten lassen sich nicht löschen, um Platz zu schaffen.
Lässt sich eine Sperre im Compliance-Modus in den Governance-Modus ändern?
Nein. Der Modus lässt sich nicht herabstufen und die Frist nicht verkürzen.