¿Qué es el modo de cumplimiento?
El modo de cumplimiento es el más estricto de los dos modos de retención de S3 Object Lock. Una versión de un objeto bloqueada en modo de cumplimiento no puede ser eliminada ni sobrescrita por ninguna cuenta, ni siquiera por el administrador con más privilegios, hasta que ha pasado su fecha de retención. El periodo de retención no puede acortarse y el modo no puede cambiarse.
¿Cómo funciona el modo de cumplimiento?
Cuando el software de copia de seguridad escribe un objeto, fija en esa versión una fecha de fin de retención y el modo de cumplimiento. A partir de entonces, el propio sistema de almacenamiento rechaza cualquier petición de eliminar o alterar la versión antes de esa fecha. No existe ningún permiso de omisión. El único cambio permitido es ampliar el periodo de retención. Cuando pasa la fecha, el bloqueo termina y el proceso de retención normal puede eliminar el objeto.
¿Por qué importa que nadie pueda levantar el bloqueo?
La mayoría de los ataques a las copias no rompen el almacenamiento. Usan una cuenta de administrador legítima que ha sido robada. Un control que un administrador puede desactivar no detiene a un atacante que se ha convertido en ese administrador. El modo de cumplimiento elimina esa opción para todos, de modo que la protección no depende de que una credencial siga siendo secreta.
| Escenario | Resultado en modo de cumplimiento |
|---|---|
| Servidor de copias comprometido, se envían peticiones de borrado | Rechazadas por el almacenamiento |
| Cuenta de administrador del almacenamiento robada | Los bloqueos no pueden retirarse |
| Un administrador comete un error | Los datos bloqueados permanecen |
| Hay que acortar la retención | No es posible hasta que pasa la fecha |
| Hay que ampliar la retención | Permitido |
¿Qué consecuencias tiene para la planificación?
La fortaleza del modo de cumplimiento es también su coste. Los datos bloqueados por error, o durante más tiempo del previsto, permanecen y ocupan capacidad hasta que llega la fecha. Por eso los periodos de retención deben elegirse con cuidado y probarse primero con valores cortos. La planificación de capacidad tiene que incluir todo el periodo de bloqueo más el margen que añade el software de copia cuando amplía los bloqueos por bloques. Y como los bloqueos se miden con el reloj del sistema de almacenamiento, hay que proteger la fuente de hora. El artículo Qué ocurre cuando caducan los bloqueos de retención trata el ciclo de vida.
¿Cómo encaja el modo de cumplimiento en un diseño de copias de seguridad?
El modo de cumplimiento se aplica normalmente a la copia que debe sobrevivir a todo: la copia inmutable de la regla 3-2-1-1-0. Los periodos de bloqueo habituales para copias van de un par de semanas a unos meses, lo suficiente para cubrir el tiempo que una intrusión puede pasar inadvertida. Se usan periodos más largos cuando la normativa exige registros que no puedan alterarse. El modo limita el radio de impacto administrativo de una cuenta robada a lo que esa cuenta puede hacer fuera de los datos bloqueados.
Preguntas frecuentes
¿Puede un fabricante o un técnico de soporte retirar un bloqueo en modo de cumplimiento?
No a través de la interfaz S3. El modo está diseñado para que ninguna cuenta pueda hacerlo. Cómo protege un producto frente a la manipulación a más bajo nivel es una pregunta razonable para el fabricante.
¿Qué ocurre si el almacenamiento se llena de datos bloqueados?
Las copias nuevas fallan hasta que caducan bloqueos o se añade capacidad. Los datos bloqueados no pueden eliminarse para hacer sitio.
¿Se puede cambiar un bloqueo de modo de cumplimiento a modo de gobernanza?
No. El modo no puede rebajarse y el periodo no puede acortarse.