Qu'est-ce que le mode conformité ?
Le mode conformité est le plus strict des deux modes de rétention d'Object Lock S3. Une version d'objet verrouillée en mode conformité ne peut être ni supprimée ni écrasée par aucun compte, pas même par l'administrateur le plus privilégié, avant sa date de rétention. La durée de rétention ne peut pas être raccourcie et le mode ne peut pas être changé.
Comment fonctionne le mode conformité ?
Quand le logiciel de sauvegarde écrit un objet, il fixe sur cette version une date de fin de rétention et le mode conformité. Dès lors, le système de stockage refuse lui-même toute demande de suppression ou de modification de la version avant cette date. Il n'existe pas d'autorisation de dérogation. Le seul changement admis est la prolongation de la durée de rétention. Une fois la date passée, le verrou prend fin et l'objet peut être supprimé par le traitement de rétention normal.
Pourquoi importe-t-il que personne ne puisse lever le verrou ?
La plupart des attaques contre les sauvegardes ne cassent pas le stockage. Elles passent par un compte administrateur légitime qui a été volé. Un contrôle qu'un administrateur peut désactiver n'arrête pas un attaquant devenu cet administrateur. Le mode conformité retire cette possibilité à tout le monde : la protection ne dépend plus du secret d'un identifiant.
| Scénario | Résultat en mode conformité |
|---|---|
| Serveur de sauvegarde compromis, demandes de suppression envoyées | Refusées par le stockage |
| Compte d'administrateur du stockage volé | Les verrous ne peuvent pas être retirés |
| Erreur d'un administrateur | Les données verrouillées restent |
| La rétention doit être raccourcie | Impossible avant la date |
| La rétention doit être prolongée | Autorisé |
Quelles conséquences pour la planification ?
La force du mode conformité est aussi son coût. Des données verrouillées par erreur, ou plus longtemps que prévu, restent et occupent de la capacité jusqu'à la date. Les durées de rétention se choisissent donc avec soin et se testent d'abord avec des valeurs courtes. La planification de capacité doit inclure toute la durée de verrouillage, plus le supplément que le logiciel de sauvegarde ajoute quand il prolonge les verrous par blocs. Et comme les verrous se mesurent à l'horloge du système de stockage, la source de temps doit être protégée. L'article Ce qui se passe à l'expiration des verrous de rétention décrit le cycle de vie.
Quelle place pour le mode conformité dans une architecture de sauvegarde ?
Le mode conformité s'applique en général à la copie qui doit survivre à tout : la copie immuable de la règle 3-2-1-1-0. Les durées de verrouillage habituelles pour les sauvegardes vont de deux semaines à quelques mois, assez pour couvrir le temps pendant lequel une intrusion peut passer inaperçue. Des durées plus longues servent quand la réglementation exige des enregistrements non modifiables. Le mode limite le rayon d'impact administratif d'un compte volé à ce que ce compte peut faire en dehors des données verrouillées.
Questions fréquentes
Un fournisseur ou un ingénieur de support peut-il retirer un verrou en mode conformité ?
Pas par l'interface S3. Le mode est conçu pour qu'aucun compte ne le puisse. La manière dont un produit se protège contre une altération à plus bas niveau est une question légitime à poser au fournisseur.
Que se passe-t-il si le stockage se remplit de données verrouillées ?
Les nouvelles sauvegardes échouent jusqu'à l'expiration de verrous ou l'ajout de capacité. Les données verrouillées ne peuvent pas être supprimées pour faire de la place.
Un verrou en mode conformité peut-il passer en mode gouvernance ?
Non. Le mode ne peut pas être abaissé et la durée ne peut pas être raccourcie.