Hoe richten we S3 Object Lock concreet in voor immutable backup?

Object Lock zet een bucket in 'write once, read many'-modus, zodat zelfs een gecompromitteerde root-key je backup niet kan wissen tot de retentieperiode is verlopen. Het is het simpelste echte immutable-mechanisme dat je in een MKB-setup kunt opzetten.

Probeer dit eerst zelf

1. 1Maak een nieuwe bucket aan met Object Lock enabled. Belangrijk: je kunt het niet achteraf op een bestaande bucket inschakelen. Naam, regio en lifecycle-rules apart instellen.
2. 2Kies tussen Governance-mode (admins met juiste rechten kunnen toch wissen) of Compliance-mode (niemand kan wissen, ook root niet, tot retention afloopt). Compliance is veiliger, maar onomkeerbaar bij verkeerde retentie-duur.
3. 3Stel een redelijke default retention in (bijvoorbeeld 30 of 90 dagen), niet jaren. Te lange retention = onwisbare opslagkosten als je een fout maakt.
4. 4Configureer je backup-tool (Veeam, NAKIVO, Restic, Duplicacy) om naar deze bucket te schrijven met de Object Lock-flag aan. Test door een testbestand te uploaden en het direct proberen te wissen, dat moet falen.
5. 5Plan retentie-overlap: backup-job-retentie iets korter dan Object Lock-retentie. Anders blijven je objecten in 'expired but locked'-status hangen en betaal je voor opslag die je niet meer gebruikt.
6. 6Zet aparte IAM-credentials voor de backup-tool met alleen PutObject-rechten op deze bucket, geen DeleteObject. Belt-and-braces.

Past het bovenstaande niet?

Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.