Règles de conservation et verrous de règles de conservation

Accéder aux exemples

Cette page présente la fonctionnalité de verrou de bucket, qui permet de configurer des règles de conservation des données associées à un bucket Cloud Storage, lesquelles déterminent la durée de conservation des objets dans le bucket. Cette fonctionnalité permet également de verrouiller les règles de conservation des données, empêchant ainsi la suppression de ces règles ou la réduction de leur durée.

Cette fonctionnalité peut assurer un stockage immuable sur Cloud Storage. Associé au mode de journalisation d'audit détaillé qui consigne les détails des requêtes et des réponses Cloud Storage, le verrou de bucket peut vous aider à respecter les exigences réglementaires et de conformité, telles que celles associés à FINRA, SEC et CFTC. Le verrou de bucket peut également vous aider à respecter certaines réglementations applicables à la conservation des données médicales.

Présentation

  • Vous pouvez ajouter une règle de conservation à un bucket en vue de spécifier une durée de conservation.

    • Si vous n'appliquez aucune règle de conservation à votre bucket, vous pouvez supprimer ou remplacer des objets du bucket à tout moment.

    • Si une règle de conservation est appliquée à un bucket, les objets qu'il contient ne peuvent être supprimés ou remplacés que lorsque leur ancienneté est supérieure à la durée de conservation.

    • Une règle de conservation s'applique rétroactivement aux objets existants dans le bucket, ainsi qu'aux objets qui y sont ajoutés.

  • Vous pouvez verrouiller une règle de conservation de façon à la définir de manière permanente sur le bucket.

    • Une fois que vous avez verrouillé une règle de conservation, vous ne pouvez plus la supprimer ni réduire la durée de conservation définie.

    • Vous ne pouvez pas supprimer un bucket associé à une règle de conservation verrouillée, à moins que chaque objet qu'il contient n'ait atteint la date limite de conservation.

    • Vous pouvez augmenter la durée de conservation associée à une règle de conservation verrouillée.

    • Le verrouillage d'une règle de conservation peut vous aider à respecter les réglementations en termes de conservation des documents.

Règles de conservation

Vous pouvez inclure une règle de conservation au moment de la création d'un bucket, ainsi qu'ajouter une règle de conservation à un bucket existant. Le fait de placer une règle de conservation sur un bucket garantit que tous les objets actuels et futurs qu'il contient ne seront ni supprimés, ni remplacés tant qu'ils n'auront pas atteint l'ancienneté que vous avez définie dans la règle. Les tentatives de suppression ou de remplacement des objets dont l'ancienneté est inférieure à la durée de conservation échouent en générant une erreur 403 - retentionPolicyNotMet.

Par exemple, supposons que vous ayez un bucket contenant deux objets : l'objet A que vous avez ajouté il y a un mois et l'objet B que vous avez ajouté il y a deux ans. Si vous appliquez une règle de conservation au bucket avec une durée de conservation d'un an, vous ne pourrez pas supprimer ni remplacer l'objet A pendant 11 mois. En effet, son ancienneté n'étant que d'un mois, vous devez attendre que celle-ci soit d'au moins un an pour pouvoir supprimer ou remplacer l'objet. L'objet B, en revanche, peut être supprimé ou remplacé immédiatement, car son ancienneté est supérieure à la durée de conservation. Si vous avez décidé de remplacer l'objet B, l'ancienneté de la nouvelle version de cet objet revient à 0 an.

Des métadonnées indiquant le délai d'expiration de la conservation sont associées à chaque objet pour indiquer à quel moment un objet individuel peut être supprimé d'un bucket soumis à une règle de conservation. Ces métadonnées contiennent la date et l'heure auxquelles l'objet aura rempli les conditions de durée de conservation.

Lorsque vous utilisez des règles de conservation, gardez à l'esprit les points suivants :

  • Si la règle de conservation n'est pas verrouillée, vous pouvez la supprimer d'un bucket, ou augmenter ou réduire sa durée.

  • La modification d'une règle de conservation est considérée comme une opération de classe A unique, quel que soit le nombre d'objets concernés.

  • Les métadonnées modifiables d'un objet ne sont pas soumises à la règle de conservation. Vous pouvez donc les modifier, même si l'objet lui-même ne peut pas l'être.

  • Une règle de conservation contient une date d'entrée en vigueur, soit le moment auquel tous les objets du bucket sont garantis conformes à la durée de conservation.

  • Pour connaître la date la plus proche à laquelle un objet donné peut être supprimé d'un bucket soumis à une règle de conservation, affichez la partie correspondant à la date d'expiration de la conservation dans les métadonnées de l'objet.

  • Dans Cloud Storage, les règles de conservation et la gestion des versions d'objets sont des fonctionnalités qui s'excluent mutuellement : pour un bucket donné, une seule d'entre elles peut être activée à la fois. Lorsque vous appliquez une règle de conservation, tous les objets avec des versions gérées restant dans un bucket sont également protégés par cette règle.

  • Vous pouvez utiliser la fonctionnalité de gestion du cycle de vie des objets pour supprimer automatiquement des objets d'un bucket, y compris lorsqu'une règle verrouillée est appliquée. Une règle de cycle de vie ne supprime un objet que si les conditions de durée de conservation ont été remplies.

  • Vous ne devez pas effectuer des importations composites parallèles si vous appliquez des règles de conservation à votre bucket, car les éléments ne peuvent pas être supprimés avant d'avoir atteint la durée minimale de conservation du bucket.

  • Vous pouvez utiliser la contrainte de règle de conservation dans vos règles d'administration pour exiger que les règles de conservation contenant des durées de conservation spécifiques soient incluses dans la création d'un bucket, ou dans le cadre de l'ajout ou de la mise à jour d'une règle de conservation sur un bucket existant.

Durées de conservation

Les durées de conservation sont mesurées en secondes. Cependant, certains outils, tels que Google Cloud Console et gsutil, vous permettent de définir et d'afficher des durées de conservation dans d'autres unités de temps pour plus de commodité. Dans ce cas, les conversions suivantes s'appliquent :

  • Une journée correspond à 86 400 secondes.
  • Un mois correspond à 31 jours, soit 2 678 400 secondes.
  • Une année correspond à 365,25 jours, soit 31 557 600 secondes.

Vous pouvez définir une durée de conservation maximale de 3 155 760 000 secondes (100 ans).

Concernant gsutil, lorsque vous spécifiez une durée de conservation, spécifiez un entier et une unité, où l'unité peut être s, d, m ou y pour indiquer les secondes, les jours, les mois ou les années, respectivement. Seule une unité de temps peut être utilisée dans une commande. Par exemple, vous pouvez utiliser 86400s ou 1d, mais pas 1d30s.

Verrous des règles de conservation

Lorsque vous verrouillez une règle de conservation sur un bucket, vous interdisez sa suppression ou la réduction de sa durée de conservation (celle-ci, en revanche, pouvant toujours être augmentée). Si vous essayez de supprimer une règle ou d'en réduire la durée sur un bucket verrouillé, vous obtenez une erreur 400 BadRequestException. Une fois qu'une règle de conservation est verrouillée, vous ne pouvez pas supprimer le bucket tant que la durée de conservation de chaque objet qu'il contient n'est pas écoulée.

Le verrouillage d'une règle de conservation est irréversible. Il est important de connaître les implications d'une telle opération avant d'utiliser cette fonctionnalité. Lorsque vous utilisez une règle de conservation déverrouillée, vous avez la possibilité de la supprimer, et donc de supprimer des objets quand vous le souhaitez. Lorsque vous verrouillez une règle de conservation, vous devez supprimer l'intégralité du bucket afin de "supprimer" la règle. Cependant, vous ne pouvez pas supprimer le bucket s'il contient des objets dont les conditions de durée de conservation ne sont pas remplies. Ainsi, pour "supprimer" une règle de conservation verrouillée, vous devez attendre que chaque objet du bucket ait atteint sa date limite de conservation, auquel cas vous pouvez supprimer le bucket.

En outre, lorsque vous verrouillez une règle de conservation, Cloud Storage applique automatiquement un privilège à l'autorisation projects.delete du projet contenant le bucket. Une fois en place, le privilège empêche la suppression du projet. Pour supprimer le projet, vous devez d'abord supprimer tous ces privilèges. Notez que la suppression d'un privilège nécessite l'autorisation resourcemanager.projects.updateLiens, qui fait partie des rôles roles/owner et roles/resourcemanager.lienModifier.

Pour connaître en détail la manière dont le verrouillage d'une règle de conservation facilite le respect des réglementations en termes de conservation des données, consultez la page sur la conformité.

Étapes suivantes