全部产品
Search
文档中心

对象存储 OSS:保留策略

更新时间:Jan 13, 2023

对象存储OSS支持WORM特性,允许用户以“不可删除、不可篡改”方式保存和使用数据,符合美国证券交易委员会(SEC)和金融业监管局(FINRA)的合规要求。

前提条件

  • 华东1(杭州)、华东2(上海)、华东6(福州-本地地域)、华北1(青岛)、华北2(北京)、华北 3(张家口)、华北5(呼和浩特)、华北6(乌兰察布)、华南1(深圳)、华南2(河源)、华南3(广州)、西南1(成都)、中国香港、美国(硅谷)、日本(东京)、韩国(首尔)、新加坡、澳大利亚(悉尼)、马来西亚(吉隆坡)、印度尼西亚(雅加达)、菲律宾(马尼拉)、泰国(曼谷)、印度(孟买)、德国(法兰克福)、英国(伦敦)、阿联酋(迪拜)地域支持设置保留策略。

  • 确保需要设置保留策略的Bucket未开启版本控制。关于版本控制的更多信息,请参见版本控制介绍

使用场景

OSS提供强合规策略,您可以针对存储空间(Bucket)设置基于时间的保留策略。当策略锁定后,您可以在Bucket中上传和读取文件(Object),但是在Object的保留时间到期之前,任何用户都无法删除Object和策略。Object的保留时间到期后,才可以删除Object。OSS支持的WORM特性,适用于金融、保险、医疗、证券、日志数据等保审查等场景。您可以基于OSS搭建云上数据合规存储空间。

说明

OSS是目前已通过Cohasset Associates审计认证的云服务,可满足严格的电子记录保留要求,例如SEC Rule 17a-4(f)、FINRA 4511、CFTC 1.31等合规要求。更多信息,请参见OSS Cohasset Assessment Report

注意事项

  • 目前仅支持针对Bucket级别设置保留策略。

  • 同一个Bucket中,不建议同时开通OSS-HDFS服务并设置保留策略。

    如果Bucket开通了OSS-HDFS服务并设置了保留策略,会导致通过OSS-HDFS提供的方式删除.dlsdata/目录下的数据时提示删除成功,但在保留策略有效期内OSS仍将保留该目录下被删除的数据,且在保留策略失效后也无法识别并删除.dlsdata/目录下相关的数据。

  • Bucket内的Object在保留策略生效期间,可通过设置生命周期规则进行存储类型转化,在保证合规性的前提下,降低存储成本。

规则说明

  • 生效规则

    当基于时间的保留策略创建后,该策略默认处于InProgress状态,且该状态的有效期为24小时。在有效期24小时内,此策略对应的Bucket资源处于保护状态。

    • 启动保留策略24小时内

      • 如果24小时内未提交锁定保留策略,则Bucket所有者以及授权用户可以删除该策略。

      • 如果24小时内已提交锁定保留策略,则不允许删除该策略,且无法缩短策略保护周期,仅可以延长保护周期。

      • 如果24小时内已提交锁定保留策略,则Bucket内的数据处于被保护状态时,如果您尝试删除或修改这些数据,OSS将返回409 FileImmutable的错误信息。

    • 启动保留策略24小时后

      如果超过24小时未锁定该保留策略,则该策略自动失效,您可以删除该策略。

  • 删除规则

    • 基于时间的保留策略是Bucket的一种Metadata属性。当删除某个Bucket时,该Bucket对应的保留策略也会被删除。

    • 启动保留策略24小时内,如果该保留策略未提交锁定,则Bucket所有者以及授权用户可以删除该策略。

    • 如果Bucket内有Object处于保护周期内,那么您将无法删除保留策略,同时也无法删除Bucket。

  • 规则示例

    假设您在2022年06月01日为您账号下的某个Bucket创建了保护周期为30天的保留策略,且该策略在创建后进入锁定状态。您在不同时间上传了file1.txt、file2.txt、file3.txt三个Object。关于这三个Object的具体上传时间以及对应的到期时间说明如下:

    Object名称

    上传时间

    Object到期时间

    file1.txt

    2022年04月01日

    2022年04月30日

    file2.txt

    2022年06月01日

    2022年06月30日

    file3.txt

    2022年09月01日

    2022年09月30日

使用OSS控制台

  1. 创建保留策略。

    1. 登录OSS管理控制台

    2. 在左侧导航栏,选择数据安全>保留策略

    3. 保留策略页面,单击创建策略

    4. 创建策略对话框,指定保留周期。

      说明

      保留周期以天为单位,取值范围为1~25,550。

    5. 单击确定

      说明

      策略状态为待锁定。该状态的有效期为24小时。在有效期24小时内,该策略对应的Bucket资源处于保护状态。如果您不希望保留该策略,您可以在有效期24小时内删除策略。

  2. 锁定保留策略。

    1. 单击锁定

    2. 在弹出的对话框,单击确定

      重要

      基于时间的保留策略被锁定后,您将无法锁定保留周期或者删除保留策略,且在保留周期内无法修改或删除Bucket中的数据。

  3. (可选)修改保留周期。

    1. 单击编辑

    2. 在弹出的对话框,修改保留周期。

      重要

      您可以延长保留周期,但无法缩短保留周期。

使用阿里云SDK

以下仅列举常见SDK的设置保留策略的代码示例。关于其他SDK的设置保留策略代码示例,请参见SDK简介

import com.aliyun.oss.ClientException;
import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.InitiateBucketWormRequest;
import com.aliyun.oss.model.InitiateBucketWormResult;

public class Demo {

    public static void main(String[] args) throws Exception {
        // Endpoint以华东1(杭州)为例,其它Region请按实际情况填写。
        String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
        // 阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。
        String accessKeyId = "yourAccessKeyId";
        String accessKeySecret = "yourAccessKeySecret";
        // 填写Bucket名称,例如examplebucket。
        String bucketName = "examplebucket";

        // 创建OSSClient实例。
        OSS ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret);

        try {
            // 创建InitiateBucketWormRequest对象。
            InitiateBucketWormRequest initiateBucketWormRequest = new InitiateBucketWormRequest(bucketName);
            // 指定Object保护天数为1天。
            initiateBucketWormRequest.setRetentionPeriodInDays(1);

            // 创建保留策略。
            InitiateBucketWormResult initiateBucketWormResult = ossClient.initiateBucketWorm(initiateBucketWormRequest);

            // 查看保留策略ID。
            String wormId = initiateBucketWormResult.getWormId();
            System.out.println(wormId);
        } catch (OSSException oe) {
            System.out.println("Caught an OSSException, which means your request made it to OSS, "
                    + "but was rejected with an error response for some reason.");
            System.out.println("Error Message:" + oe.getErrorMessage());
            System.out.println("Error Code:" + oe.getErrorCode());
            System.out.println("Request ID:" + oe.getRequestId());
            System.out.println("Host ID:" + oe.getHostId());
        } catch (ClientException ce) {
            System.out.println("Caught an ClientException, which means the client encountered "
                    + "a serious internal problem while trying to communicate with OSS, "
                    + "such as not being able to access the network.");
            System.out.println("Error Message:" + ce.getMessage());
        } finally {
            if (ossClient != null) {
                ossClient.shutdown();
            }
        }
    }
}
<?php
if (is_file(__DIR__ . '/../autoload.php')) {
    require_once __DIR__ . '/../autoload.php';
}
if (is_file(__DIR__ . '/../vendor/autoload.php')) {
    require_once __DIR__ . '/../vendor/autoload.php';
}

use OSS\OssClient;
use OSS\Core\OssException;

// 阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。
$accessKeyId = "yourAccessKeyId";
$accessKeySecret = "yourAccessKeySecret";
// Endpoint以杭州为例,其它Region请按实际情况填写。
$endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
// 填写Bucket名称,例如examplebucket。
$bucket= "examplebucket";

$ossClient = new OssClient($accessKeyId, $accessKeySecret, $endpoint, false);

try {
    // 创建保留策略,指定Object保护天数为30天。
    $wormId = $ossClient->initiateBucketWorm($bucket, 30);

    // 查看保留策略ID。
    print($wormId);
} catch (OssException $e) {
    printf(__FUNCTION__ . ": FAILED\n");
    printf($e->getMessage() . "\n");
    return;
}

print(__FUNCTION__ . ": OK" . "\n");
const OSS = require('ali-oss');

const client = new OSS({
  // yourregion填写Bucket所在地域。以华东1(杭州)为例,Region填写为oss-cn-hangzhou。
  region: 'yourregion',
  // 阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。
  accessKeyId: 'yourAccessKeyId',
  accessKeySecret: 'yourAccessKeySecret'
});
// 创建保留策略。
async function initiateBucketWorm() {
 // 填写Bucket名称,例如examplebucket。
  const bucket = 'examplebucket'
  // 指定Object保护天数。
  const days = '30'
        const res = await client.initiateBucketWorm(bucket, days)
  console.log(res.wormId)
}

initiateBucketWorm()
# -*- coding: utf-8 -*-
import oss2

# 阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。
auth = oss2.Auth('yourAccessKeyId', 'yourAccessKeySecret')
# yourEndpoint填写Bucket所在地域对应的Endpoint。以华东1(杭州)为例,Endpoint填写为https://oss-cn-hangzhou.aliyuncs.com。
# yourBucketName填写Bucket名称,例如examplebucket。
bucket = oss2.Bucket(auth, 'https://oss-cn-hangzhou.aliyuncs.com', 'examplebucket')

# 新建保留策略,并指定Object保护天数为1天。
result = bucket.init_bucket_worm(1)
# 查看保留策略ID。
print(result.worm_id)
package main

import (
    "fmt"
    "github.com/aliyun/aliyun-oss-go-sdk/oss"
    "os"
)

func HandleError(err error) {
    fmt.Println("Error:", err)
    os.Exit(-1)
}

func main() {
    // 创建OSSClient实例。
    // yourEndpoint填写Bucket对应的Endpoint,以华东1(杭州)为例,填写为https://oss-cn-hangzhou.aliyuncs.com。其它Region请按实际情况填写。
    // 阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。
    client, err := oss.New("yourEndpoint", "yourAccessKeyId", "yourAccessKeySecret")
    if err != nil {
        HandleError(err)
    }

    // 填写Bucket名称,例如examplebucket。
    bucketname := "examplebucket"
    // 指定Object保护天数为60天。
    result,err := client.InitiateBucketWorm(bucketname,60)
    if err != nil {
        HandleError(err)
    }

    fmt.Println(result)
}
#include <alibabacloud/oss/OssClient.h>
using namespace AlibabaCloud::OSS;

int main(void)
{
      /*初始化OSS账号信息。*/
      /*阿里云账号AccessKey拥有所有API的访问权限,风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维,请登录RAM控制台创建RAM用户。*/
      std::string AccessKeyId = "yourAccessKeyId";
      std::string AccessKeySecret = "yourAccessKeySecret";
      /*yourEndpoint填写Bucket所在地域对应的Endpoint。以华东1(杭州)为例,Endpoint填写为https://oss-cn-hangzhou.aliyuncs.com。*/
      std::string Endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
      /*填写Bucket名称,例如examplebucket。*/
      std::string BucketName = "examplebucket";

      /*初始化网络等资源。*/
      InitializeSdk();

      ClientConfiguration conf;
      OssClient client(Endpoint, AccessKeyId, AccessKeySecret, conf);
  
        /*创建保留策略,指定Object保护天数为10天。*/
      auto outcome = client.InitiateBucketWorm(InitiateBucketWormRequest(BucketName, 10));

      if (outcome.isSuccess()) {      
            std::cout << " InitiateBucketWorm success " << std::endl;
      }
      else {
        /*异常处理。*/
        std::cout << "InitiateBucketWorm fail" <<
        ",code:" << outcome.error().Code() <<
        ",message:" << outcome.error().Message() <<
        ",requestId:" << outcome.error().RequestId() << std::endl;
        ShutdownSdk();
        return -1;
      }

      /*释放网络等资源。*/
      ShutdownSdk();
      return 0;
}

使用命令行工具ossutil

关于使用ossutil设置保留策略的具体步骤,请参见worm(保留策略)

使用REST API

如果您的程序自定义要求较高,您可以直接发起REST API请求。直接发起REST API请求需要手动编写代码计算签名。更多信息,请参见InitiateBucketWorm

常见问题

保留策略有哪些优势?

保留策略可提供数据合规存储,数据在保留策略保护周期内,任何用户都不能删除和修改。而通过RAM policy和Bucket Policy保护的数据,则存在被修改和删除可能。

什么情况下需要设置保留策略?

您需要长期存储且不允许修改或删除的重要数据,如医疗档案、技术文件、合同文书等,可以存放在指定的Bucket内,并通过开启保留策略保护您的重要数据。

是否支持针对Object设置保留策略?

仅支持针对Bucket设置保留策略,不支持针对目录以及单个对象设置保留策略。

如何计算Object的保留时间

您可以结合Bucket内Object的最后修改时间以及保留策略设置的保留周期计算出Object的保留时间。例如,Bucket A设置了保留时间为10天的保留策略,Object的最后修改时间为2022年02月15日,则该Object的保留时间为2022年02月25日。

如何删除已开启保留策略的Bucket ?

  • 如果该Bucket内未存储Object,可以直接删除该Bucket。

  • 如果该Bucket内已存储Object,且所有Object均已过了保护期,删除该Bucket会提示失败。此时,您可以先删除该Bucket内所有Object,再删除Bucket。

  • 如果该Bucket内已存储Object,且还有Object处于保护期内,无法删除该Bucket。

如果OSS欠费,但仍有Object处于保留策略的保护期内,这些Object会被保留么?

在未付款的情况下,阿里云会根据您签署的合同条款和条件,应用对应的数据保留策略。

授权的RAM用户是否可以设置保留策略?

保留策略相关API接口已全部对外开放,并且相关API操作已支持接入RAM policy。通过RAM Policy授权的RAM用户可以通过控制台、API、SDK等方式创建、删除保留策略。