Configurer le versionnement et les tags du bucket

Le versionnement conserve plusieurs versions d’une même clé. Les tags du bucket sont des paires clé-valeur attachées au conteneur ; ils ne sont pas transmis automatiquement aux objets.

Disponibilité et permissions#

Ouvrez File > Accounts…, sélectionnez le compte, cliquez sur Edit…, puis ouvrez Capabilities > Data protection. Activez Object versions seulement si le service prend en charge le versionnement. Read bucket versioning permet de consulter l’état du bucket ; Change bucket versioning permet séparément de le modifier. Read bucket Object Lock, Enable Object Lock on existing buckets et Change default retention dépendent du versionnement. Le choix d’API dans Capabilities > Bucket tags doit être adapté au service : S3 bucket tagging API, S3 Control resource tagging ou Unavailable.

Ces réglages n’accordent aucune permission aux identifiants. Sur Amazon S3, la consultation et la modification du versionnement demandent s3:GetBucketVersioning et s3:PutBucketVersioning. Object Lock demande s3:GetBucketObjectLockConfiguration et s3:PutBucketObjectLockConfiguration, ainsi que s3:PutBucketVersioning si le versionnement doit être activé.

Avec S3 bucket tagging API, la lecture demande s3:GetBucketTagging ; l’écriture et la suppression complète demandent s3:PutBucketTagging. Avec S3 Control resource tagging, les permissions sont s3:ListTagsForResource, s3:TagResource et s3:UntagResource pour les buckets à usage général ; les buckets de répertoire utilisent les mêmes actions sous le préfixe s3express:.

L’onglet Versioning / Object Lock concerne un seul bucket à usage général qui n’est pas ajouté comme bucket externe. Tags demande aussi un seul bucket. L’API de tags S3 concerne les buckets à usage général ; S3 Control peut aussi concerner les buckets de répertoire, avec une route et une identité de ressource configurées.

Sur Amazon S3, un bucket à usage général avec ABAC activé exige S3 Control resource tagging pour modifier ses tags : PutBucketTagging et DeleteBucketTagging ne sont plus utilisables. Voir la documentation AWS sur ABAC.

Voir les versions et leur suppression pour consulter l’historique, et Object Lock pour protéger une version ou gérer ses protections.

Activer ou suspendre le versionnement#

Sans versionnement, remplacer une clé remplace ses données. Avec le versionnement activé, une écriture crée une nouvelle version courante et conserve l’ancienne. La suppression d’une clé crée généralement un marqueur de suppression : les versions antérieures restent stockées.

Suspendre le versionnement ne supprime aucune version existante. Les écritures suivantes utilisent la version null et peuvent remplacer celle-ci. Un bucket qui a déjà été versionné revient à l’état suspendu, pas à l’état « jamais activé ».

1. Dans le panneau S3, sélectionnez le bucket.
2. Ouvrez Properties > Versioning / Object Lock et attendez la lecture.
3. Cochez Enable versioning pour activer le versionnement, ou décochez-la pour le suspendre.
4. Cliquez sur OK.
5. Après la fin de l’opération, rouvrez cet onglet pour vérifier l’état.

Sans Read bucket versioning, mais avec Change bucket versioning, l’onglet affiche Current versioning state: unknown. These account capabilities do not allow reading it. Une liste remplace la case : Keep unchanged, sélectionné au départ, ne demande aucune modification ; Enable versioning demande l’activation ; Suspend versioning demande la suspension. Choisissez l’action voulue, puis cliquez sur OK. Ce réglage ne permet pas de vérifier ensuite l’état sans capacité de lecture.

Si Object Lock est actif ou que vous préparez son activation, Enable versioning reste coché et ne peut pas être désactivé ; la liste sans lecture est également bloquée. Si S3Client ne peut pas vérifier Object Lock, seule la suspension est bloquée ; l’activation du versionnement reste possible. Rétablissez l’autorisation de lecture d’Object Lock puis rouvrez les propriétés pour préparer une suspension.

Activer Object Lock et sa rétention par défaut#

Enable Object Lock est permanent : une fois enregistré, vous ne pouvez plus le désactiver. Il active aussi le versionnement et interdit sa suspension. La rétention par défaut concerne seulement les versions créées après son enregistrement ; elle ne protège pas rétroactivement les versions existantes.

L’activation d’Object Lock côté service active également le versionnement. Elle nécessite Read bucket Object Lock et Enable Object Lock on existing buckets, mais pas les capacités locales Read bucket versioning ou Change bucket versioning. S3Client relit Object Lock avant l’écriture et ne lance pas de requête séparée pour activer le versionnement. Change default retention est nécessaire pour définir ou retirer la règle par défaut.

1. Dans Properties > Versioning / Object Lock, cochez Enable Object Lock.
2. Si nécessaire, cochez Apply a default retention period to new object versions.
3. Dans Default mode:, choisissez Governance, qui peut être contourné avec une autorisation explicite, ou Compliance, qui ne peut pas être raccourci ou supprimé avant son échéance, même par le propriétaire du compte.
4. Saisissez Default duration:, un entier positif, et choisissez days ou years.
5. Cliquez sur OK, puis confirmez l’activation permanente si elle est nouvelle.
6. Rouvrez les propriétés pour contrôler la configuration.

Sans règle existante, la rétention par défaut est décochée et les valeurs proposées sont Governance, 1 et days. Les champs de mode et de durée deviennent disponibles lorsque les deux cases d’activation sont cochées. Default duration: accepte de 1 à 2 147 483 647 ; le service peut imposer une limite plus basse. Cette règle ne configure pas de conservation légale.

Vous pouvez ensuite modifier ou retirer la rétention par défaut sans désactiver Object Lock. Cela ne retire pas la protection des versions déjà créées. La configuration est relue avant l’écriture. Object Lock configuration changed propose Yes pour remplacer la configuration distante par vos valeurs, ou No pour la recharger et abandonner ces modifications.

Éditer les tags du bucket#

Chaque clé doit être non vide et unique. La casse compte : Project et project sont deux clés différentes. S3Client accepte jusqu’à 50 tags ; une clé peut contenir jusqu’à 128 caractères et une valeur jusqu’à 256 caractères. Une valeur vide est permise. Les champs acceptent les lettres et nombres Unicode, les séparateurs Unicode, dont les espaces, et les caractères _ . : / = + - @. Le préfixe aws: est refusé sans tenir compte de la casse. Un diagnostic désactive OK dans le dialogue Tag tant que la saisie est invalide.

Avec S3 Control resource tagging, configurez un Account ID de 12 chiffres dans File > Accounts… > Edit… > Account, la route de contrôle correspondant à la région et au type de bucket dans Regions > Edit, et un ARN cohérent avec la ressource. Un ARN absent n’est reconstruit que si Capabilities > General > Standard S3 resource identifiers (ARNs) est activé. Voir les connexions du compte. Un diagnostic dans l’onglet indique quelle donnée manque. Les buckets externes ne sont pas éditables par cette voie. Après un changement des réglages du compte, fermez et rouvrez les propriétés avant d’enregistrer.

Avec S3 Control resource tagging, une modification peut nécessiter plusieurs phases. Une phase réussie n’est pas annulée si la suivante échoue. Le message The bucket tag update was only partially applied. signale ce résultat partiel : consultez les phases réussies et la phase en échec dans les détails de l’erreur, puis relisez les tags du bucket avant de recommencer.

1. Dans le panneau S3, sélectionnez un bucket, puis ouvrez Properties > Tags.
2. Attendez la lecture des tags.
3. Cliquez sur Add, renseignez Key et Value, puis validez le dialogue.
4. Pour changer un tag, sélectionnez-le et cliquez sur Edit ; pour le retirer, utilisez Remove.
5. Cliquez sur OK. Si vous avez retiré tous les tags, confirmez leur suppression complète.
6. Rouvrez Tags pour vérifier le résultat.

Les tags sont relus avant l’écriture. Bucket tags changed indique qu’un autre client les a modifiés : Yes remplace la version distante par votre liste ; No recharge les tags distants. Si la lecture échoue ou si les données ne peuvent pas être réécrites sans perte, l’édition reste bloquée.

Consulter un état sans pouvoir le modifier#

Dans File > Accounts… > Edit… > Capabilities > Data protection, Read bucket versioning permet d’afficher l’état dans les propriétés. Change bucket versioning autorise séparément sa modification. Sans cette dernière capacité, Enable versioning affiche l’état lu mais reste indisponible. Object versions permet de consulter et de manipuler les versions indépendamment de ces réglages.

Un bucket peut être versionné dès sa création par le service. Une case cochée ne signifie donc pas que S3Client a activé cette fonction. Pour activer Object Lock, les capacités locales dédiées à Object Lock suffisent, même si le bucket doit être versionné par cette activation. Les identifiants doivent toutefois disposer des permissions requises par le service, notamment s3:PutBucketVersioning sur Amazon S3.