Vue d’ensemble
La gestion des versions (ou versioning en anglais) permet d’enregistrer plusieurs variantes d’un objet dans un compartiment (ou bucket en anglais).
Les variantes – aussi appellées versions – sont identifiées par un unique identifiant de version (ou version id en anglais) dans la metadata de l’objet VersionId.
PUT ajoute une nouvelle version qui devient courante (cad. qu’un GET va obtenir cette version).
La version précédemment courante devient non courante et les autres versions restent inchangées.
DELETE ajoute un marqueur d’effacement (delete marker en anglais) qui devient courant (cad. qu’un GET va donner une erreur « NoSuchKey » ou « Not Found »).
Un delete marker ne contient pas de donnée.
courante de l’objet, qu’elle soit de la donnée ou un delete marker, est identifiée par la metadata booléenne IsLatest à « true ».
Les versions d’objet ne sont jamais effacées à moins de spécifier la version id .
NoSuchKey.
Si une version d’objet est courante alors un GET va télécharger cette version.
Cas d’usage avec AWS CLI
AWS CLI (Command Line Interface) est un outil à code source libre permettant de configurer et d’utiliser le stockage objet en passant des commandes dans un interface textuelle (un shell Linux ou la ligne de commande Windows).
Un guide utilisateur de l’outil est disponible sur https://docs.aws.amazon.com/cli/latest/userguide/ .
Prérequis : activer la gestion des versions
La gestion des versions peut-être activée au niveau compartiment (bucket).
root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api put-bucket-versioning --bucket mydemobucket --versioning-configuration Status=Enabled
Consulter l’état de la gestion des versions
Etat activé :
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api get-bucket-versioning --bucket mydemobucket
Etat suspendu (arpès avoir été activé) :
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api get-bucket-versioning --bucket mydemobucket
Par défaut (la gestion des versions n’est pas activée), la requête produit un résultat vide:
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api get-bucket-versioning --bucket mydemobucket
Lister version d’objet et marqueur d’effacement
Ci-dessous, un exemple de liste de versions (et delete markers) après les actions suivantes (dans un nouveau bucket avec la gestion des versions activée):
PUT object1 (taille 102400 bytes)
DELETE object1
PUT object1 (taille 1048576 bytes)
Ce qui s’est passé:
Le PUT initial a créé une version d’object qui n’est plus courante ("IsLatest": false) à cause de l’action 2.
Le DELETE a créé un marqueur d’effacement qui n’est plus courant à cause de l’action 3.
Le dernier PUT a créé une version qui est courante ("IsLatest": true).
Si vous faites un GET object1, vous allez obtenir un objet de 1048576 octets.
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api list-object-versions --bucket mydemobucket
Annuler des actions passées en utilisant DELETE avec identifiant de version
En effaçant soit une version soit un marqueur d’effacement avec un identifiant de version, il est possible de remonter dans le temps (annuler les actions passées).
annulez le 2nd PUT en effaçant une version
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api delete-object --bucket mydemobucket --key object1 --version-id 3938333335303336323031393630393939393939524730303120203232382e3832373832333033332e3236
2. annulez le DELETE en effacant le marqueur d’effacement
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api delete-object --bucket mydemobucket --key object1 --version-id 3938333335303336323336323436393939393939524730303120203232382e3832373832323131332e3235
Suspendre la gestion des versions
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api put-bucket-versioning --bucket mydemobucket --versioning-configuration Status=Suspended
Toutes les versions d’objet et marqueurs d’effacement existants sont conservés.
A partir du moment ou la gestion des versions est suspendu, l’identifiant de version sera toujours null.
null.
L’objet est remplacé s’il existe avec version id null.
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api put-object --bucket mydemobucket --key object1 --body ./1mb_file.random
DELETE ajoute un nouveau marqueur d’effacement avec version id null.
La version courante de l’objet avec version id null est effacée.
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api delete-object --bucket mydemobucket --key object1
Quand un objet est effacé, un PUT (du même objet) efface automatiquement le marqueur d’effacement.
[root@mytest ~]# aws --endpoint-url https://s3.flexible-datastore.orange-business.com s3api put-object --bucket mydemobucket --key object1 --body ./64mb_file.random
Bonnes pratiques
A propos de sécurité
N’utilisez jamais une Access Key root
Avec une AK root, vous pouvez désactiver le versioning et effacer les versions d’objet (y compris les delete markers).
Réduisez les permissions
Pour un usage normal (PUT d’objets dans un bucket), vous devriez appliquer une policy supprimant (deny) les permissions suivantes:
s3:PutBucketVersioning (pour empêcher la modification du versioning)
s3:DeleteObjectVersion (pour empêcher l’effacement des version d’objet et de delete marker)
s3:PutLifeCycleConfiguration (pour empêcher l’effacement par une configuration lifecycle)
Gestion de l’usage
Quand la gestion des version est activée sur un bucket, il est hautement recommandé de configurer un cycle de vie (lifecycle).
C’est une façon simple de garder le contrôle de votre consommation de stockage.
les versions d’objet non courantes
les delete markers obsolètes (un delete marker avec zéro versions d’objet non courantes, inutile car plus aucune data)
les versions courantes d’objet