當前的公有雲儲存服務,幾乎可以提供對應於本地端儲存設備的每一種服務與功能,發展已久的一寫多讀(WORM)功能自然也不例外。

由於WORM最初是搭配長期資料保存下的法規遵循應用,而出現的強固性防寫功能,所以目前提供WORM功能的網路儲存設備,大多是針對備份、歸檔,以及非結構化資料儲存等二線儲存應用的產品,像是NAS、物件儲存系統、備份儲存伺服器,以及虛擬磁帶櫃(VTL)。而在公有雲方面,業者也在針對大資料量與長期資料保存應用的物件儲存服務上,來提供WORM功能。

事實上,目前主要的公有雲服務商,都已在物件儲存服務中提供了WORM功能選項,如AWS S3的Object Lock、Azure Blob的Immutable storage、Google Cloud Storage的Bucket Lock等,均可讓用戶在物件儲存環境中,建立WORM防寫架構。

評估雲端WORM功能的要點

相比於光碟、磁帶之類的物理型或韌體型WORM技術,只需選擇具備WORM功能的儲存媒體即可運作,公有雲物件服務的WORM功能,是透過軟體功能來實現,並藉由政策來設定與驅動,評估時要考慮的面向也更多,包括:資料保留功能適用的資料層級,資料保留模式的類型,資料保留的強固性選項,另外,對於有法規遵循需求的用戶,還須注意WORM功能是否能達到應有的效果。

WORM功能適用的資料層級

分為帳戶、物件容器與物件等3個層級,分別適用於整個帳戶、個別物件容器與個別物件,多數公有雲WORM功能都是支援物件儲存容器或物件層級的資料保留,可以就個別儲存容器或物件,來設定保留政策或屬性;少數公有雲的WORM功能,還能支援帳戶層級的資料保留政策(如Azure的Immutable storage),可建立適用於整個帳戶的WORM政策。

不同適用層級的區別,會影響WORM功能的使用便利性與精細度。物件層級的WORM功能,可提供個別檔案物件等級的精細度,便於用戶視個別資料的保存需求,設定不同的WORM保留期限,但如果用戶有大量的資料需要WORM功能,逐一設定個別物件WORM參數的工作將變得十分繁瑣。

關於Bucket儲存區層級的WORM功能,可為整個儲存區內的所有物件套用相同的WORM保存政策,但缺乏為個別物件設定不同WORM政策的精細度,若用戶需要不同保存期限,就必須建立多個各自套用不同政策的WORM儲存區。

最理想的架構,是同時兼有物件層級與儲存區層級的WORM設定功能,例如微軟Azure、Google Cloud與IBM Cloud的物件儲存WORM功能,便具備同時提供物件層級與儲存區層級的設定能力。

資料保留模式

多數公有雲WORM功能,都能提供2種保留政策的模式:一為基於時間的時限型模式,另一為基於屬性的無時限型模式。首先,以基於時間的模式而言,是透過指定到期時間或保留天數來設定資料保留期限:不基於時間的模式則無期限,依靠是否啟用資料保留屬性來運作,當啟用後,便無法刪改資料,直到移除或關閉資料保留屬性設定為止。

資料保留的強固性

公有雲WORM功能的強固性可分為2種層級:在一般控管模式下,有特殊許可的用戶或管理者,仍能刪除資料或調整保留期限設定;而在法規遵循模式下,資料保留政策將被強制「鎖定」,包括管理者在內的任何使用者都無法刪除資料,或修改資料保留設定,直到保留期限到期。

法規遵循的認證

為了確保WORM功能的法規遵循能力,許多公有雲服務商都會商請獨立評估公司(如Cohasset Associates),來驗證自身的WORM功能,是否符合特定監管法規的資料保存要求,並將通過驗證的法規遵循能力,列在WORM功能的規格當中,以便有法規遵循需求的用戶能夠確認。

儘管軟體型WORM技術彼此間大同小異,是否擁有法規遵循的認證,其實並不影響WORM功能的實際使用。但是對於有法規遵循需求的用戶來說,選擇通過獨立評估公司認證過的WORM功能,相對較有保障。

而在相關監管法規中,最常被用來作為WORM功能合規性基準的參考項目,通常是下列三項:

一、美國證券交易委員會(SEC)針對證券交易業者的電子資料保存的規範17a-4(f);二、美國政府金融監管局(FINRA)規則4511;三、美國政府期貨交易委員會(CFTC)針對記錄保存的1.31規則。

基本上,多數公有雲服務商的WORM功能,都可以符合這三項法規的要求,其中,有些公有雲服務商(如Oracle Cloud),還會加上符合歐盟金管理事會MiFID II規則的認證。

主要公有雲服務商的WORM功能

接下來,我們逐一檢視主要公有雲的作法,如AWS、微軟Azure、Google Cloud、IBM Cloud、Oracle Cloud、阿里雲,針對旗下物件儲存服務所提供的WORM功能,比較彼此之間的異同。

AWS S3

在S3物件儲存服務中,AWS提供了稱作Object Lock的WORM功能,適用於物件儲存容器與物件的保留,也能透過批次指令同時設定大量物件的WORM保留功能。用戶可以利用指定到期日、或保留天數等2種方式,來設定物件的保留期限,也能利用法務保存(Legal holds)功能,為物件設定沒有期限限制的WORM屬性。

在保留模式方面,Object Lock提供2種,分別是:控管模式(Governance mode)、合規模式(Compliance mode)。在控管模式下,只有具備特殊許可的用戶,才能刪除資料或修改資料保留設定;若處於合規模式,任何用戶都無法刪除資料或修改資料保留設定。

AWS宣稱,Object Lock已通過獨立顧問公司Cohasset Associates的評估,可符合多種法規的資料保存要求,像是:SEC 17a-4(f)、FINRA 4511、CFTC 1.31等。

Azure

在目前營運的Blob物件儲存服務當中,微軟Azure提供稱為Immutable storage的WORM功能,適用於帳戶、儲存容器與物件等3種層級。

用戶可以選擇使用2種資料保留模式:基於時間的保留政策(Time-based retention policies),以及合規保留政策(Legal hold policies)。前者可以設定保留期限,後者則無期限,直到合規保存標記被移除為止。

當用戶完成資料保留政策設定後,可選擇是否鎖定(Lock)該政策,藉此獲得不同強度的保護。

例如,針對強固性要求較高的法規遵循環境,可選擇鎖定政策,如此一來,在保留期限到達之前,任何用戶均無法移除資料或修改政策設定;若未鎖定保留政策,則用戶仍可修改資料保存政策或寫入附加物件。

Azure Blob的Immutable storage功能,亦通過Cohasset Associates的評估認證,可符合SEC 17a-4(f)、FINRA 4511、CFTC 1.31等法規的資料保存要求。

Google Cloud

Google Cloud物件儲存服務提供2個功能:Bucket Lock、Object Hold,分別用於設定儲存容器層級與物件層級的WORM功能。

其中儲存容器層級的Bucket Lock,採用基於時間的保留政策設定,並透過是否鎖定(Lock)保留政策來調整強固性,鎖定後便無法移除政策或縮短保留期限。

另一個Object Hold,則是用於搭配Bucket Lock,為個別物件設定進一步的保留屬性,當儲存容器的Bucket Lock保留期限到期後,若其中的物件擁有Object Hold屬性,能繼續維持WORM狀態。Object Hold提供基於事件(Event-based),以及臨時性(Temporary)等2種資料保留屬性,前者會將物件在儲存容器的保留時間歸零,重新計算保留期限,後者則不影響物件的時間屬性。

IBM Cloud

在物件儲存服務中,IBM Cloud提供專門的Immutable Object Storage儲存體,來因應WORM功能的需求。

在儲存區層級中,他們提供了基於時間(限期或無限期)資料保留模式,而在物件層級當中,則提供法規保留(Legal hold),以及無期限保留等功能,可以為個別物件設定獨立於儲存區的保留政策。有法規遵循需求的用戶另將個別物件設定為永久保留(Permanent retention)模式,藉此可確保物件不會為任何人所刪除。

Oracle Cloud

在Oracle Cloud的物件儲存服務中,是透過資料保留規則(Retention Rule)來設定WORM功能,適用於儲存容器層級,可套用到容器中所有物件,並提供2種資料保留模式,一為有時限的保留政策(time-bound rules),另一為無時限的保留政策(indefinite rule)。

針對有時限的保留政策,用戶還能鎖定政策來獲得更高的強固性,防止任何人刪改資料或修改政策(此時唯一能作的,就只有延常保留時間)。

阿里雲

在物件儲存服務中,阿里雲提供儲存容器層級的WORM功能,並擁有2種資料保留政策類型,一為基於時間(Tine-based)的保留模式,另一為沒有期限的法規保存(LegalHold)模式,並可選擇鎖定資料保留政策,來提供法規遵循所需的強固性。

整體來說,雖然在設定與運作方式方面有所差異,前述各主要公有雲服務商所提供的WORM功能,都能達到相似的資料保留效果,並且都通過獨立評估公司的法規遵循能力認證,可用於一般的資料防寫控管,以及法規遵循等級的資料保存。

其他公有雲服務商的WORM功能

除了我們前面介紹的6大公有雲服務商以外,其他一些規模較小的公有雲服務商,也可以提供WORM功能。

例如Backblaze在其B2 Cloud Storage物件儲存服務中,便提供了稱作Object Lock的WORM功能,最初此項技術是搭配Veeam備份軟體使用,可以針對指定的備份儲存區,啟用不可變的屬性(immutability),並指定資料保留的天數。Backblaze的這項功能主要用於Veeam備份複本的防寫保護,可防止備份複本遭到手動刪除,或是預設複本保留策略、生命週期策略的刪除。

相較於AWS S3、Azure這類雲服務商的WORM功能,都是屬於廣泛型應用,並未綑綁特定的應用程式,Backblaze的Object Lock應用面向相對較為狹窄,屬於特定應用形式的WORM。

 相關報導 

熱門新聞

Advertisement