AWS S3 Object Lock でランサムウェア対策｜設定手順と注意点

それではバケットを作成します。Object Lock はバージョニングが前提のため、作成時にあわせて有効化します。

1. S3 コンソール（https://console.aws.amazon.com/s3/ ）を開きます。
2. 左メニューの「バケット（General purpose buckets）」から「バケットを作成」を選びます。
3. バケット名（全世界で一意）と、リージョン（例: 東京 ap-northeast-1）を指定します。
4. オブジェクト所有権とパブリックアクセスのブロックは、既定（パブリックアクセスはブロックのまま）を推奨します。
5. 「バケットのバージョニング」を「有効にする」に設定します。Object Lock はバージョニング必須のため、ここは必ず有効にします。

6. 「詳細設定」内の「オブジェクトロック」を「有効にする」に設定します。恒久的にオブジェクトをロック可能にする旨の確認にチェックを入れます。

7. 「バケットを作成」を選びます。

なお、一度 Object Lock を有効化したバケットは、Object Lock の無効化もバージョニングの停止もできません。検証用と分かる名前で作成しておくと管理が楽です。

（公式手順: https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock-configure.html ）

バケット単位でデフォルトの保持期間を設定しておくと、以降アップロードされるオブジェクトに自動で保持が適用されます。

1. 作成したバケットを開き、「プロパティ」タブを選びます。
2. 「オブジェクトロック」セクションまでスクロールし、「編集」を選びます。
3. 「デフォルト保持」を「有効にする」にします。
4. 「保持モード」で「ガバナンスモード」を選びます（検証のため Compliance は選びません）
5. 「デフォルトの保持期間」に短い日数（例: 1 日）を入力します。

6. 「変更を保存」を選びます。

これで、このバケットにアップロードした各オブジェクトは、指定した期間だけ保持（WORM 保護）されます。個別オブジェクトに保持期間を明示した場合は、そちらがバケットの既定設定より優先されます（次のステップで扱います）

まず、保護対象となるファイルをアップロードして、保持が適用されることを確認します。

1. 作成したバケットを開き、「アップロード」からファイルを追加して「アップロード」を実行します。
2. アップロードしたオブジェクトを開き、プロパティの「オブジェクトロックの保持」を確認します。ステップ 2 で設定したデフォルト保持（ガバナンスモード・短い日数）が適用されているはずです。

個別オブジェクトに保持期間・リーガルホールドを設定する

バケットの既定とは別に、オブジェクト単位で保持を指定することもできます。個別に設定した値は、バケットの既定設定より優先されます。

保持期間（個別）

対象オブジェクトのプロパティで「オブジェクトロックの保持」→「編集」を開き、「有効」を選び、保持モード（検証ではガバナンスモード）と「保持終了日」を指定して保存します。

リーガルホールド

同じくオブジェクトのプロパティで「オブジェクトロックのリーガルホールド」→「編集」から「有効」にします。リーガルホールドには期限の概念がなく、明示的に「無効」にするまで保護が続く点が、保持期間との違いです。

（公式手順: https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock-configure.html ）

設定が効いているかは、実際に削除を試すのが分かりやすいです。

バージョニングが有効なバケットでは、通常の「削除」は削除マーカーを作るだけで、オブジェクトの実体（バージョン）は残ります。実体を消すにはバージョンを指定した完全削除が必要ですが、保持期間中はこれが拒否されます。

1. オブジェクトの「バージョンを表示」を有効にし、保護中のバージョンを選びます。
2. 「完全に削除する」を試すと、Object Lock により削除が拒否されます。

なお検証で使っている Governance モードでは、s3:BypassGovernanceRetention 権限を持つ場合に限り、バイパスを承認して削除できます（コンソールでは完全削除時にバイパスを確認する表示、CLI では --bypass-governance-retention を使用）。これは後片付けで使います。Compliance モードではこのバイパス自体ができないため、検証は Governance で行うのが安全です。

（参考: https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock-managing.html ）

Object Lock 単体でも強力ですが、誤操作や認証情報の漏えいに備えて、運用面の層を足しておくと安心です。

MFA Delete

MFA Delete を有効にすると、オブジェクトバージョンの削除やバージョニング状態の変更に、多要素認証が要求されます。注意点として、有効化できるのは AWS アカウントのルートユーザーのみで、バージョニングが前提です。

参考: AWS「Configuring MFA delete」（Amazon S3 ユーザーガイド）
“you cannot enable MFA Delete using the AWS Management Console”
（MFA Delete は AWS マネジメントコンソールからは有効化できない）
https://docs.aws.amazon.com/AmazonS3/latest/userguide/MultiFactorAuthenticationDelete.html

有効化はコンソールではできず、CLI または API で行います。仮想 MFA デバイスを使う場合のコマンド例は次のとおりです。

aws s3api put-bucket-versioning \
  --bucket amzn-s3-demo-bucket1 \
  --versioning-configuration Status=Enabled,MFADelete=Enabled \
  --mfa "arn:aws:iam::<アカウントID>:mfa/root-account-mfa-device <MFAコード>"

ルートユーザーのアクセスキーを一時的に作成して使う必要があるため、使用後はキーを削除しておくことをおすすめします。また、後述のライフサイクル設定とは併用できない制約があります。

バケットポリシー

バケットポリシーで、運用上のガードレールを足せます。たとえば「短すぎる保持期間を拒否する」ことで、設定ミスを防げます。次は、残り保持日数が 1 日未満になる保持設定を拒否する例です（要件に合わせて日数や対象は調整します）。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyShortRetention",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObjectRetention",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
      "Condition": {
        "NumericLessThan": { "s3:object-lock-remaining-retention-days": "1" }
      }
    }
  ]
}

CloudTrail

CloudTrail で S3 のデータイベントを記録しておくと、削除の試行や設定変更を監査できます。不審な操作の早期把握に役立つため、本番運用では有効化をおすすめします。

検証後の課金を抑えるため、ライフサイクルと後片付けの手順を押さえておきます。

ライフサイクル

古いバージョンを安価なストレージクラスへ移行したり、保持期限の経過後に削除したりして、コストを最適化できます。ただし保持期間中のオブジェクトは削除されません。前述のとおり、MFA Delete とは併用できない点に注意します。

後片付け（Governance）

検証で作ったオブジェクトは、保持期限が切れれば通常どおり削除できます。すぐ消したい場合は、s3:BypassGovernanceRetention 権限でバイパス削除します（CLI 例: aws s3api delete-object --bucket <バケット名> --key <キー> --version-id <バージョンID> --bypass-governance-retention）その後、バケットを空にして削除します。

Compliance モードの注意（再掲）

Compliance ＋ 保持期間中のオブジェクトは、誰も削除できず、期限前に消す手段はアカウント削除のみです。検証段階で安易に使わないことをおすすめします。

＜スクリーンショット挿入⑧: ライフサイクルルールの設定画面（任意）＞