S3 Object Lockは、Write Once Read Many (WORM) モデルを使用してオブジェクトを保護する機能です。これにより、指定された期間中のオブジェクトの削除や上書きを防止し、規制要件やコンプライアンス要件を満たすことができます。

Object Lockには2つの保護モード（Compliance ModeとGovernance Mode）があり、それぞれ異なる保護レベルと使用シナリオがあります。資格試験では、これらの違いと適切な選択基準の理解が重要です。

S3 Object Lockに関連した資格試験で重要なトピックを解説します。

Compliance ModeとGovernance Modeの最も重要な違いは、保護の絶対性にあります。この比較表は、両モードの特性と使用シナリオの違いを示しています。

上記の比較表に示すように、Compliance Modeは最も厳格な保護を提供します。このモードでは、ルートユーザーを含むすべてのユーザーが保護期間中のオブジェクトを削除・変更できません。保護期間の短縮も不可能で、SEC Rule 17a-4などの厳格な規制要件に対応します。一度設定すると、保護期間が終了するまで例外なく保護が継続されます。

一方、Governance Modeは柔軟性のある保護を提供します。s3:BypassGovernanceRetention権限を持つユーザーは、必要に応じて保護をバイパスできます。また、適切な権限があれば保護期間の変更も可能です。これにより、内部ポリシーの実施やテスト環境での検証など、ある程度の柔軟性が必要なシナリオに適しています。

比較表で確認できるように、両モードともバージョニングが必須で、既存オブジェクトには適用不可という共通の制約があります。また、暗号化との併用も可能で、データ保護を多層的に実装できます。選択の基準は、規制要件の厳格さと運用上の柔軟性の必要性のバランスによって決まります。

業界や地域によって異なる規制要件に対して、適切なObject Lock設定を実装する必要があります。この図は主要な規制と推奨される設定を示しています。

図の上部に示す金融業界（SEC Rule 17a-4、MiFID II）では、Compliance Modeの使用が必須です。取引記録は7年間、監査ログは5年間の保持が求められ、一度記録されたデータの改ざんは絶対に許されません。S3のCompliance Modeは、これらの要件を技術的に保証します。

医療業界（HIPAA）では、患者記録に6年間の保持期間が設定されますが、法的要請や患者の要求による変更の可能性があるため、Governance Modeが推奨されます。適切なアクセス制御と監査ログの組み合わせで、柔軟性とセキュリティを両立させます。

一般データ保護（GDPR、内部ポリシー）では、要件に応じて両モードを使い分けます。GDPRの忘れられる権利に対応するため、個人データにはGovernance Modeを使用し、必要に応じて削除可能にします。一方、契約書や法的文書にはCompliance Modeを適用し、改ざんを防止します。

図の下部に示すように、すべてのパターンでCloudTrailによる監査証跡とIAMによるアクセス制御が基盤となります。これにより、誰がいつどのような操作を行ったかを完全に追跡できます。

ここまで学んだ3つの核心パターンを、実践的な問題で確認しましょう。各問題は実際の企業シナリオに基づいており、適切な保護モードの選択能力を評価します。

S3 Object Lockは、コンプライアンス要件とデータ保護要件を満たすための強力な機能です。Compliance ModeとGovernance Modeの適切な選択、Legal Holdとの組み合わせにより、様々な規制要件に対応できます。

これらの機能を適切に組み合わせることで、規制要件を満たしつつ、運用の柔軟性も確保できる包括的なデータ保護戦略を実装できます。