Amazon S3 Object Lock に「イベントホールド」が導入、特定のイベントを起点とした可変的な保持期間をサポート

Amazon S3 Object Lock に、特定のビジネスイベント（契約締結や監査完了など）を起点として WORM（Write-Once-Read-Many）保護を開始できる「イベントホールド（event holds）」機能が追加されました。オブジェクトに対して保持期間を指定したイベントホールドを配置し、ホールドが解除されると、指定した期間分だけオブジェクトが保持されます。これにより、Legal Hold（法的保持）とは異なり、解除後に指定された保持期間を維持する WORM コンプライアンスを要件件数に合わせて柔軟に管理できます。本機能は、すべての AWS リージョン（中国リージョンを含む）で追加料金なしで利用可能です。また、SEC Rule 17a-4(f) などの規制要件を満たす環境での使用について、第三者機関によるアセスメントを受けています。

💡 S3 Object Lock の運用がより柔軟に、より実務的になりました

これまでの S3 Object Lock では、「今すぐ保持を開始する」か「Legal Hold（法的保持）」で「解除したら即終了」のどちらかしか選べませんでした。今回の「イベントホールド」の導入は、「契約が完了してから5年間保持する」といった、ビジネスプロセスに紐づいたデータ保護の要件件数に非常にマッチしています。

🛠️ 技術的なメリットと解決される課題

• 不要なデータ保持の回避: Legal Hold では解除した瞬間に保護が終了してしまうため、要件を満たすために保持期間を長めに設定しすぎる必要がありました。イベントホールドなら、解除（トリガー）を起点にカウントダウンが開始されるため、**「必要な期間だけ、正確に保持する」**ことが可能です。
• ガバナンスの強化: IAM やバケットポリシーの新しい条件キーにより、ホールドの「設定」と「解除」の権限を分離したり、最小/最大保持期間を強制したりできるため、セキュリティガバナンスが強固になります。

🇯🇵 日本国内リージョンの状況

リサーチ結果に基づくと、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) を含む、すべての AWS リージョンで本機能は利用可能です。

🚀 実務上のアドバイスと次のステップ

• 運用設計のポイント: S3 Batch Operations を使用して既存のオブジェクトに対して大規模に適用する場合、そのジョブの実行権限と、ホールド解除のトリガーとなるプロセス（例：業務システムからの API 呼び出し）との連携を慎重に設計してください。
• まず確認すべきこと: まずは開発環境で、イベントホールドを配置し、その後に「解除」した際に、指定した保持期間が正しく開始される挙動を確認することをお勧めします。また、CloudTrail での操作ログが正しく記録されているか、監査要件を満たせるかを確認してください。

参照資料:

• AWS S3 Object Lock 概要ページ: https://://aws.amazon.com/s3/features/object-lock/
• AWS S3 ドキュメント: https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html