AWS S3バケットのバージョニングとライフサイクルポリシーで安全なデータ管理を実現する方法｜誤削除対策とGlacier移行設計

この記事のポイント

・バージョニング有効化は put-bucket-versioning --status Enabled の1コマンド
・削除しても削除マーカーが残るため list-object-versions で復元できる
・ライフサイクルポリシーで古いバージョンをGlacierに移行してコストを削減
・CRRはバージョニングが前提条件。既存オブジェクトには自動適用されない点に注意

# バージョニングを有効化
aws s3api put-bucket-versioning \
  --bucket my-production-bucket \
  --versioning-configuration Status=Enabled

# バージョニングの状態を確認
aws s3api get-bucket-versioning \
  --bucket my-production-bucket

{
    "Status": "Enabled",
    "MFADelete": "Disabled"
}

# 同じキーに2回アップロードして上書きを再現
echo "version 1" | aws s3 cp - s3://my-production-bucket/config.txt
echo "version 2" | aws s3 cp - s3://my-production-bucket/config.txt

# バージョン一覧を表示
aws s3api list-object-versions \
  --bucket my-production-bucket \
  --prefix config.txt

{
    "Versions": [
        {
            "Key": "config.txt",
            "VersionId": "BspIL8pXg_VK5Skxugcw_sdkSOj5NU.s",
            "IsLatest": true,
            "Size": 10,
            "LastModified": "2026-07-08T05:00:00.000Z"
        },
        {
            "Key": "config.txt",
            "VersionId": "eYkUMj4f1rJ3n4GMRqBv7k39sNQ27h7P",
            "IsLatest": false,
            "Size": 10,
            "LastModified": "2026-07-08T04:58:00.000Z"
        }
    ]
}

# 誤削除後のバージョン一覧（DeleteMarkersセクションに削除マーカーが現れる）
aws s3api list-object-versions \
  --bucket my-production-bucket \
  --prefix config.txt \
  --query "DeleteMarkers"

# 出力例
# [
#     {
#         "Key": "config.txt",
#         "VersionId": "k7qFz3Ge0nVo5MFH9E7g5L8xdHJfmCpQ",
#         "IsLatest": true,
#         "LastModified": "2026-07-08T06:00:00.000Z"
#     }
# ]

# 削除マーカーを削除することで復元する
aws s3api delete-object \
  --bucket my-production-bucket \
  --key config.txt \
  --version-id k7qFz3Ge0nVo5MFH9E7g5L8xdHJfmCpQ

# 古いバージョンをダウンロードして内容確認
aws s3api get-object \
  --bucket my-production-bucket \
  --key config.txt \
  --version-id eYkUMj4f1rJ3n4GMRqBv7k39sNQ27h7P \
  /tmp/config.txt.v1

cat /tmp/config.txt.v1

# 問題なければ古いバージョンを最新としてコピー
aws s3 cp \
  "s3://my-production-bucket/config.txt" \
  "s3://my-production-bucket/config.txt" \
  --source-version-id eYkUMj4f1rJ3n4GMRqBv7k39sNQ27h7P

# lifecycle.json
{
  "Rules": [
    {
      "ID": "archive-and-expire-versions",
      "Status": "Enabled",
      "Filter": {},
      "Transitions": [
        {
          "Days": 30,
          "StorageClass": "STANDARD_IA"
        },
        {
          "Days": 90,
          "StorageClass": "GLACIER_IR"
        }
      ],
      "NoncurrentVersionTransitions": [
        {
          "NoncurrentDays": 30,
          "StorageClass": "GLACIER_IR"
        }
      ],
      "NoncurrentVersionExpiration": {
        "NoncurrentDays": 365,
        "NewerNoncurrentVersions": 5
      },
      "AbortIncompleteMultipartUpload": {
        "DaysAfterInitiation": 7
      }
    }
  ]
}

# ポリシーを適用
aws s3api put-bucket-lifecycle-configuration \
  --bucket my-production-bucket \
  --lifecycle-configuration file://lifecycle.json

# 設定内容を確認
aws s3api get-bucket-lifecycle-configuration \
  --bucket my-production-bucket

# 宛先バケットを大阪リージョンに作成
aws s3api create-bucket \
  --bucket my-replica-bucket-osa \
  --region ap-northeast-3 \
  --create-bucket-configuration LocationConstraint=ap-northeast-3

# 宛先バケットのバージョニングを有効化
aws s3api put-bucket-versioning \
  --bucket my-replica-bucket-osa \
  --versioning-configuration Status=Enabled \
  --region ap-northeast-3

# trust-policy.json（S3がAssumeRoleできるよう信頼ポリシーを設定）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "s3.amazonaws.com" },
      "Action": "sts:AssumeRole"
    }
  ]
}

# IAMロールを作成
aws iam create-role \
  --role-name s3-crr-role \
  --assume-role-policy-document file://trust-policy.json

# 必要な最小権限（本番では最小権限のインラインポリシーを作成すること）
# 送信元: s3:GetObjectVersionForReplication, s3:GetObjectVersionAcl, s3:ListBucket
# 宛先:   s3:ReplicateObject, s3:ReplicateDelete, s3:ReplicateTags
aws iam attach-role-policy \
  --role-name s3-crr-role \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3FullAccess

# replication.json（ACCOUNT-IDは自分のAWSアカウントIDに変更）
{
  "Role": "arn:aws:iam::ACCOUNT-ID:role/s3-crr-role",
  "Rules": [
    {
      "ID": "replicate-all-to-osaka",
      "Status": "Enabled",
      "Filter": {},
      "Destination": {
        "Bucket": "arn:aws:s3:::my-replica-bucket-osa",
        "StorageClass": "STANDARD_IA"
      },
      "DeleteMarkerReplication": {
        "Status": "Enabled"
      }
    }
  ]
}

# 送信元バケットにレプリケーション設定を適用
aws s3api put-bucket-replication \
  --bucket my-production-bucket \
  --replication-configuration file://replication.json

# 設定確認
aws s3api get-bucket-replication \
  --bucket my-production-bucket

# ヌルバージョン（バージョニング有効化前のオブジェクト）を削除
aws s3api delete-object \
  --bucket my-production-bucket \
  --key legacy-config.txt \
  --version-id "null"