Veeam配置S3 Bucket备份不可变性失败：不支持默认保留期

我在将Ceph S3 Bucket配置为Veeam存储库并启用备份不可变性时遇到了两个核心问题：

1. 已为Bucket开启合规模式保留锁，但仍能删除桶内文件
2. 尝试启用备份不可变性时收到错误：Unable to use backup immutability: The default retention is not supported

操作步骤 #

• 在Veeam中添加S3 Bucket作为存储库
• 为该Bucket启用合规模式保留锁
• 尝试使用备份不可变性功能

配置详情 #

• 备份软件：Veeam
• S3存储：Ceph
• 保留模式：合规模式
• 错误信息：Unable to use backup immutability: The default retention is not supported

咨询问题 #

1. 是否有用户遇到过Veeam与S3 Bucket不可变性相关的类似问题？
2. 如何确保保留锁生效，防止文件被删除？
3. 支持Veeam备份不可变性的S3 Bucket有哪些特定配置要求？

问题解答 #

1. 类似问题情况

不少使用Ceph作为S3后端配合Veeam的用户都遇到过这类兼容问题，核心原因大多是Ceph的S3 API实现与AWS原生S3的不可变性细节存在差异，尤其是默认保留策略的处理逻辑。

2. 确保保留锁生效的方法

• 检查Bucket级保留策略配置：不要只开启合规模式保留锁，还需为Bucket设置具体的默认保留期限（比如30天、90天），空的默认保留会导致锁逻辑不生效。
• 验证对象级保留：手动上传测试文件到Bucket，查看是否自动应用了保留期限；同时尝试删除该文件，若合规模式生效，应该收到明确的删除拒绝提示（而非无限制删除）。
• 检查Ceph版本：部分旧版本Ceph的S3保留锁实现存在bug，建议升级到Pacific（16.2.x）及以上版本，这些版本对S3不可变性的支持更完善。
• Veeam侧权限验证：确保Veeam使用的S3账号没有被授予DeleteObject或BypassGovernanceRetention这类绕过保留锁的权限，即使是管理员账号也需要限制这类权限。

3. Veeam备份不可变性对S3 Bucket的配置要求

• 必须支持S3对象锁定（Object Lock）：Bucket必须在创建时就开启对象锁定功能（部分S3存储支持事后开启，但Ceph建议创建时开启），且启用合规模式（Governance模式也可，但合规模式更严格）。
• 设置默认保留期限：Bucket必须配置非空的默认保留期限，Veeam不支持无默认保留的对象锁定Bucket，这也是你遇到default retention is not supported错误的核心原因。
• API兼容性：S3存储必须完全兼容AWS S3的对象锁定API，包括PutObjectRetention、GetObjectRetention等操作，Ceph需要确保启用了rgw_object_lock配置项。
• Veeam版本要求：至少使用Veeam Backup & Replication 11及以上版本，更早版本对S3不可变性的支持有限。

内容的提问来源于stack exchange，提问作者Mohamed ben ali