文件生命周期管理:从创建到删除

文件生命周期管理定义了每个文件在各阶段的处理方式：创建（打标签、分类、加密），活跃使用（热存储、版本控制、访问控制下的共享），非活跃（30-90天时迁移至 IA 或冷层），归档（Glacier Deep Archive 或 Azure Archive），以及销毁（密码学擦除加审计记录）。设计良好的生命周期可降低60-80%的存储成本，同时满足《个人信息保护法》（PIPL）最小必要原则、《数据安全法》（DSL）分级留存要求，以及 HIPAA §164.316 保留规定——全部通过策略而非人工执行。关键在于将策略编写为代码，并在应用到 PB 级数据前先在小样本上测试。

第一阶段：带意图地创建

文件的生命周期从创建开始。此刻设置的元数据决定了一切后续：保留类别、保密级别、负责人、项目。一个在入库时不捕获这些信息的上传端点，会迫使后期手动打标签——而手动标签从来不会被执行。

入库时的最小元数据集：

owner：AD/SSO 用户 ID 或服务账号
created-by-app：写入文件的系统
content-class：文档、日志、媒体、备份、临时文件
retention-class：sox-7y、hipaa-6y、temp-30d、indefinite
confidentiality：public、internal、restricted、secret

通过 S3 Object Tags 或 Azure Blob Index Tags 在 PutObject 时嵌入。一个验证必填标签、拒绝缺少标签的上传的 Lambda，从第一天起就保持目录整洁。

第二阶段：热层中的活跃使用

活跃使用的文件存放在最快、最贵的存储层：S3 Standard（$0.023/GB）、Azure Hot（$0.0184/GB）、GCS Standard（$0.020/GB）。延迟要紧（100毫秒以内），吞吐量要紧，访问模式不可预测。

活跃使用期间：

启用版本控制，捕获覆写和误删
访问日志接入 SIEM 进行审计
使用 KMS 客户管理密钥加密
使用预签名 URL 进行外部分享（最长7天）

热层中的典型驻留时间：30-90天。超过这个期限，访问频率通常已低到足以让冷层产生收益。

第三阶段：迁移至温存储

30天未访问后，大多数文件迁移至低频访问层：S3 Standard-IA（$0.0125/GB）、Azure Cool（$0.0152/GB）、GCS Nearline（$0.010/GB）。取回延迟保持在100毫秒以内，但出现取回费用——S3 IA 收取$0.01/GB的取回费。

此迁移的生命周期规则：

{
  "ID": "active-to-ia",
  "Status": "Enabled",
  "Filter": {"Prefix": "documents/"},
  "Transitions": [{"Days": 30, "StorageClass": "STANDARD_IA"}]
}

注意最小对象大小——S3 IA 按每对象128KB计费，即便实际只有4KB。小于128KB的对象在 IA 中比 Standard 贵。用 ObjectSizeGreaterThan: 131072 过滤生命周期规则排除小对象。

第四阶段：长尾归档

90天以上未访问的文件很少再被访问，但可能受保留要求约束。将其迁移至冷归档层：S3 Glacier Flexible Retrieval（$0.0036/GB）、S3 Glacier Deep Archive（$0.00099/GB）、Azure Archive（$0.00099/GB）、GCS Archive（$0.0012/GB）。

取回延迟变得显著：

Glacier Instant Retrieval：毫秒级
Glacier Flexible Retrieval：标准3-5小时，极速1-5分钟
Glacier Deep Archive：标准12小时，批量48小时
Azure Archive：再水化最长15小时

根据实际恢复 SLA 选择存储层。如果审计机构提前24小时通知，就不要把季度审计文件放在 Deep Archive。

第五阶段：保留保全与合规

法规通常要求在业务用途结束后继续保留文件。SOX：7年。HIPAA：6年。SEC Rule 17a-4：3-6年。PIPL 要求个人信息保留仅以必要目的为限，中国《数据安全法》对重要数据有分级留存要求。

通过标签驱动的保留和 WORM 存储实现：

retention-class 标签驱动生命周期时序
S3 Object Lock 合规模式在保留期内防止删除——连 root 也无法删除
法律保留标签（legal-hold: true）无限期冻结生命周期迁移
审计日志捕获所有访问和标签变更

对于受 FINRA 4511 和 SEC 17a-4(f) 约束的经纪商，WORM 存储是强制要求。实施错误（例如用治理模式代替合规模式）已导致企业被罚款数百万。

第六阶段：安全销毁

最终删除关闭生命周期。"安全"意味着数据不可恢复，且操作有文件记录。

方法：

软删除+延迟清除：标记为已删除，30天后清除（允许恢复）
密码学擦除：删除加密密钥，使密文变成噪音
物理覆写：DoD 5220.22-M 三遍写入（仅适用于本地部署）

对于云对象存储，密码学擦除是实用方法。每个存储桶或对象类别使用 KMS 密钥；删除密钥后，对象在几分钟内变得不可恢复。AWS、Azure 和 GCP 均支持此模式。用 CloudTrail 等工具记录删除操作。

审计日志要求：捕获对象键、VersionId、时间戳、操作者、原因码，以及匹配的保留规则。审计日志的保留时间应长于它所描述的数据——如果数据7年后删除，删除日志保留10年。

跨生命周期阶段的共享

处于不同生命周期阶段的文件有不同的共享方式。活跃项目文件：带编辑权限的 Drive 链接。归档合同需要提供给外部法律顾问时：恢复至温存储，生成预签名 URL，项目结束后删除温存储副本。

对于归档文件的一次性共享，传输工具避免了为外部方授权访问归档系统的复杂性。HexaTransfer 支持最大10GB的 AES-256-GCM 端到端加密传输和一次性链接——恢复归档文件，发送，完成。归档保持不动，律所得到所需内容，无需 IAM 角色配置。

策略即代码模式

将每条生命周期规则编码进 Terraform、CloudFormation、Pulumi 或 Bicep。不要在控制台手动点击。好处：

通过 Pull Request 进行同行评审
策略变更的版本历史
用 terraform plan 进行干跑验证
通过回滚提交来撤销变更

Terraform 示例片段：

resource "aws_s3_bucket_lifecycle_configuration" "docs" {
  bucket = aws_s3_bucket.docs.id
  rule {
    id     = "tiering"
    status = "Enabled"
    transition { days = 30  storage_class = "STANDARD_IA" }
    transition { days = 90  storage_class = "GLACIER_IR" }
    transition { days = 365 storage_class = "DEEP_ARCHIVE" }
    expiration { days = 2555 }
  }
}

提交、审查、应用。先在开发存储桶测试，再通过逐步扩大过滤器前缀的方式推广至生产。

衡量生命周期效果

每月追踪：

各层（热/温/归档）的总存储量
各层费用
对象年龄分布
冷层取回率（取回率高说明分层策略有误）
删除率和原因

S3 Storage Lens、Azure Cost Management 和 GCP 存储洞察均提供这些仪表盘。健康成熟的生命周期：10%热层、20%温层、70%归档层，冷层年取回率低于1%。偏离此比例意味着策略需要调整。

生命周期设计练习

为新工作负载设计生命周期时，回答以下五个问题：

适用哪些法规保留要求？
30天、90天、365天后的实际访问模式是什么？
需要旧文件时，可接受的恢复时间是多久？
删除触发条件是什么——时间、事件还是请求？
审计证据要求是什么？

这些答案决定了分层时序、保留锁、法律保全能力和审计流水线。在编写任何 Terraform 代码之前先获得这五个答案。大多数生命周期出错的故事，都始于团队跳过了提问阶段，直接复制了别人的策略。

免费试用 hexatransfer.com——无需注册，单次最大10GB。