Cloud Storage 可暫停永久刪除：GCP 誤刪與勒索事件的資料救援、權限與成本檢查
把檔案、備份、影像或資料湖放在 Google Cloud Storage（GCS）的企業，最怕的情境通常不是硬體故障，而是「人」：維運腳本跑錯、帳號被盜後大量刪除，或勒索軟體把雲端備份一起清掉。GCS 提供預設保留 7 天的軟刪除（soft delete），物件刪除後仍可在保留期間內還原；但如果事件規模很大、調查時間很長，保留期限一到，資料還是會被永久清除。
Google Cloud 在 2026-11-04 的 release notes 公布：Cloud Storage 可以「暫停永久刪除（pause hard deletions）」。啟用後，已軟刪除的物件會一直保留，不受原本保留期限影響，直到管理者手動恢復。這項功能對「大量資料、調查期不確定」的救援情境特別有用，但也會帶來額外儲存費用與權限管理問題。以下整理官方說明與企業可以先做的準備。
新功能重點：讓軟刪除的物件「先別被清掉」
以下為 Google Cloud 官方文件整理的事實（查核日期：2026-11-06；文件最後更新 2026-11-04，官方頁面未標示發布階段）。
軟刪除與暫停永久刪除的差別
軟刪除（既有功能）： 物件或 bucket 被刪除後，先進入「已軟刪除」狀態，在保留期間內可以還原。預設保留 7 天，可設定為 7 到 90 天，或設為 0 關閉。
暫停永久刪除（新功能）： 針對單一 bucket 啟用。啟用期間，已軟刪除的物件會無限期保留，即使保留期限已過也不會被清除；恢復後，再依各物件原本的保留期限處理，已經超過期限的物件會在恢復時被永久刪除。
官方列出的使用情境： 數十億個物件的大型 bucket，還原時間可能超過保留期限；誤刪範圍還不清楚、需要調查；還原流程複雜、需要時間驗證結果。
權限、操作方式與限制
權限： 需要 Storage Admin（roles/storage.admin）角色，關鍵權限是 storage.buckets.update；使用主控台另需 storage.buckets.get 與 storage.buckets.list。
操作方式： 官方文件目前提供 JSON API 做法，以 PATCH 更新 bucket 的 softDeletePolicy.hardDeletePause.enabled 為 true；恢復時改為 false。
限制： 只能用在已啟用軟刪除的既有 bucket，建立 bucket 時不能設定；每個 bucket 暫停與恢復的變更，每 24 小時最多一次；暫停期間不能關閉軟刪除，也不能刪除該 bucket；暫停期間物件仍可被刪除，只是會進入軟刪除狀態。
項目 | 只有軟刪除 | 軟刪除＋暫停永久刪除 |
|---|---|---|
已刪除物件保留多久 | 依保留期限（7–90 天） | 暫停期間無限期保留 |
適合情境 | 一般誤刪、少量還原 | 大量誤刪、勒索事件、調查期不確定 |
儲存費用 | 保留期間持續計費 | 暫停期間持續計費，可能明顯增加 |
可否刪除 bucket | 可以 | 暫停期間不可以 |
變更頻率 | 可調整保留期限 | 暫停／恢復每 24 小時最多一次 |
計費影響：救援時間，就是儲存費用
Cloud Storage 定價頁說明，軟刪除的物件和一般物件一樣計算儲存費用；Nearline、Coldline、Archive 等有最低儲存期限的類別（分別為 30、90、365 天），在軟刪除時會產生提前刪除費用，金額會依軟刪除保留期限折抵。還原軟刪除物件不收取擷取費用，但還原後的物件會以 Standard 儲存類別計費。
官方文件也特別提醒：暫停永久刪除期間，儲存費用可能大幅增加，還原完成後應盡快恢復。實際費用依 bucket 所在區域、儲存類別與資料量而定，請以 Google Cloud 官方定價與計費報表為準。
對台灣企業的影響
以下為 WeWinCloud 的分析與建議，非官方說法。
勒索事件的「時間壓力」變小： 過去如果保留期限是 7 天，事件發生後要在一週內完成調查、確認範圍與還原，對大型 bucket 很吃緊。暫停永久刪除讓企業可以先「凍結現場」，再慢慢處理。
但它不是備份： 軟刪除只保護「被刪除」的物件。物件被覆寫、被加密後上傳同名檔案，或攻擊者直接把軟刪除關閉、把保留期限改短，都需要另外的防護（例如物件版本控管、保留政策、跨專案備份）。
權限設計比功能本身更重要： 能啟用暫停的人，通常也能修改軟刪除設定。如果 Storage Admin 權限發得太寬，攻擊者拿到帳號後一樣可以先關掉保護。
成本要事先估算： 若 bucket 每天有大量暫存檔被刪除（例如 ETL 中間檔、轉檔暫存），暫停期間這些資料會全部累積計費。
企業行動建議：事前 5 項檢查
盤點重要 bucket 是否開啟軟刪除： 可用 gcloud storage buckets describe gs://BUCKET_NAME --format="default(soft_delete_policy)" 查看。備份、合約文件、影像素材等重要資料，建議評估把保留期限拉長。
用組織政策鎖住設定： Google Cloud 提供 storage.softDeletePolicySeconds 組織政策限制，可避免個別專案把軟刪除關掉或改短。
收斂 Storage Admin 權限： 把可以修改 bucket 設定的帳號與服務帳戶列出來，移除不必要的權限，並對 bucket 設定變更開啟稽核與告警。
寫好事件處理 SOP： 發現大量刪除時，誰負責判斷是否暫停、誰執行 API、如何確認狀態、何時恢復，事先寫清楚。因為每 24 小時只能變更一次，判斷要謹慎。
不要只靠軟刪除： 重要資料搭配物件版本控管、保留政策，或備份到不同專案、不同帳號權限的位置，降低單一帳號失守的風險。
常見問題 FAQ
Cloud Storage 軟刪除預設有開嗎？
依官方文件，軟刪除預設保留 7 天，可設定 7 到 90 天，也可以設為 0 關閉。既有 bucket 的實際設定可能被調整過，建議逐一確認。
暫停永久刪除可以暫停多久？
官方文件沒有寫最長期限，只說明暫停期間軟刪除物件會一直保留，直到手動恢復；暫停與恢復每 24 小時最多變更一次。
暫停期間還能刪除檔案嗎？
可以。物件仍可被刪除，但會進入軟刪除狀態，不會被永久清除。暫停期間不能刪除整個 bucket，也不能關閉軟刪除。
還原軟刪除的物件要付費嗎？
依定價頁，還原軟刪除物件不收擷取費用，但還原後的物件以 Standard 儲存類別計費，原本的軟刪除版本也會保留到期限結束。實際費用以官方定價為準。
WeWinCloud 可以協助什麼
WeWinCloud 提供 Google Cloud 帳號申請、折扣方案與雲端架構服務，也能協助企業檢查備份與資料保護設計：
架構規劃與上雲： 高可用與備援架構、資料保護與還原流程設計
雲端成本優化： 帳單健檢與分析，評估軟刪除與保留政策的儲存成本
資安防護服務： 資安顧問與弱點評估，檢查權限設計與事件處理流程
延伸閱讀
參考資料
留言