はじめに
S3 オブジェクトロックには、「デフォルトの保持」という設定項目があり、有効化するとデフォルトの保持モード（ガバナンス、コンプライアンス）やデフォルトの保持期間を設定できます。
今回は、この「デフォルトの保持」を「無効」にした場合のオブジェクト削除時の挙動を確認しました。
経緯
お客様より、「オブジェクトロックを有効化しているのですが、デフォルトの保持は無効にしています。この状態だと、オブジェクトは削除できてしまうのでしょうか？」という問い合わせを受けたため、調査することになりました。
いきなり結論
AWS CLI から実行する場合は、s3:BypassGovernanceRetention 権限がなくても削除可能ですが、S3 コンソールから削除するには、s3:BypassGovernanceRetention 権限が必要です。
※s3:BypassGovernanceRetention：ガバナンスモードで保護されているオブジェクトを上書き、削除する許可
オブジェクトロックと権限の関係
・バケットの設定でオブジェクトロックを有効化し、「デフォルトの保持」を無効化した場合、バケットにオブジェクトをアップロードしても「保持モード」が適用されないため、オブジェクトはロックされません。
・オブジェクトがロックされていないため、s3:BypassGovernanceRetention 権限がないユーザーでもCLIからは削除できます。ところが、S3 コンソールから削除するにはs3:BypassGovernanceRetention 権限が必要となります。
公式ドキュメントの記述
公式ドキュメントには、以下のように記載されています。
S3 オブジェクトロックの仕組み
Amazon S3 コンソールにはデフォルトで、x-amz-bypass-governance-retention:true ヘッダーが含まれています。ガバナンスモードで保護されているオブジェクトを削除する場合、s3:BypassGovernanceRetention アクセス許可があれば、そのオペレーションは正常に完了します。
"ガバナンスモードで保護されているオブジェクトを削除する場合、"とありますが、「ガバナンスモード」でオブジェクトがロックされていなくても、「デフォルトの保持」を「無効」にした場合、S3 コンソールから削除するにはこの権限が必要です。これは現状のS3コンソールの仕様です。（2025年8月時点）
検証
オブジェクトロックを有効化、デフォルトの保持を無効にしたバケットを作成し、そこにファイルをアップロードします。
AmazonS3FullAccess権限を持つユーザーで、オブジェクト（バケットにアップロードしたファイル）を削除してみます。
※バージョンの表示を「オン」で実行
⇩
⇒ 完全に削除されました。
次に先程のユーザーと同じ権限を持つユーザーに以下のとおり、s3:BypassGovernanceRetentionを明示的に拒否したポリシーをアタッチします。
このユーザーで同様に削除してみます。
【マネジメントコンソールで削除した場合】
※バージョンの表示を「オン」で実行
⇩
⇒ 「アクセスが拒否されました」となり、削除できないことが確認できました。
【CLIで削除した場合】
同じユーザーで、CLIから削除してみます。
⇩
⇩
⇒ 完全に削除されました。
まとめ
オブジェクトロックを有効化し、かつ、デフォルトの保持が無効なバケットにアップロードされたオブジェクトは、オブジェクトがロックされていない状態です。そのため、s3:BypassGovernanceRetention 権限がないユーザーでもAWS CLI から削除できますが、S3 コンソールから削除するには、s3:BypassGovernanceRetention 権限が必要です。これは現時点（2025年8月時点）でのS3 コンソールの仕様になります。
このように、S3 オブジェクトロックにおいては、CLIから実行した場合とS3 コンソールから実行した場合で、動作仕様が異なる点にご注意ください。
最後までお読みいただきありがとうございました。