🗄️ धडा 14 — S3: अमर्याद locker room (object storage)

📍 तुम्ही इथे आहात: 20 पैकी धडा 14 · मागे: lesson-13-vpc · पुढे: lesson-15-load-balancers

📦 या ब्रँचमध्ये काय आहे

धडे 01–14. AWS ची सर्वात जास्त वापरली जाणारी service — आणि या course मधली पहिली service जी तुमच्या कॅम्पसच्या आत नाही. खरी file:

s3/presign-lab.sh — पाहुण्यांच्या पासचा lab, सुरुवातीपासून शेवटपर्यंत

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

शाळेला सामान ठेवायला जागा हवी — फोटो, गृहपाठाचे संग्रह, backup photocopies, वार्षिक अंक. बाकांच्या ड्रॉवरमध्ये नाही (EBS त्याच्या बाकाच्या आराखड्यासोबत मरतो, आठवते?). शाळा अमर्याद locker room भाड्याने घेते: S3.

Bucket 🪣 म्हणजे नाव लिहिलेली lockers ची एक भिंत. ते नाव पृथ्वीवरच्या प्रत्येक शाळेत एकमेव असते (my-school-yearbooks-2026).
Object 📦 म्हणजे locker मधला एक डबा: सामान + एक लेबल (key), जसे 2026/class-3A/photo.jpg. ते slashes लेबलचाच भाग आहेत — खरे folders नसतातच, फक्त नीटनेटकी दिसणारी लेबले.
टिकाऊपणा (Durability) 🏢🏢🏢: प्रत्येक डबा अनेक इमारतींमध्ये (AZs) redundant साठवला जातो — आपोआप, तुम्हाला काहीच configure करायचे नाही. Eleven nines — S3 तुमचा डबा हरवण्याआधी तुम्ही तुमच्या चाव्या हरवाल.
पाहुण्यांचा पास 🎟️ (presigned URL): "ही link हा डबा दुपारी 3 पर्यंत उघडू शकते." पास असलेल्या कोणालाही प्रवेश — account ची गरज नाही. Apps users ना private files सुरक्षितपणे download करू देतात ते असेच.
मूळ नियम 🛡️: अनोळखी कोणीच नाही, कधीच — Block Public Access ON असते. इतिहासातल्या data leaks पैकी निम्मे म्हणजे अशा शाळा ज्यांनी एका डब्यासाठी म्हणून संपूर्ण भिंतीवरचे ते बंद केले.

थंड पडलेले डबे तळघरात (Infrequent Access, स्वस्त) किंवा मिठाच्या खाणीत (Glacier, सर्वात स्वस्त, आणायला काही तास) जातात — धडा 20 ते bill वाचतो.

🗺️ आकृती

flowchart LR
    app["🖥️ your app / CLI"]
    b["🪣 bucket: school-files<br/>📦 2026/class-3A/photo.jpg"]
    az["🏢🏢🏢 stored redundantly across AZs<br/>(11 nines durability, automatic)"]
    guest["🧑 visitor with presigned URL<br/>works until it expires ⏰"]
    app -->|"1 PUT (IAM-checked 🪪)"| b
    b -->|"2 automatic"| az
    app -->|"3 issue pass"| guest
    guest -->|"4 GET, no account"| b

❓ काय

S3 regional आहे पण तुमच्या VPC च्या बाहेर राहते — तुम्ही त्याला website सारखे call करता (IAM-signed HTTPS). आकार ठरवायला disks नाहीत, patch करायला बाक नाहीत, प्रति GB-month + प्रति request पैसे.
Versioning: नव्या डब्याला तेच लेबल मिळाले की प्रत्येक जुना डबा ठेवा — delete फक्त एक खूण जोडते. तुमचे undo बटण.
Lifecycle rules: "90 दिवसांपेक्षा जुने डबे → तळघर; 365 → मिठाची खाण; अपूर्ण uploads → कचरापेटी." Docker course मधला सफाई कर्मचारी, objects साठी.
या मालिकेत ते कोण वापरते: ECR layers आतून S3 वरच राहतात; Terraform state, k8s etcd backups (k8s धडा 18!), ALB access logs — सगळे locker room मध्ये भेटतात.

🤔 का

EBS (धडा 11) म्हणजे एका बाकाला पक्का बसवलेला ड्रॉवर — वेगवान, लहान, एक इमारत. S3 म्हणजे locker room — अमर्याद, तीन इमारती, ओळखपत्र असेल तर कुठूनही पोहोचता येणारे. स्वतःच्या बाकावर files ठेवणारे apps एका बाकापलीकडे वाढू शकत नाहीत; S3 मध्ये files ठेवणारे apps shared-disk च्या कोणत्याही नाट्याशिवाय ताफ्यापर्यंत (धडा 12) वाढतात.

🔧 कसे

aws s3 mb s3://school-lab-$RANDOM              # claim a locker wall
echo "hello locker" > note.txt
aws s3 cp note.txt s3://YOUR_BUCKET/notes/note.txt
aws s3 presign s3://YOUR_BUCKET/notes/note.txt --expires-in 300   # 5-min visitor pass

🧪 करून पाहा (~10 मिनिटे, ~0¢)

cd s3 && bash presign-lab.sh        # bucket → upload → pass → prove the pass expires → cleanup

✅ तपासा — तुम्हाला काय दिसायला हवे

presigned URL सह curl file परत देतो; तोच URL मुदत संपल्यानंतर 403 देतो; साधा object URL सुरुवातीपासूनच 403 देतो.

🧹 साफसफाई — काहीही चालू ठेवू नका

aws s3 rb s3://BUCKET --force — lab script हे तुमच्यासाठी करते

⚠️ नेहमीच्या चुका

एका file साठी संपूर्ण bucket वरचे Block Public Access बंद करणे
folder/ ही खरी directory आहे असे समजणे — keys म्हणजे लेबले
versioning नसलेल्या bucket मध्ये Terraform state किंवा backups ठेवणे

⏭️ पुढे

Files लागल्या. पण संपूर्ण गाव एकाच वेळी शाळेच्या website ला भेट देते तेव्हा गर्दी तुमच्या बाकांमध्ये कोण वाटते? धडा 15: reception चा बाक — load balancers.

🗄️ Lesson 14 — S3: the infinite locker room (object storage)

📍 You are here: Lesson 14 of 20 · Previous: lesson-13-vpc · Next: lesson-15-load-balancers

📦 What's in this branch

Lessons 01–14. The most-used AWS service there is — and the first one in this course that is NOT inside your campus. Real file:

s3/presign-lab.sh — the visitor-pass lab, start to finish

🧒 Explain like I'm 5

The school needs somewhere to keep stuff — photos, homework archives, backup photocopies, the yearbook. Not in desk drawers (EBS dies with its desk plans, remember?). The school rents the infinite locker room: S3.

A bucket 🪣 is one wall of lockers with a name on it. The name is unique across every school on Earth (my-school-yearbooks-2026).
An object 📦 is a box in a locker: the stuff + a label (key) like 2026/class-3A/photo.jpg. Those slashes are part of the label — there are no real folders, just labels that look tidy.
Durability 🏢🏢🏢: every box is stored redundantly across multiple buildings (AZs) — automatically, nothing for you to configure. Eleven nines — you will lose your keys before S3 loses your box.
The visitor pass 🎟️ (presigned URL): "this link may open THIS box until 3 pm." Anyone holding the pass gets in — no account needed. It's how apps let users download private files safely.
The default rule 🛡️: no strangers, ever — Block Public Access is ON. Half of history's data leaks are schools that turned it off on the whole wall when they meant one box.

Cold boxes move to the basement (Infrequent Access, cheaper) or the salt mine (Glacier, cheapest, hours to fetch) — lesson 20 reads that bill.

🗺️ Diagram

flowchart LR
    app["🖥️ your app / CLI"]
    b["🪣 bucket: school-files<br/>📦 2026/class-3A/photo.jpg"]
    az["🏢🏢🏢 stored redundantly across AZs<br/>(11 nines durability, automatic)"]
    guest["🧑 visitor with presigned URL<br/>works until it expires ⏰"]
    app -->|"1 PUT (IAM-checked 🪪)"| b
    b -->|"2 automatic"| az
    app -->|"3 issue pass"| guest
    guest -->|"4 GET, no account"| b

❓ What

S3 is regional but lives OUTSIDE your VPC — you call it like a website (IAM-signed HTTPS). No disks to size, no desks to patch, pay per GB-month + per request.
Versioning: keep every old box when a new one gets the same label — deletes just add a marker. Your undo button.
Lifecycle rules: "boxes older than 90 days → basement; 365 → salt mine; incomplete uploads → bin." The janitor from the Docker course, for objects.
Who uses it in this series: ECR layers live on S3 under the hood; Terraform state, k8s etcd backups (k8s lesson 18!), ALB access logs — everything meets in the locker room.

🤔 Why

EBS (lesson 11) is a drawer bolted to one desk — fast, small, one building. S3 is the locker room — infinite, three buildings, reachable from anywhere with an ID card. Apps that keep files on their own desk can't scale past one desk; apps that keep files in S3 scale to a fleet (lesson 12) with zero shared-disk drama.

🔧 How

aws s3 mb s3://school-lab-$RANDOM              # claim a locker wall
echo "hello locker" > note.txt
aws s3 cp note.txt s3://YOUR_BUCKET/notes/note.txt
aws s3 presign s3://YOUR_BUCKET/notes/note.txt --expires-in 300   # 5-min visitor pass

🧪 Try it (~10 min, ~0¢)

cd s3 && bash presign-lab.sh        # bucket → upload → pass → prove the pass expires → cleanup

✅ Verify — what you should see

curl with the presigned URL returns the file; the same URL after expiry returns 403; the plain object URL returns 403 from the start.

🧹 Clean up — do not leave running

aws s3 rb s3://BUCKET --force — the lab script does it for you

⚠️ Common mistakes

turning off Block Public Access on the whole bucket for one file
thinking folder/ is a real directory — keys are labels
keeping Terraform state or backups in a bucket without versioning

⏭️ Next

Files sorted. But when the whole town visits the school website at once, who splits the crowd across your desks? Lesson 15: the reception desk — load balancers.

← Previousvpc Next →load balancers

This page is the lesson's README from the lesson-14-s3 branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.