Uso de su propio bucket de Amazon S3

De forma predeterminada, AWS Transform usa un bucket de Amazon S3 administrado por servicios para almacenar los artefactos de transformación. En su lugar, puede optar por utilizar su propio bucket de Amazon S3 para tener un mayor control sobre el almacenamiento de datos, el cifrado y las políticas de acceso.

Requisitos previos

Antes de configurar su propio bucket de Amazon S3, asegúrese de que se cumplen los siguientes requisitos:

Configuraciones de cifrado compatibles

Su bucket debe usar una de las siguientes configuraciones de cifrado:

No se admiten las siguientes:

Configuración de su bucket de Amazon S3

Puede configurar AWS Transform para que utilice su propio bucket de Amazon S3 desde la consola de AWS Transform.

Después de guardar la configuración, AWS Transform usa el bucket para almacenar los artefactos de transformación.

Política de bucket obligatoria

Debes configurar la política de cubos para conceder el acceso a AWS Transform. Añada la siguiente política de buzones a su bucket de Amazon S3 para que el principal del servicio de AWS Transform pueda leer, escribir, eliminar y enumerar los artefactos de transformación.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Reemplace los siguientes valores:

Configuración de CORS requerida

Si usa la aplicación web AWS Transform, debe configurar el uso compartido de Cross-Origin recursos (CORS) en su bucket de Amazon S3. Puede encontrar el dominio de la aplicación web después de habilitar AWS Transform. Para obtener más información, consulte Introducción al AWS Transformar.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Reemplace los siguientes valores:

Política de claves de KMS (opcional)

Esta sección solo se aplica cuando el bucket está cifrado con una clave de KMS administrada por el cliente. Si tu bucket usa SSE-S3, omite esta sección.

Si especificas tu propia clave de AWS KMS para el cifrado de cubos, agrega la siguiente declaración a tu política de claves. AWS Transform confía en las sesiones de acceso directo (FAS) para crear subvenciones para su principal de servicio. Estas subvenciones se utilizan para validar su clave y acceder a los artefactos de su bucket de Amazon S3.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Reemplace los siguientes valores:

Volver al bucket predeterminado

Puedes volver al bucket administrado por el servicio en cualquier momento.

Subir archivos directamente a tu bucket

Puede subir archivos directamente a su bucket de Amazon S3 sin utilizar la aplicación web AWS Transform. Para que los archivos cargados estén disponibles para los agentes de transformación, cárguelos en la User Uploads carpeta del trabajo. La ruta del directorio de esta carpeta usa el siguiente formato:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Reemplace los siguientes valores:

Cada trabajo de AWS Transform tiene su propia User Uploads carpeta. Los archivos que subas a esta ruta aparecen en la aplicación web y están disponibles para los agentes de transformación mientras completan el trabajo.

Las rutas de los archivos no deben contener .. espacios iniciales o finales; los agentes no pueden ver los archivos que infrinjan estas restricciones. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matriz de compatibilidad

En la siguiente tabla se resume la compatibilidad de AWS Transform con las funciones comunes de los cubos de Amazon S3.