Menggunakan bucket Amazon S3 Anda sendiri

Secara default, AWS Transform menggunakan bucket Amazon S3 yang dikelola layanan untuk menyimpan artefak transformasi. Anda dapat memilih untuk menggunakan bucket Amazon S3 Anda sendiri sebagai gantinya untuk kontrol yang lebih besar atas penyimpanan data, enkripsi, dan kebijakan akses.

Prasyarat

Sebelum mengonfigurasi bucket Amazon S3 Anda sendiri, pastikan persyaratan berikut terpenuhi:

Konfigurasi enkripsi yang didukung

Bucket Anda harus menggunakan salah satu konfigurasi enkripsi berikut:

Berikut ini tidak didukung:

Mengonfigurasi bucket Amazon S3 Anda

Anda dapat mengonfigurasi AWS Transform untuk menggunakan bucket Amazon S3 Anda sendiri dari konsol AWS Transform.

Setelah Anda menyimpan konfigurasi, AWS Transform menggunakan bucket Anda untuk menyimpan artefak transformasi.

Kebijakan bucket yang diperlukan

Anda harus mengonfigurasi kebijakan bucket untuk memberikan akses AWS Transform. Tambahkan kebijakan bucket berikut ke bucket Amazon S3 agar prinsipal layanan AWS Transform dapat membaca, menulis, menghapus, dan membuat daftar artefak transformasi.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Ganti nilai-nilai berikut:

Konfigurasi CORS yang diperlukan

Jika Anda menggunakan aplikasi web AWS Transform, Anda harus mengonfigurasi Cross-Origin Resource Sharing (CORS) di bucket Amazon S3 Anda. Anda dapat menemukan domain aplikasi web setelah mengaktifkan AWS Transform. Untuk informasi selengkapnya, lihat Memulai dengan AWS Transformasi.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Ganti nilai-nilai berikut:

Kebijakan kunci KMS (opsional)

Bagian ini hanya berlaku jika bucket Anda dienkripsi dengan kunci KMS yang dikelola pelanggan. Jika bucket Anda menggunakan SSE-S3, lewati bagian ini.

Jika Anda menentukan kunci AWS KMS Anda sendiri untuk enkripsi bucket, tambahkan pernyataan berikut ke kebijakan kunci Anda. AWS Transform bergantung pada Forward Access Sessions (FAS) untuk membuat hibah untuk prinsipal layanannya. Hibah ini digunakan untuk memvalidasi kunci Anda dan mengakses artefak di bucket Amazon S3 Anda.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Ganti nilai-nilai berikut:

Beralih kembali ke bucket default

Anda dapat beralih kembali ke bucket yang dikelola layanan kapan saja.

Mengunggah file langsung ke bucket Anda

Anda dapat mengunggah file langsung ke bucket Amazon S3 tanpa menggunakan aplikasi web AWS Transform. Untuk membuat file yang diunggah tersedia untuk agen transformasi, unggah file tersebut ke User Uploads folder untuk pekerjaan tersebut. Jalur direktori untuk folder ini menggunakan format berikut:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Ganti nilai-nilai berikut:

Setiap pekerjaan di AWS Transform memiliki User Uploads foldernya sendiri. File yang Anda unggah ke jalur ini muncul di aplikasi web dan tersedia untuk agen transformasi saat mereka menyelesaikan pekerjaan.

Jalur file tidak boleh berisi..,//, atau spasi di depan atau di belakang — file yang melanggar batasan ini tidak terlihat oleh agen.

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matriks Kompatibilitas

Tabel berikut merangkum kompatibilitas AWS Transform dengan fitur bucket Amazon S3 umum.