使用您自己的 Amazon S3 存储桶

默认情况下，T AWS ransform 使用服务管理的 Amazon S3 存储桶来存储转换项目。您可以选择改用自己的 Amazon S3 存储桶来更好地控制数据存储、加密和访问策略。

先决条件

在配置自己的 Amazon S3 存储桶之前，请确保满足以下要求：

支持的加密配置

您的存储桶必须使用以下加密配置之一：

不支持以下语句：

配置您的 Amazon S3 存储桶

您可以从 T AWS ransform 控制台将 T AWS ransform 配置为使用自己的 Amazon S3 存储桶。

保存配置后，T AWS ransform 使用您的存储桶存储转换对象。

必填存储桶政策

您必须配置存储桶策略以授予 T AWS ransform 访问权限。将以下存储桶策略添加到您的 Amazon S3 存储桶，以允许 T AWS ransform 服务主体读取、写入、删除和列出转换项目。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

替换以下值：

所需的 CORS 配置

如果您使用 T AWS ransform Web 应用程序，则必须在 Amazon S3 存储桶上配置 Cross-Origin 资源共享 (CORS)。启用 “ AWS 转换” 后，您可以找到 Web 应用程序域。有关更多信息，请参阅 开始使用 AWS 转换。

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

替换以下值：

KMS 密钥策略（可选）

本部分仅在使用客户管理的 KMS 密钥加密您的存储桶时适用。如果您的存储桶使用 SSE-S3，请跳过此部分。

如果您为存储桶加密指定自己的 AWS KMS 密钥，请在密钥策略中添加以下语句。 AWS Transform 依靠前向访问会话 (FAS) 为其服务主体创建补助金。这些授权用于验证您的密钥和访问您的 Amazon S3 存储桶中的项目。

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

替换以下值：

切换回默认存储桶

您可以随时切换回服务管理的存储桶。

将文件直接上传到您的存储桶

您可以直接将文件上传到您的 Amazon S3 存储桶，而无需使用 T AWS ransform Web 应用程序。要将上传的文件提供给转换代理，请将它们上传到作业User Uploads文件夹。此文件夹的目录路径使用以下格式：

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

替换以下值：

T AWS ransform 中的每个作业都有自己的User Uploads文件夹。您上传到此路径的文件会显示在 Web 应用程序中，可供转换代理在完成作业时使用。

文件路径不得包含..、//、前导或尾随空格——违反这些限制的文件对代理不可见。

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

兼容性矩阵

下表汇总了 T AWS ransform 与常见 Amazon S3 存储桶功能的兼容性。