Verwenden Sie Ihren eigenen Amazon S3 S3-Bucket

Standardmäßig verwendet AWS Transform einen vom Service verwalteten Amazon S3 S3-Bucket zum Speichern von Transformationsartefakten. Sie können stattdessen Ihren eigenen Amazon S3 S3-Bucket verwenden, um mehr Kontrolle über Datenspeicher-, Verschlüsselungs- und Zugriffsrichtlinien zu haben.

Voraussetzungen

Bevor Sie Ihren eigenen Amazon S3 S3-Bucket konfigurieren, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

Unterstützte Verschlüsselungskonfigurationen

Ihr Bucket muss eine der folgenden Verschlüsselungskonfigurationen verwenden:

Folgendes wird nicht unterstützt:

Konfiguration Ihres Amazon S3 S3-Buckets

Sie können Transform von der AWS Transform-Konsole aus so konfigurieren, dass es Ihren eigenen Amazon S3 S3-Bucket verwendet. AWS

Nachdem Sie die Konfiguration gespeichert haben, verwendet AWS Transform Ihren Bucket zum Speichern von Transformationsartefakten.

Erforderliche Bucket-Richtlinie

Sie müssen die Bucket-Richtlinie konfigurieren, um AWS Transform-Zugriff zu gewähren. Fügen Sie Ihrem Amazon S3 S3-Bucket die folgende Bucket-Richtlinie hinzu, damit der AWS Transform-Serviceprinzipal Transformationsartefakte lesen, schreiben, löschen und auflisten kann.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Ersetzen Sie die folgenden Werte:

Erforderliche CORS-Konfiguration

Wenn Sie die AWS Transform-Webanwendung verwenden, müssen Sie Cross-Origin Resource Sharing (CORS) in Ihrem Amazon S3 S3-Bucket konfigurieren. Sie können die Webanwendungsdomäne finden, nachdem Sie AWS Transform aktiviert haben. Weitere Informationen finden Sie unter Erste Schritte mit AWS Transformieren.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Ersetzen Sie die folgenden Werte:

KMS-Schlüsselrichtlinie (optional)

Dieser Abschnitt gilt nur, wenn Ihr Bucket mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt ist. Wenn Ihr Bucket verwendet SSE-S3, überspringen Sie diesen Abschnitt.

Wenn Sie Ihren eigenen AWS KMS-Schlüssel für die Bucket-Verschlüsselung angeben, fügen Sie Ihrer Schlüsselrichtlinie die folgende Anweisung hinzu. AWS Transform verwendet Forward Access Sessions (FAS), um Grants für seinen Service Principal zu erstellen. Diese Grants werden verwendet, um Ihren Schlüssel und Ihre Zugriffsartefakte in Ihrem Amazon S3 S3-Bucket zu validieren.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Ersetzen Sie die folgenden Werte:

Zurück zum Standard-Bucket

Sie können jederzeit zum vom Service verwalteten Bucket zurückkehren.

Dateien werden direkt in Ihren Bucket hochgeladen

Sie können Dateien direkt in Ihren Amazon S3 S3-Bucket hochladen, ohne die AWS Transform-Webanwendung zu verwenden. Um hochgeladene Dateien für Transformationsagenten verfügbar zu machen, laden Sie sie in den User Uploads Ordner für den Job hoch. Der Verzeichnispfad für diesen Ordner verwendet das folgende Format:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Ersetzen Sie die folgenden Werte:

Jeder Job in AWS Transform hat seinen eigenen User Uploads Ordner. Dateien, die Sie in diesen Pfad hochladen, werden in der Webanwendung angezeigt und stehen Transformationsagenten zur Verfügung, während sie den Job abschließen.

Dateipfade dürfen keine führenden oder nachfolgenden Leerzeichen enthalten .. — Dateien, die diese Einschränkungen verletzen, sind für Agenten nicht sichtbar. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Kompatibilitätsmatrix

Die folgende Tabelle fasst die Kompatibilität von AWS Transform mit den gängigen Amazon S3 S3-Bucket-Funktionen zusammen.