Verwenden Sie Ihren eigenen Amazon S3-Bucket

Standardmäßig verwendet AWS Transform einen vom Service verwalteten Amazon S3-Bucket zum Speichern von Transformationsartefakten. Sie können stattdessen Ihren eigenen Amazon S3-Bucket verwenden, um eine bessere Kontrolle über Datenspeicher, Verschlüsselung und Zugriffsrichtlinien zu erhalten.

Voraussetzungen

Bevor Sie Ihren eigenen Amazon S3-Bucket konfigurieren, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

Unterstützte Verschlüsselungskonfigurationen

Ihr Bucket muss eine der folgenden Verschlüsselungskonfigurationen verwenden:

Folgendes wird nicht unterstützt:

Konfiguration Ihres Amazon S3-Buckets

Sie können Transform über die AWS Transform-Konsole so konfigurieren, dass es Ihren eigenen Amazon S3-Bucket verwendet. AWS

Nachdem Sie die Konfiguration gespeichert haben, verwendet AWS Transform Ihren Bucket, um Transformationsartefakte zu speichern.

Erforderliche Bucket-Richtlinie

Sie müssen die Bucket-Richtlinie konfigurieren, um AWS Transform Zugriff zu gewähren. Fügen Sie Ihrem Amazon S3-Bucket die folgende Bucket-Richtlinie hinzu, damit der AWS Transform Service-Principal Transformationsartefakte lesen, schreiben, löschen und auflisten kann.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Ersetzen Sie die folgenden Werte:

Erforderliche CORS-Konfiguration

Wenn Sie die AWS Transform-Webanwendung verwenden, müssen Sie Cross-Origin Resource Sharing (CORS) in Ihrem Amazon S3-Bucket konfigurieren. Sie können die Webanwendungsdomäne finden, nachdem Sie AWS Transform aktiviert haben. Weitere Informationen finden Sie unter Erste Schritte mit AWS Transformieren.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Ersetzen Sie die folgenden Werte:

KMS-Schlüsselrichtlinie (optional)

Dieser Abschnitt gilt nur, wenn Ihr Bucket mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt ist. Wenn Ihr Bucket verwendet SSE-S3, überspringen Sie diesen Abschnitt.

Wenn Sie Ihren eigenen AWS KMS-Schlüssel für die Bucket-Verschlüsselung angeben, fügen Sie Ihrer Schlüsselrichtlinie die folgende Anweisung hinzu. AWS Transform verwendet Forward Access Sessions (FAS), um Zuschüsse für seinen Dienstprinzipal zu gewähren. Diese Zuschüsse werden verwendet, um Ihren Schlüssel zu validieren und auf Artefakte in Ihrem Amazon S3-Bucket zuzugreifen.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Ersetzen Sie die folgenden Werte:

Zurück zum Standard-Bucket wechseln

Sie können jederzeit zum vom Service verwalteten Bucket zurückkehren.

Laden Sie Dateien direkt in Ihren Bucket hoch

Sie können Dateien direkt in Ihren Amazon S3-Bucket hochladen, ohne die AWS Transform-Webanwendung zu verwenden. Um hochgeladene Dateien für Transformationsagenten verfügbar zu machen, laden Sie sie in den User Uploads Ordner für den Job hoch. Der Verzeichnispfad für diesen Ordner verwendet das folgende Format:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Ersetzen Sie die folgenden Werte:

Jeder Job in AWS Transform hat seinen eigenen User Uploads Ordner. Dateien, die Sie in diesen Pfad hochladen, werden in der Webanwendung angezeigt und stehen den Transformationsagenten zur Verfügung, während sie den Job abschließen.

Dateipfade dürfen keine führenden oder nachfolgenden Leerzeichen enthalten .. — Dateien//, die gegen diese Einschränkungen verstoßen, sind für Agenten nicht sichtbar.

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Kompatibilitätsmatrix

Die folgende Tabelle fasst die Kompatibilität von AWS Transform mit gängigen Amazon S3-Bucket-Funktionen zusammen.