Utilizzo del proprio bucket Amazon S3

Per impostazione predefinita, AWS Transform utilizza un bucket Amazon S3 gestito dal servizio per archiviare gli artefatti della trasformazione. Puoi invece scegliere di utilizzare il tuo bucket Amazon S3 per un maggiore controllo sullo storage dei dati, sulla crittografia e sulle politiche di accesso.

Prerequisiti

Prima di configurare il tuo bucket Amazon S3, assicurati che siano soddisfatti i seguenti requisiti:

Configurazioni di crittografia supportate

Il bucket deve utilizzare una delle seguenti configurazioni di crittografia:

I seguenti non sono supportati:

Configurazione del bucket Amazon S3

Puoi configurare AWS Transform per utilizzare il tuo bucket Amazon S3 dalla console Transform. AWS

Dopo aver salvato la configurazione, AWS Transform utilizza il bucket per memorizzare gli artefatti della trasformazione.

Politica sui bucket richiesta

È necessario configurare la policy del bucket per concedere l'accesso a AWS Transform. Aggiungi la seguente policy sui bucket al tuo bucket Amazon S3 per consentire al responsabile AWS del servizio Transform di leggere, scrivere, eliminare ed elencare gli artefatti della trasformazione.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Sostituisci i valori seguenti:

Configurazione CORS richiesta

Se utilizzi l'applicazione web AWS Transform, devi configurare Cross-Origin Resource Sharing (CORS) sul tuo bucket Amazon S3. Puoi trovare il dominio dell'applicazione web dopo aver abilitato Transform. AWS Per ulteriori informazioni, consulta Nozioni di base su AWS Trasformazione.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Sostituisci i valori seguenti:

Politica chiave KMS (opzionale)

Questa sezione si applica solo quando il bucket è crittografato con una chiave KMS gestita dal cliente. Se il tuo bucket lo utilizza SSE-S3, salta questa sezione.

Se specifichi la tua chiave AWS KMS per la crittografia dei bucket, aggiungi la seguente dichiarazione alla tua politica delle chiavi. AWS Transform si affida a Forward Access Sessions (FAS) per creare sovvenzioni per il responsabile del servizio. Queste concessioni vengono utilizzate per convalidare la chiave e accedere agli artefatti nel bucket Amazon S3.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Sostituisci i valori seguenti:

Tornare al bucket predefinito

Puoi tornare al bucket gestito dal servizio in qualsiasi momento.

Caricamento di file direttamente nel tuo bucket

Puoi caricare i file direttamente nel tuo bucket Amazon S3 senza utilizzare l'applicazione web AWS Transform. Per rendere i file caricati disponibili agli agenti di trasformazione, caricali nella User Uploads cartella del lavoro. Il percorso della directory di questa cartella utilizza il seguente formato:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Sostituisci i valori seguenti:

Ogni lavoro in AWS Transform ha una propria User Uploads cartella. I file caricati su questo percorso vengono visualizzati nell'applicazione Web e sono disponibili per gli agenti di trasformazione mentre completano il lavoro.

I percorsi dei file non devono contenere .. spazi iniziali o finali: i file che violano questi vincoli non sono visibili agli agenti. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matrice di compatibilità

La tabella seguente riassume la compatibilità di AWS Transform con le funzionalità comuni dei bucket Amazon S3.