独自の Amazon S3 バケットの使用

デフォルトでは、 AWS Transform はサービスマネージド Amazon S3 バケットを使用して変換アーティファクトを保存します。代わりに独自の Amazon S3 バケットを使用して、データストレージ、暗号化、アクセスポリシーをより詳細に制御できます。

前提条件

独自の Amazon S3 バケットを設定する前に、次の要件を満たしていることを確認してください。

サポートされている暗号化設定

バケットは、次のいずれかの暗号化設定を使用する必要があります。

ただし、以下はサポートしていません。

Amazon S3 バケットの設定

AWS Transform コンソールから独自の Amazon S3 バケットを使用するように AWS Transform を設定できます。

設定を保存すると、 AWS Transform はバケットを使用して変換アーティファクトを保存します。

必要なバケットポリシー

Transform AWS アクセスを許可するようにバケットポリシーを設定する必要があります。Amazon S3 バケットに次のバケットポリシーを追加して、 AWS 変換サービスプリンシパルが変換アーティファクトの読み取り、書き込み、削除、一覧表示できるようにします。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

以下の値を置き換えます:

必要な CORS 設定

AWS Transform ウェブアプリケーションを使用する場合は、Amazon S3 バケットで Cross-Origin Resource Sharing (CORS) を設定する必要があります。 AWS Transform を有効にした後、ウェブアプリケーションドメインを見つけることができます。詳細については、「AWS 変換の開始方法」を参照してください。

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

以下の値を置き換えます:

KMS キーポリシー (オプション)

このセクションは、バケットがカスタマー管理の KMS キーで暗号化されている場合にのみ適用されます。バケットが SSE-S3 を使用している場合は、このセクションをスキップします。

バケット暗号化に独自の KMS AWS キーを指定する場合は、キーポリシーに次のステートメントを追加します。 AWS Transform は、フォワードアクセスセッション (FAS) に依存してサービスプリンシパルの許可を作成します。これらの許可は、Amazon S3 バケット内のキーアーティファクトとアクセスアーティファクトを検証するために使用されます。

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

以下の値を置き換えます:

デフォルトバケットへの切り替え

サービスマネージドバケットにはいつでも切り替えることができます。

ファイルを バケットに直接アップロードする

AWS Transform ウェブアプリケーションを使用せずに、ファイルを Amazon S3 バケットに直接アップロードできます。アップロードしたファイルを変換エージェントが使用できるようにするには、ジョブの User Uploadsフォルダにアップロードします。このフォルダのディレクトリパスは、次の形式を使用します。

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

以下の値を置き換えます:

AWS Transform の各ジョブには独自のUser Uploadsフォルダがあります。このパスにアップロードしたファイルはウェブアプリケーションに表示され、変換エージェントがジョブを完了する間使用できます。

ファイルパスには、..、//、または先頭または末尾のスペースを含めることはできません。これらの制約に違反するファイルはエージェントに表示されません。

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

互換性マトリックス

次の表は、 AWS Transform と一般的な Amazon S3 バケット機能の互換性をまとめたものです。