Usando seu próprio bucket Amazon S3

Por padrão, o AWS Transform usa um bucket do Amazon S3 gerenciado por serviços para armazenar artefatos de transformação. Em vez disso, você pode optar por usar seu próprio bucket do Amazon S3 para ter maior controle sobre as políticas de armazenamento, criptografia e acesso de dados.

Pré-requisitos

Antes de configurar seu próprio bucket do Amazon S3, certifique-se de que os seguintes requisitos sejam atendidos:

Configurações de criptografia suportadas

Seu bucket deve usar uma das seguintes configurações de criptografia:

Não há suporte para o seguinte:

Configurando seu bucket Amazon S3

Você pode configurar o AWS Transform para usar seu próprio bucket do Amazon S3 no console do AWS Transform.

Depois de salvar a configuração, o AWS Transform usa seu bucket para armazenar artefatos de transformação.

Política de bucket necessária

Você deve configurar a política de bucket para conceder acesso ao AWS Transform. Adicione a seguinte política de bucket ao seu bucket do Amazon S3 para permitir que o principal do serviço AWS Transform leia, grave, exclua e liste artefatos de transformação.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Substitua os valores a seguir:

Configuração CORS necessária

Se você usa o aplicativo web AWS Transform, deve configurar o Compartilhamento de Cross-Origin Recursos (CORS) no seu bucket do Amazon S3. Você pode encontrar o domínio do aplicativo web depois de ativar o AWS Transform. Para obter mais informações, consulte Conceitos básicos de AWS Transformação.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Substitua os valores a seguir:

Política de chaves KMS (opcional)

Esta seção se aplica somente quando seu bucket é criptografado com uma chave KMS gerenciada pelo cliente. Se seu bucket usa SSE-S3, pule esta seção.

Se você especificar sua própria chave AWS KMS para criptografia de bucket, adicione a seguinte declaração à sua política de chaves. AWS O Transform depende das Sessões de Acesso Avançado (FAS) para criar subsídios para seu diretor de serviços. Essas concessões são usadas para validar sua chave e acessar artefatos em seu bucket do Amazon S3.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Substitua os valores a seguir:

Voltando para o bucket padrão

Você pode voltar para o bucket gerenciado pelo serviço a qualquer momento.

Carregando arquivos diretamente para o seu bucket

Você pode fazer upload de arquivos diretamente para seu bucket do Amazon S3 sem usar o aplicativo web AWS Transform. Para disponibilizar os arquivos enviados aos agentes de transformação, carregue-os User Uploads na pasta do trabalho. O caminho do diretório para essa pasta usa o seguinte formato:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Substitua os valores a seguir:

Cada trabalho no AWS Transform tem sua própria User Uploads pasta. Os arquivos que você carrega nesse caminho aparecem no aplicativo web e ficam disponíveis para os agentes de transformação enquanto eles concluem o trabalho.

Os caminhos dos arquivos não devem conter .. nem espaços à esquerda ou à direita — os arquivos que violam essas restrições não são visíveis para os agentes. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matriz de compatibilidade

A tabela a seguir resume a compatibilidade do AWS Transform com os recursos comuns do bucket do Amazon S3.