Usando seu próprio bucket Amazon S3

Por padrão, o AWS Transform usa um bucket Amazon S3 gerenciado por serviços para armazenar artefatos de transformação. Em vez disso, você pode optar por usar seu próprio bucket do Amazon S3 para ter maior controle sobre armazenamento de dados, criptografia e políticas de acesso.

Pré-requisitos

Antes de configurar seu próprio bucket do Amazon S3, certifique-se de que os seguintes requisitos sejam atendidos:

Configurações de criptografia suportadas

Seu bucket deve usar uma das seguintes configurações de criptografia:

Não há suporte para o seguinte:

Configurando seu bucket Amazon S3

Você pode configurar o AWS Transform para usar seu próprio bucket do Amazon S3 a partir do console do AWS Transform.

Depois de salvar a configuração, o AWS Transform usa seu bucket para armazenar artefatos de transformação.

Política de bucket necessária

Você deve configurar a política do bucket para conceder acesso ao AWS Transform. Adicione a seguinte política de bucket ao seu bucket do Amazon S3 para permitir que o responsável pelo serviço AWS Transform leia, grave, exclua e liste artefatos de transformação.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Substitua os valores a seguir:

Configuração CORS necessária

Se você usa o aplicativo web AWS Transform, deve configurar o compartilhamento de Cross-Origin recursos (CORS) no seu bucket do Amazon S3. Você pode encontrar o domínio do aplicativo web depois de ativar o AWS Transform. Para obter mais informações, consulte Conceitos básicos de AWS Transformação.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Substitua os valores a seguir:

Política de chaves do KMS (opcional)

Esta seção se aplica somente quando seu bucket é criptografado com uma chave KMS gerenciada pelo cliente. Se o seu bucket usa SSE-S3, pule esta seção.

Se você especificar sua própria chave AWS KMS para criptografia de bucket, adicione a seguinte declaração à sua política de chaves. AWS A Transform conta com o Forward Access Sessions (FAS) para criar subsídios para seu diretor de serviço. Essas concessões são usadas para validar sua chave e acessar artefatos em seu bucket do Amazon S3.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Substitua os valores a seguir:

Voltando ao bucket padrão

Você pode voltar para o bucket gerenciado por serviços a qualquer momento.

Fazer upload de arquivos diretamente para o seu bucket

Você pode fazer upload de arquivos diretamente para seu bucket do Amazon S3 sem usar o aplicativo web AWS Transform. Para disponibilizar os arquivos enviados aos agentes de transformação, carregue-os User Uploads na pasta do trabalho. O caminho do diretório para essa pasta usa o seguinte formato:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Substitua os valores a seguir:

Cada trabalho no AWS Transform tem sua própria User Uploads pasta. Os arquivos que você carrega para esse caminho aparecem no aplicativo web e estão disponíveis para os agentes de transformação enquanto eles concluem o trabalho.

Os caminhos dos arquivos não devem conter .. espaços à esquerda ou à direita — os arquivos que violam essas restrições não são visíveis para os agentes. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matriz de compatibilidade

A tabela a seguir resume a compatibilidade do AWS Transform com recursos comuns de bucket do Amazon S3.