使用您自己的亚马逊 S3 存储桶

默认情况下，Transf AWS orm 使用服务托管的 Amazon S3 存储桶来存储转换项目。您可以选择改用自己的 Amazon S3 存储桶，以便更好地控制数据存储、加密和访问策略。

先决条件

在配置自己的 Amazon S3 存储桶之前，请确保满足以下要求：

支持的加密配置

您的存储桶必须使用以下加密配置之一：

不支持以下语句：

配置您的亚马逊 S3 存储桶

您可以通过 AWS AWS 转换控制台将 Transform 配置为使用自己的 Amazon S3 存储桶。

保存配置后，T AWS ransform 会使用您的存储桶来存储转换工件。

必需的存储桶策略

您必须配置存储桶策略才能授予 Trans AWS form 访问权限。将以下存储桶策略添加到您的 Amazon S3 存储桶，以允许 Trans AWS form 服务主体读取、写入、删除和列出转换项目。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

替换以下值：

必需的 CORS 配置

如果您使用 Trans AWS form Web 应用程序，则必须在 Amazon S3 存储桶上配置 Cross-Origin 资源共享 (CORS)。启用 “ AWS 转换” 后，即可找到 Web 应用程序域。有关更多信息，请参阅 开始使用 AWS 转换。

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

替换以下值：

KMS 密钥策略（可选）

此部分仅适用于使用客户管理的 KMS 密钥对存储桶进行加密的情况。如果您的存储桶使用了 SSE-S3，请跳过此部分。

如果您为存储桶加密指定自己的 AWS KMS 密钥，请将以下语句添加到您的密钥策略中。 AWS Transform 依靠转发访问会话 (FAS) 为其服务主体创建授权。这些授权用于验证您的密钥并访问您的 Amazon S3 存储桶中的项目。

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

替换以下值：

切换回默认存储桶

您可以随时切换回服务管理存储桶。

将文件直接上传到您的存储桶

您可以直接将文件上传到您的 Amazon S3 存储桶，而无需使用 Trans AWS form Web 应用程序。要使上传的文件可供转换代理使用，请将其上传到作业User Uploads的文件夹。此文件夹的目录路径使用以下格式：

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

替换以下值：

Trans AWS form 中的每个作业都有自己的User Uploads文件夹。您上传到此路径的文件将显示在 Web 应用程序中，并在转换代理完成任务时可供他们使用。

文件路径不得包含..//、、前导或尾随空格 — 代理看不到违反这些限制的文件。

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

兼容性矩阵

下表汇总了 Trans AWS form 与常见 Amazon S3 存储桶功能的兼容性。