使用您自己的 Amazon S3 儲存貯體

根據預設， AWS Transform 會使用服務管理的 Amazon S3 儲存貯體來存放轉換成品。您可以選擇使用自己的 Amazon S3 儲存貯體，以更好地控制資料儲存、加密和存取政策。

先決條件

在您設定自己的 Amazon S3 儲存貯體之前，請確定符合下列要求：

支援的加密組態

您的儲存貯體必須使用下列其中一個加密組態：

不支援下列項目：

設定 Amazon S3 儲存貯體

您可以從 AWS 轉換主控台將 AWS 轉換設定為使用您自己的 Amazon S3 儲存貯體。

儲存組態之後， AWS Transform 會使用儲存貯體來存放轉換成品。

必要的儲存貯體政策

您必須設定儲存貯體政策以授予 AWS 轉換存取權。將下列儲存貯體政策新增至 Amazon S3 儲存貯體，以允許 AWS 轉換服務主體讀取、寫入、刪除和列出轉換成品。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

取代以下的值：

必要的 CORS 組態

如果您使用 AWS 轉換 Web 應用程式，則必須在 Amazon S3 儲存貯體上設定跨來源資源共用 (CORS)。您可以在啟用 AWS 轉換後找到 Web 應用程式網域。如需詳細資訊，請參閱AWS 轉換入門。

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

取代以下的值：

KMS 金鑰政策 （選用）

本節僅適用於使用客戶受管 KMS 金鑰加密儲存貯體的情況。如果您的儲存貯體使用 SSE-S3，請略過本節。

如果您為儲存貯體加密指定自己的 AWS KMS 金鑰，請將下列陳述式新增至您的金鑰政策。 AWS Transform 依賴轉送存取工作階段 (FAS) 為其服務主體建立授予。這些授權用於驗證 Amazon S3 儲存貯體中的金鑰和存取成品。

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

取代以下的值：

切換回預設儲存貯體

您可以隨時切換回服務受管儲存貯體。

將檔案直接上傳至您的儲存貯體

您可以直接將檔案上傳至 Amazon S3 儲存貯體，而無需使用 AWS 轉換 Web 應用程式。若要讓轉換客服人員可以使用上傳的檔案，請將它們上傳到任務的 User Uploads 資料夾。此資料夾的目錄路徑使用下列格式：

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

取代以下的值：

AWS 轉換中的每個任務都有自己的User Uploads資料夾。您上傳至此路徑的檔案會顯示在 Web 應用程式中，並在轉換代理程式完成任務時可供他們使用。

檔案路徑不得包含 ..、 //或前置或結尾空格，客服人員看不到違反這些限制的檔案。

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

相容性矩陣

下表摘要說明 AWS Transform 與常見 Amazon S3 儲存貯體功能的相容性。