Transferir do S3 pelo CloudFront

As transferências do Amazon S3 podem usar uma distribuição do Amazon CloudFront como um caminho de saída.

As transferências de dados pelo CloudFront podem se beneficiar de custos mais baixos de saída da AWS em comparação à transferência direta do S3. Consulte Preços do CloudFront e Confira mais detalhes nas cobranças de saída do S3.

Usar o CloudFront como o caminho de saída não expõe os objetos do S3 ao públicas. Consulte O uso do CloudFront expõe meus objetos ao público?

Visão geral

Para transferir dados do S3 pelo CloudFront, siga estas etapas:

• Configurar as permissões de IAM
• Configurar o acesso ao bucket do S3
• Criar uma distribuição do CloudFront para seu bucket do S3
• Criar um job de transferência

Configurar as permissões de IAM

Siga as instruções na página Permissões de transferência sem agente para conceder as permissões necessárias do Google Cloud.

Configurar o acesso ao bucket do S3

Siga as instruções na página Configurar o acesso a uma fonte: Amazon S3 para configurar o acesso aos dados no Amazon S3.

Criar uma distribuição do CloudFront para seu bucket do S3

1. Na sua conta da AWS, acesse o CloudFront.
2. Clique em Create a CloudFront distribution.
3. Em Origin domain, selecione o bucket do S3.
4. O campo Origin path precisa ser deixado em branco.
5. Aceite o Origin name preenchido automaticamente ou especifique seu próprio valor.
6. Na seção Origin access, selecione Public. Isso não torna seu bucket público. Em vez disso, ele indica ao CloudFront que nenhum mecanismo de acesso deve ser configurado.
7. Na seção Cache key and origin requests:
   1. Em Cache policy, selecione CacheDisabled. Isso impede que o CloudFront armazene as solicitações em cache e as exiba para visualizadores não autenticados.
   2. Em Origin request policy, selecione AllViewerExceptHostHeader. Com isso, o CloudFront pode encaminhar cabeçalhos de autenticação ao S3 para que o Serviço de transferência do Cloud Storage possa acessar seu bucket com suas credenciais seguras.
8. Na seção Web Application Firewall (WAF), selecione Não ativar.
9. Se quiser, escolha uma Classe de preço. O Serviço de transferência do Cloud Storage seleciona pools de workers com base na região do bucket de origem. Dessa forma, os preços do CloudFront são cobrados nessa região. Para conseguir o menor preço, verifique se o bucket de origem está nos EUA ou na Europa ou selecione Use only North America and Europe como a Price class no CloudFront.

10. Clique em Create CloudFront distribution.

    Após a criação da página de detalhes de distribuição do CloudFront, ela será exibida.

11. Anote o Nome de domínio de distribuição. Por exemplo, https://dy1h2n3l4ob56.cloudfront.net. Se a página de detalhes não incluir o protocolo https:// na frente do nome de domínio de distribuição, será necessário adicioná-lo por conta própria ao criar o job de transferência.

Criar um job de transferência

A transferência usando uma distribuição do CloudFront é compatível com o console do Google Cloud e a API REST.

"transferSpec": {
  "awsS3DataSource": {
    "bucketName": "AWS_SOURCE_NAME",
    "cloudfrontDomain": "https://dy1h2n3l4ob56.cloudfront.net",
    "awsAccessKey": {
      "accessKeyId": "AWS_ACCESS_KEY_ID",
      "secretAccessKey": "AWS_SECRET_ACCESS_KEY"
    }
  },
  ...
}

Perguntas frequentes

O uso do CloudFront expõe meus objetos ao público?

Não. Se você seguiu as etapas de configuração desta página, seus objetos serão não expostos ao público.

• O Cloudfront não tem acesso direto aos seus objetos do S3.
• Os usuários receberão um erro permission denied se tentarem acessar seus objetos. seja diretamente ou pelo CloudFront (se o bucket for privado).
• O Serviço de transferência do Cloud Storage assina solicitações para o CloudFront usando as credenciais fornecido no job de transferência, que nos permite fazer o download de seus objetos segura como se estivéssemos baixando diretamente do S3. Isso funciona porque configuração de encaminhamento de cabeçalho AllViewerExceptHostHeader.