Transferir do S3 pelo CloudFront

As transferências do Amazon S3 podem usar uma distribuição do Amazon CloudFront como um caminho de saída.

As transferências de dados pelo CloudFront podem se beneficiar de custos de saída da AWS mais baixos em comparação com a transferência direta do S3. Consulte os detalhes em Preços do CloudFront e Custos de saída do S3.

O uso do CloudFront como caminho de saída não expõe seus objetos do S3 ao público. Consulte O uso do CloudFront expõe meus objetos ao público?

Visão geral

Para transferir dados do S3 pelo CloudFront, siga estas etapas:

• Configurar as permissões de IAM
• Configurar o acesso ao bucket do S3
• Criar uma distribuição do CloudFront para seu bucket do S3
• Criar um job de transferência

configure as permissões do IAM

Siga as instruções em Permissões de transferência sem agente para conceder as permissões Google Cloud necessárias.

Configurar o acesso ao bucket do S3

Siga as instruções na página Configurar o acesso a uma fonte: Amazon S3 para configurar o acesso aos dados no Amazon S3.

Criar uma distribuição do CloudFront para seu bucket do S3

1. Na sua conta da AWS, acesse o CloudFront.
2. Clique em Create a CloudFront distribution.
3. Em Origin domain, selecione o bucket do S3.
4. O campo Origin path precisa ser deixado em branco.
5. Aceite o Origin name preenchido automaticamente ou especifique seu próprio valor.
6. Na seção Origin access, selecione Public. Isso não torna seu bucket público. Em vez disso, ele indica ao CloudFront que nenhum mecanismo de acesso deve ser configurado.
7. Na seção Cache key and origin requests:
   1. Em Cache policy, selecione CacheDisabled. Isso impede que o CloudFront armazene as solicitações em cache e as exiba para visualizadores não autenticados.
   2. Em Origin request policy, selecione AllViewerExceptHostHeader. Com isso, o CloudFront pode encaminhar cabeçalhos de autenticação ao S3 para que o Serviço de transferência do Cloud Storage possa acessar seu bucket com suas credenciais seguras.
8. Na seção Web Application Firewall (WAF), selecione Não ativar.
9. Se quiser, escolha uma Classe de preço. O Serviço de transferência do Cloud Storage seleciona pools de workers com base na região do bucket de origem. Dessa forma, os preços do CloudFront são cobrados nessa região. Para conseguir o menor preço, verifique se o bucket de origem está nos EUA ou na Europa ou selecione Use only North America and Europe como a Price class no CloudFront.

10. Clique em Create CloudFront distribution.

    Após a criação da página de detalhes de distribuição do CloudFront, ela será exibida.

11. Anote o Nome de domínio de distribuição. Por exemplo, https://dy1h2n3l4ob56.cloudfront.net. Se a página de detalhes não incluir o protocolo https:// na frente do nome de domínio de distribuição, será necessário adicioná-lo por conta própria ao criar o job de transferência.

Criar um job de transferência

A transferência usando uma distribuição do CloudFront é compatível com o console do Google Cloud e a API REST.

"transferSpec": {
  "awsS3DataSource": {
    "bucketName": "AWS_SOURCE_NAME",
    "cloudfrontDomain": "https://dy1h2n3l4ob56.cloudfront.net",
    "awsAccessKey": {
      "accessKeyId": "AWS_ACCESS_KEY_ID",
      "secretAccessKey": "AWS_SECRET_ACCESS_KEY"
    }
  },
  ...
}

Perguntas frequentes

O uso do CloudFront expõe meus objetos ao público?

Não. Se você seguiu as etapas de configuração desta página, seus objetos não estão expostos ao público.

• O CloudFront não tem acesso direto aos seus objetos do S3.
• Os usuários receberão um erro permission denied se tentarem acessar seus objetos diretamente ou pelo CloudFront (se o bucket for privado).
• O Serviço de transferência do Cloud Storage assina solicitações para o CloudFront usando as credenciais que você forneceu no job de transferência. Isso nos permite fazer o download dos seus objetos com segurança, como se estivéssemos fazendo o download diretamente do S3. Isso funciona devido à configuração de encaminhamento de cabeçalho AllViewerExceptHostHeader.