Cómo transferir desde S3 a través de CloudFront

Las transferencias de Amazon S3 pueden usar una distribución de Amazon CloudFront como ruta de salida.

Las transferencias de datos a través de CloudFront pueden beneficiarse de costos de salida de AWS más bajos en comparación con las transferencias directas desde S3. Consulta los precios de CloudFront y los cargos de salida de S3 para obtener más detalles.

El uso de CloudFront como ruta de salida no expone tus objetos de S3 al público. Consulta ¿El uso de CloudFront expone mis objetos al público?

Descripción general

Para transferir datos de S3 a través de CloudFront, debes seguir estos pasos:

Configura los permisos de IAM

Sigue las instrucciones en Permisos de transferencia sin agentes para otorgar los permisos de Google Cloud necesarios.

Configura el acceso a tu bucket de S3

Sigue las instrucciones en Configura el acceso a una fuente: Amazon S3 para configurar el acceso a tus datos en Amazon S3.

Crea una distribución de CloudFront para tu bucket de S3

  1. En tu cuenta de AWS, ve a CloudFront.
  2. Haz clic en Crear una distribución de CloudFront.
  3. En Dominio de origen, selecciona tu bucket de S3.
  4. La ruta de acceso de origen debe estar vacía.
  5. Acepta el Nombre de origen completado automáticamente o especifica tu propio valor.
  6. En la sección Acceso al origen, selecciona Público. Esto no hace que tu bucket sea público, sino que le indica a CloudFront que no se debe configurar ningún mecanismo de acceso.
  7. En la sección Clave de caché y solicitudes de origen, haz lo siguiente:
    1. En Política de almacenamiento en caché, selecciona CachingDisabled. Esto evita que CloudFront almacene en caché las solicitudes y las entregue a usuarios no autenticados.
    2. En Política de solicitudes de origen, selecciona AllViewerExceptHostHeader. Esto permite que CloudFront reenvíe encabezados de autenticación a S3, de modo que el Servicio de transferencia de almacenamiento pueda acceder a tu bucket con tus credenciales seguras.
  8. En la sección Firewall de aplicación web (WAF), selecciona No habilitar.
  9. De manera opcional, elige una clase de precio. El Servicio de transferencia de almacenamiento selecciona grupos de trabajadores según la región del bucket de origen, por lo que los precios de CloudFront se incurren en esa región. Para obtener el precio más bajo, asegúrate de que tu bucket de origen esté en EE.UU. o Europa, o bien selecciona Usar solo Norteamérica y Europa como Clase de precio en CloudFront.

  10. Haz clic en Crear distribución de CloudFront.

    Una vez que se cree correctamente, se mostrará la página de detalles de la distribución de CloudFront.

  11. Anota el nombre de dominio de distribución. Por ejemplo: https://dy1h2n3l4ob56.cloudfront.net Si la página de detalles no incluye el protocolo https:// antes del nombre de dominio de distribución, deberás agregarlo cuando crees el trabajo de transferencia.

Crear un trabajo de transferencia

La transferencia a través de una distribución de CloudFront es compatible con la consola de Google Cloud y la API de REST.

No incluyas información sensible, como información de identificación personal (PII) ni datos de seguridad en el nombre de la tarea de transferencia. Los nombres de los recursos se pueden propagar a los nombres de otros recursos de Google Cloud y pueden exponerse a sistemas internos de Google fuera de tu proyecto.

Consola de Google Cloud

Para crear una transferencia con la consola de Google Cloud, sigue las instrucciones para crear una transferencia.

Cuando se te solicite ingresar el dominio de CloudFront, ingresa el nombre de dominio de distribución que anotaste en la sección anterior. También puedes encontrar este valor en la sección CloudFront de la consola de Amazon Web Services. Tiene el formato https://dy1h2n3l4ob56.cloudfront.net.

API de REST

Para crear una transferencia con la API de REST, sigue el ejemplo de la página Crear transferencias.

Especifica el nombre de dominio de distribución como el valor del campo transferSpec.awsS3DataSource.cloudfrontDomain:

"transferSpec": {
  "awsS3DataSource": {
    "bucketName": "AWS_SOURCE_NAME",
    "cloudfrontDomain": "https://dy1h2n3l4ob56.cloudfront.net",
    "awsAccessKey": {
      "accessKeyId": "AWS_ACCESS_KEY_ID",
      "secretAccessKey": "AWS_SECRET_ACCESS_KEY"
    }
  },
  ...
}

Preguntas frecuentes

¿El uso de CloudFront expone mis objetos al público?

No. Si seguiste los pasos de configuración que se indican en esta página, tus objetos no están expuestos al público.

  • Cloudfront no tiene acceso directo a tus objetos de S3.
  • Los usuarios reciben un error permission denied si intentan acceder a tus objetos directamente o a través de CloudFront (si tu bucket es privado).
  • El Servicio de transferencia de almacenamiento firma las solicitudes a CloudFront con las credenciales que proporcionaste en el trabajo de transferencia, lo que nos permite descargar tus objetos de forma segura, como si los descargaramos directamente desde S3. Esto funciona debido a la configuración de reenvío de encabezado AllViewerExceptHostHeader.