Transferencia desde S3 a través de CloudFront

Las transferencias de Amazon S3 pueden usar una distribución de Amazon CloudFront como ruta de salida.

Las transferencias de datos a través de CloudFront pueden beneficiarse de los costos de salida de AWS más bajos en comparación con la transferencia directa desde S3. Consulta los precios de CloudFront y los cargos de salida de S3 para obtener más detalles.

Usar CloudFront como ruta de salida no expone los objetos de S3 al público. Consulta ¿El uso de CloudFront expone mis objetos al público?

Descripción general

Para transferir datos de S3 a través de CloudFront, debes seguir estos pasos:

Configura los permisos de IAM

Sigue las instrucciones en Permisos de transferencia sin agente para otorgar los permisos necesarios de Google Cloud.

Configura el acceso a tu bucket de S3

Sigue las instrucciones en Configura el acceso a una fuente: Amazon S3 para configurar el acceso a tus datos en Amazon S3.

Crea una distribución de CloudFront para tu bucket de S3

  1. En tu cuenta de AWS, ve a CloudFront.
  2. Haz clic en Crear una distribución de CloudFront.
  3. En Dominio de origen, selecciona tu bucket de S3.
  4. La ruta de origen debe dejarse vacía.
  5. Acepta el campo Origin name que se completó automáticamente o especifica tu propio valor.
  6. En la sección Acceso de origen, selecciona Público. Esta acción no hace que tu bucket sea público; en su lugar, le indica a CloudFront que no se debe configurar ningún mecanismo de acceso.
  7. En la sección Clave de caché y solicitudes de origen, haz lo siguiente:
    1. En Política de caché, selecciona CachingDisabled. Esto evita que CloudFront almacene las solicitudes en caché y las entregue a visualizadores no autenticados.
    2. En Política de solicitud de origen, selecciona AllViewerExceptHostHeader. Esto permite que CloudFront reenvíe los encabezados de autenticación a S3, para que el Servicio de transferencia de almacenamiento pueda acceder al bucket con tus credenciales seguras.
  8. En la sección Firewall de aplicación web (WAF), selecciona No habilitar.
  9. De manera opcional, elige una Clase de precio. El Servicio de transferencia de almacenamiento selecciona grupos de trabajadores según la región del bucket de origen, por lo que se cobran los precios de CloudFront en esa región. Para obtener el precio más bajo, asegúrate de que tu bucket de origen esté en EE.UU. o Europa, o selecciona Usar solo Norteamérica y Europa como Tipo de precio en CloudFront.

  10. Haz clic en Crear distribución de CloudFront.

    Una vez que se cree correctamente, se mostrará la página de detalles de la distribución de CloudFront.

  11. Anota el nombre de dominio de la distribución. Por ejemplo: https://dy1h2n3l4ob56.cloudfront.net Si la página de detalles no incluye el protocolo https:// frente al nombre de dominio de distribución, tendrás que agregarlo tú mismo cuando crees el trabajo de transferencia.

Crear un trabajo de transferencia

La transferencia a través de una distribución de CloudFront es compatible con la consola de Google Cloud y la API de REST.

No incluyas información sensible, como información de identificación personal (PII) o datos de seguridad, en el nombre de tu trabajo de transferencia. Los nombres de recursos pueden propagarse a los nombres de otros recursos de Google Cloud y pueden exponerse a sistemas internos de Google fuera del proyecto.

Consola de Google Cloud

Si deseas crear una transferencia con la consola de Google Cloud, sigue las instrucciones para crear una transferencia.

Cuando se te solicite ingresar el dominio de CloudFront, ingresa el nombre del dominio de distribución que anotaste en la sección anterior. También puedes encontrar este valor en la sección CloudFront de la consola de Amazon Web Services. Tiene el formato https://dy1h2n3l4ob56.cloudfront.net.

API de REST

Para crear una transferencia con la API de REST, sigue el ejemplo en la página Crea transferencias.

Especifica el nombre de dominio de distribución como el valor del campo transferSpec.awsS3DataSource.cloudfrontDomain:

"transferSpec": {
  "awsS3DataSource": {
    "bucketName": "AWS_SOURCE_NAME",
    "cloudfrontDomain": "https://dy1h2n3l4ob56.cloudfront.net",
    "awsAccessKey": {
      "accessKeyId": "AWS_ACCESS_KEY_ID",
      "secretAccessKey": "AWS_SECRET_ACCESS_KEY"
    }
  },
  ...
}

Preguntas frecuentes

¿El uso de CloudFront expone mis objetos al público?

No. Si seguiste los pasos de configuración que se indican en esta página, tus objetos no se exponen al público.

  • CloudFront no tiene acceso directo a tus objetos S3.
  • Los usuarios reciben un error permission denied si intentan acceder a tus objetos directamente o a través de CloudFront (si tu bucket es privado).
  • El Servicio de transferencia de almacenamiento firma las solicitudes en CloudFront con las credenciales que proporcionaste en el trabajo de transferencia, lo que nos permite descargar tus objetos de forma segura como si estuviéramos descargando tus objetos directamente desde S3. Esto funciona debido a la configuración de reenvío de encabezados AllViewerExceptHostHeader.