Transferencia desde S3 a través de CloudFront

Las transferencias desde Amazon S3 pueden usar una distribución de Amazon CloudFront como ruta de salida.

Las transferencias de datos a través de CloudFront pueden beneficiarse de costos de salida de AWS más bajos en comparación con la transferencia directa desde S3. Consulta los precios de CloudFront y los cargos de salida de S3 para obtener más detalles.

Usar CloudFront como ruta de salida no expone tus objetos de S3 al público. Consulta ¿El uso de CloudFront expone mis objetos al público?

Descripción general

Para transferir datos de S3 a través de CloudFront, debes seguir estos pasos:

Configura los permisos de IAM

Sigue las instrucciones en Permisos de transferencia sin agente para otorgar los permisos de Google Cloud necesarios.

Configura el acceso a tu bucket de S3

Sigue las instrucciones en Configura el acceso a una fuente: Amazon S3 para configurar el acceso a tus datos en Amazon S3.

Crea una distribución de CloudFront para tu bucket de S3

  1. En tu cuenta de AWS, ve a CloudFront.
  2. Haz clic en Crear una distribución de CloudFront.
  3. En Dominio de origen, selecciona tu bucket de S3.
  4. El campo Origin path debe quedar vacío.
  5. Acepta el Nombre de origen autocompletado o especifica tu propio valor.
  6. En la sección Acceso de origen, selecciona Público. Esto no hace que tu bucket sea público, sino que le indica a CloudFront que no se debe configurar ningún mecanismo de acceso.
  7. En la sección Solicitudes de clave de caché y origen, haz lo siguiente:
    1. En Política de caché, selecciona CachingDisabled. Esto evita que CloudFront almacene en caché las solicitudes y las entregue a los usuarios no autenticados.
    2. En Política de solicitud de origen, selecciona AllViewerExceptHostHeader. Esto permite que CloudFront reenvíe los encabezados de autenticación a S3, de modo que el Servicio de transferencia de almacenamiento pueda acceder a tu bucket con tus credenciales seguras.
  8. En la sección Firewall de aplicación web (WAF), selecciona No habilitar.
  9. De manera opcional, elige una clase de precio. El Servicio de transferencia de almacenamiento selecciona grupos de trabajadores según la región del bucket de origen, por lo que los precios de CloudFront se aplican en esa región. Para obtener los precios más bajos, asegúrate de que tu bucket de origen esté en EE.UU. o Europa, o bien selecciona Usar solo América del Norte y Europa como la Clase de precio en CloudFront.

  10. Haz clic en Crear distribución de CloudFront.

    Una vez que se crea correctamente, se muestra la página de detalles de la distribución de CloudFront.

  11. Anota el nombre de dominio de distribución. Por ejemplo: https://dy1h2n3l4ob56.cloudfront.net Si la página de detalles no incluye el protocolo https:// delante del nombre del dominio de distribución, deberás agregarlo tú mismo cuando crees el trabajo de transferencia.

Crear un trabajo de transferencia

La transferencia a través de una distribución de CloudFront se admite en la consola de Google Cloud y en la API de REST.

No incluyas información sensible, como información de identificación personal (PII) ni datos de seguridad en el nombre de tu trabajo de transferencia. Los nombres de los recursos se pueden propagar a los nombres de otros recursos de Google Cloud y pueden exponerse a los sistemas internos de Google fuera de tu proyecto.

Consola de Google Cloud

Para crear una transferencia con la consola de Google Cloud , sigue las instrucciones para crear una transferencia.

Cuando se te solicite que ingreses el dominio de CloudFront, ingresa el nombre de dominio de distribución que anotaste en la sección anterior. También puedes encontrar este valor en la sección de CloudFront de la consola de Amazon Web Services. Tiene el formato https://dy1h2n3l4ob56.cloudfront.net.

API de REST

Para crear una transferencia con la API de REST, sigue el ejemplo de la página Crea transferencias.

Especifica el nombre de dominio de distribución como el valor del campo transferSpec.awsS3DataSource.cloudfrontDomain:

"transferSpec": {
  "awsS3DataSource": {
    "bucketName": "AWS_SOURCE_NAME",
    "cloudfrontDomain": "https://dy1h2n3l4ob56.cloudfront.net",
    "awsAccessKey": {
      "accessKeyId": "AWS_ACCESS_KEY_ID",
      "secretAccessKey": "AWS_SECRET_ACCESS_KEY"
    }
  },
  ...
}

Preguntas frecuentes

¿El uso de CloudFront expone mis objetos al público?

No. Si seguiste los pasos de configuración de esta página, tus objetos no se expondrán al público.

  • CloudFront no tiene acceso directo a tus objetos de S3.
  • Los usuarios reciben un error permission denied si intentan acceder a tus objetos directamente o a través de CloudFront (si tu bucket es privado).
  • El Servicio de transferencia de almacenamiento firma las solicitudes a CloudFront con las credenciales que proporcionaste en el trabajo de transferencia, lo que nos permite descargar tus objetos de forma segura como si los descargáramos directamente desde S3. Esto funciona debido al parámetro de configuración de reenvío de encabezado AllViewerExceptHostHeader.