aws-s3

AWS S3

Skill para gestión de Amazon S3: buckets, objetos, cifrado, versionado, lifecycle policies, presigned URLs, replicación, CloudFront como CDN origin y mejores prácticas de seguridad y costos.

Principios fundamentales

• Buckets privados por defecto. BlockPublicAccess.BLOCK_ALL siempre habilitado.
• Cifrado en reposo obligatorio: SSE-S3 mínimo, SSE-KMS para compliance.
• Versionado habilitado en buckets con datos importantes.
• Lifecycle policies para mover datos a clases de almacenamiento más baratas y expirar objetos temporales.
• Nunca almacenar secretos, credenciales o PII sin cifrado adicional.

Configuración segura de bucket (CDK)

const bucket = new s3.Bucket(this, 'DataBucket', {
  encryption: s3.BucketEncryption.S3_MANAGED,
  blockPublicAccess: s3.BlockPublicAccess.BLOCK_ALL,
  versioned: true,
  enforceSSL: true,
  removalPolicy: cdk.RemovalPolicy.RETAIN,
  objectOwnership: s3.ObjectOwnership.BUCKET_OWNER_ENFORCED,
  lifecycleRules: [{
    id: 'transition-to-ia',
    transitions: [{
      storageClass: s3.StorageClass.INFREQUENT_ACCESS,
      transitionAfter: cdk.Duration.days(90),
    }, {
      storageClass: s3.StorageClass.GLACIER,
      transitionAfter: cdk.Duration.days(365),
    }],
    expiration: cdk.Duration.days(730),
  }],
});

Presigned URLs para acceso temporal

import { S3Client, GetObjectCommand, PutObjectCommand } from '@aws-sdk/client-s3';
import { getSignedUrl } from '@aws-sdk/s3-request-presigner';

const s3 = new S3Client({});

// URL de descarga (15 minutos)
const downloadUrl = await getSignedUrl(s3, new GetObjectCommand({
  Bucket: process.env.BUCKET_NAME,
  Key: `uploads/${userId}/${fileId}`,
}), { expiresIn: 900 });

// URL de subida (5 minutos, máximo 10MB)
const uploadUrl = await getSignedUrl(s3, new PutObjectCommand({
  Bucket: process.env.BUCKET_NAME,
  Key: `uploads/${userId}/${fileId}`,
  ContentType: 'application/pdf',
}), { expiresIn: 300 });

Clases de almacenamiento