Amazon S3 — Simple Storage Service

Що таке S3 і чому він один із найважливіших сервісів AWS

Amazon S3 (Simple Storage Service) — це об'єктне сховище з необмеженою місткістю, доступністю 99.999999999% (дев'ять дев'яток!), і ціною від $0.023 за гігабайт на місяць. За цими сухими цифрами стоїть один із найвпливовіших хмарних сервісів в історії IT.

S3 запустили у 2006 році — і він докорінно змінив підхід до зберігання даних. До S3 компанії купували NAS (Network Attached Storage) або будували власні файлові сервери: дорого, складно масштабувати, єдина точка відмови. S3 запропонував: завантажуй скільки хочеш файлів — від одного байта до терабайтів — і плати лише за те, що використовуєш.

Сьогодні S3 використовується для:

• Зберігання зображень, відео, PDF та будь-яких файлів для веб-застосунків
• Хостингу статичних веб-сайтів та React/Vue/Angular SPA
• Сховища резервних копій баз даних та серверів
• Дистрибуції медіаконтенту (відео HLS/DASH потоки)
• Data Lake для аналітики (Athena, EMR, SageMaker читають з S3)
• Логів CloudTrail, ALB, CloudFront
• Артефактів CI/CD (збірки, Docker образи через ECR який теж базується на S3)
• Static website hosting для фронтенд SPA

Bucket, Object, Key — фундаментальні концепції

Bucket — контейнер для об'єктів

Bucket — це верхньорівневий контейнер для зберігання об'єктів в S3. Думайте про bucket як про «диск» або «кореневу директорію». Кожен bucket:

• Має унікальну глобальну назву — унікальну серед всіх AWS клієнтів у всьому світі. Якщо назва photos вже зайнята кимось — ви не зможете створити bucket з такою ж назвою.
• Прив'язаний до конкретного регіону (eu-central-1, us-east-1 тощо). Дані фізично зберігаються у цьому регіоні.
• Може містити необмежену кількість об'єктів, але один об'єкт не може перевищувати 5 TB.
• Назва bucket може містити лише малі літери, цифри та дефіси (my-bucket-2024), довжина 3–63 символи.

Правила іменування bucket: lowercase, лише a-z, 0-9, -. Не може починатись або закінчуватись на -. Не може містити _ або великі літери. Не може виглядати як IP-адреса.

Object — файл з метаданими

Object (об'єкт) — це файл плюс метадані про цей файл. Кожен об'єкт складається з:

• Data (Body): власне вміст файлу — від 0 байтів до 5 TB
• Key: унікальний ідентифікатор об'єкту у bucket (докладніше нижче)
• Metadata: набір пар ключ-значення з інформацією про об'єкт
  • System metadata: Content-Type, Content-Length, Last-Modified, ETag
  • User metadata: будь-які дані, наприклад x-amz-meta-author: Ivan
• Version ID: якщо включене версіонування — унікальний ID версії
• Storage Class: клас зберігання (Standard, IA, Glacier тощо)

Key — адреса об'єкту

Key — це рядок, що однозначно ідентифікує об'єкт у bucket. Key може виглядати як шлях з «директоріями»:

photos/2024/january/birthday.jpg
uploads/users/ivan/avatar.png
reports/monthly/2024-01-report.pdf

Насправді ніяких реальних директорій немає — є лише рядок з / символами. S3 Console та AWS CLI лише імітують директорії для зручності, фільтруючи об'єкти за префіксом. Але для програми photos/2024/january/birthday.jpg — це просто рядок-ключ.

Повна адреса об'єкту (URL):

https://my-bucket.s3.eu-central-1.amazonaws.com/photos/2024/january/birthday.jpg
або через path-style (застарілий):
https://s3.eu-central-1.amazonaws.com/my-bucket/photos/2024/january/birthday.jpg

@startuml
skinparam style plain
skinparam backgroundColor #ffffff

package "AWS S3" {
    package "Bucket: my-app-storage\n(eu-central-1)" as B #dbeafe {
        rectangle "Object: uploads/avatar.png\nSize: 234 KB | Class: Standard\nMetadata: Content-Type: image/png" as O1 #bbf7d0
        rectangle "Object: reports/jan-2024.pdf\nSize: 1.2 MB | Class: Standard-IA\nMetadata: Content-Type: application/pdf" as O2 #bbf7d0
        rectangle "Object: videos/intro.mp4\nSize: 450 MB | Class: Intelligent-Tiering" as O3 #fef3c7
    }
}

note bottom of B
  Bucket name глобально унікальний
  Регіон: eu-central-1
  Об'єктів: необмежено
end note
@enduml

S3 Storage Classes — класи зберігання

Storage Class — це рівень зберігання об'єкту, який визначає баланс між вартістю зберігання, вартістю отримання та часом доступу. AWS пропонує кілька класів, кожен оптимізований для різних патернів використання.

S3 Standard — для активних даних

Вартість: ~$0.023/GB/місяць (eu-central-1) Доступність: 99.99%, Durability: 99.999999999% (11 дев'яток) Затримка: мілісекунди Мінімум зберігання: немає

Зберігає дані у мінімум трьох Availability Zones. Ідеальний для даних, до яких часто звертаються: аватари, завантажені файли, артефакти CI/CD, логи.

Типові сценарії використання Standard:

• SaaS-платформа з документами: користувач щойно завантажив файл → фронтенд одразу відображає його. Він може відкривати документ кілька разів на день — потрібна найнижча затримка.
• E-commerce продуктові зображення: кожна сторінка товару завантажує 5–10 фото. Мільйони запитів на день — будь-яка затримка читання відразу відчутна у conversion rate.
• Артефакти CI/CD: Jenkins або GitHub Actions зберігають ZIP-архів після кожного pipeline. Повторний деплой через 2 хвилини потягне його знову — не може бути IA.
• Активні логи застосунку: CloudWatch або Datadog парсять логи в реальному часі — дані читаються одразу після запису.

Коли Standard — неправильний вибір:

Якщо об'єкт після завантаження лежить невитребуваним більше місяця — ви переплачуєте. Наприклад, щомісячний дамп бази на 50 GB займає Standard і ніколи не читається → $1.15/місяць замість $0.63 при Standard-IA.

S3 Standard-IA — для рідкісного доступу

IA = Infrequent AccessВартість: ~$0.0125/GB/місяць (зберігання дешевше), але є додаткова плата за кожне читання ($0.01/GB retrieved) Мінімум зберігання: 30 днів (якщо видалити раніше — все одно заплатите за 30 днів)

Для резервних копій, старих логів, даних що рідко переглядаються, але потрібні при потребі. Вигідний якщо дані зберігаються 30+ днів і читаються не частіше ніж раз на місяць.

Типові сценарії використання Standard-IA:

• Щотижневі дампи PostgreSQL: база на 20 GB дампується щонеділі, зберігається 3 місяці. Читається лише якщо трапляється інцидент — 1–2 рази на квартал. Ідеальний кандидат.
• Сезонні дані: рітейл-платформа, дані транзакцій за минулий рік. Потрібні для звіту раз на рік — але мають бути досяжними за мілісекунди, а не годинами.
• Disaster recovery копії: вторинна копія об'єктів, що вже є в Standard у іншому регіоні. Читається лише при збої основного сховища.
• Processed ML datasets: 500 GB датасет оброблено, модель натренована. Може знадобитись через 2 місяці для re-training.

Пастка Standard-IA — маленькі файли, що часто читаються:

S3 One Zone-IA — один AZ, ще дешевше

Вартість: ~$0.01/GB/місяць Зберігає лише в одному Availability Zone — якщо AZ вийде з ладу, дані недоступні (але не втрачаються). Для відтворюваних даних (ескізи зображень, тимчасові файли).

Типові сценарії використання One Zone-IA:

• Image thumbnails: у вас є 100 000 фото від користувачів у Standard, а thumbnail 200×200 генерується динамічно при першому запиті і кешується. Якщо AZ впаде — thumbnail просто перегенерується, нічого не втрачається.
• Build cache: артефакти .gradle, .npm, vendor/ після CI-пайплайну. Якщо щось зникне — наступний build просто завантажить заново.
• Staging environment assets: дані для staging, який і так відтворюється з нуля при потребі.

Коли One Zone-IA заборонений:

Якщо даних немає в іншому місці — ніколи не використовуйте One Zone-IA. Збій одного AZ (це рідкість, але трапляється) зробить дані недоступними. Для critical storage завжди вибирайте multi-AZ класи.

S3 Intelligent-Tiering — автоматичний вибір класу

Вартість: аналогічна Standard/Standard-IA + невелика плата за моніторинг (~$0.0025/1000 об'єктів)

AWS автоматично переміщує об'єкти між рівнями:

• Frequent Access tier: для активно використовуваних об'єктів
• Infrequent Access tier: якщо об'єкт не читався 30 днів
• Archive Instant Access: якщо не читався 90 днів
• Archive Access: якщо не читався 90–180 днів

Ідеальний якщо патерн доступу непередбачуваний. AWS сам оптимізує витрати.

Типові сценарії використання Intelligent-Tiering:

• Медіатека: відео-контент, де нові відео дивляться мільйони, а старі — рідко. Новий сезон серіалу потрапляє у Frequent Access, серіал 2018 року автоматично мігрує в Infrequent і далі в Archive Instant після 90 днів бездіяльності.
• User-generated content: платформа зберігання документів. Більшість документів читаються одразу після завантаження, потім лежать роками. IT-команда не хоче вручну налаштовувати Lifecycle для кожного bucket.
• Наукові датасети: великі CSV/Parquet файли. Одні активно використовуються для навчання моделей, інші — забуті. Непередбачувано.

Коли Intelligent-Tiering може бути зайвим:

Якщо у вас 10 000 маленьких файлів (< 128 KB кожен) — плата за моніторинг ($0.0025/1000 об'єктів) може перевищити економію на зберіганні. Для дрібних файлів з відомим патерном доступу — вручну призначте Standard-IA.

S3 Glacier — для архівів

S3 Glacier Instant Retrieval: ~$0.004/GB/місяць. Миттєвий доступ, але дорожче за читання. Для архівів, до яких звертаються раз на квартал.

S3 Glacier Flexible Retrieval: ~$0.0036/GB/місяць. Відновлення займає від 1 хвилини до 12 годин (залежно від режиму). Для довгострокових архівів, compliance.

S3 Glacier Deep Archive: ~$0.00099/GB/місяць — найдешевший клас. Відновлення займає 12–48 годин. Для даних що зберігаються роками і майже ніколи не читаються.

Режими відновлення Glacier Flexible (впливають на вартість та час):

Типові сценарії використання Glacier:

• Glacier Instant Retrieval: медичні знімки (DICOM), до яких можуть звернутись будь-якої миті, але в середньому — раз на рік. Лікар вводить номер пацієнта — знімок завантажується за мілісекунди.
• Glacier Flexible: фінансова звітність за 7 років (вимога законодавства). Відновлення потрібне лише при аудиті — раз на 2–3 роки, можна почекати 3–5 годин.
• Glacier Deep Archive: медичні карти, юридичні договори, відеозаписи з камер відеоспостереження за попередні роки. GDPR і HIPAA вимагають зберігати дані — витяги з них майже ніколи не потрібні.

Підводні камені Glacier:

Порівняльна таблиця Storage Classes

* One Zone-IA зберігає дані лише в одному AZ — при збої AZ дані стають тимчасово недоступними.

@startuml
skinparam style plain
skinparam backgroundColor #ffffff
title "S3 Storage Classes: ієрархія вартості та затримки доступу"

rectangle "АКТИВНІ ДАНІ\n(часто читаються)" as ACTIVE #d1fae5 {
    rectangle "S3 Standard\n$0.023/GB\nLatency: мілісекунди\nMin storage: немає" as STD #bbf7d0
}

rectangle "НЕЧАСТІ ДАНІ\n(рідко читаються)" as INFREQ #fef3c7 {
    rectangle "Standard-IA\n$0.0125/GB\n+$0.01/GB retrieved\nMin: 30 днів" as SIA #fef3c7
    rectangle "One Zone-IA\n$0.010/GB\n+$0.01/GB retrieved\nОдин AZ" as OZIA #fef3c7
}

rectangle "АВТОМАТИЧНА ОПТИМІЗАЦІЯ" as AUTO #dbeafe {
    rectangle "Intelligent-Tiering\n$0.023→$0.004/GB\nАвто між рівнями\n+$0.0025/1000 obj" as IT #dbeafe
}

rectangle "АРХІВ\n(майже не читаються)" as ARCH #fce7f3 {
    rectangle "Glacier Instant\n$0.004/GB\n+$0.03/GB\nMin: 90 днів" as GI #fce7f3
    rectangle "Glacier Flexible\n$0.0036/GB\n1хв–12год відновл.\nMin: 90 днів" as GF #fce7f3
    rectangle "Glacier Deep Archive\n$0.00099/GB\n12–48год відновл.\nMin: 180 днів" as GDA #fca5a5
}

STD -down-> SIA : Lifecycle:\n30+ днів без доступу
SIA -down-> GF : Lifecycle:\n90+ днів
GF -down-> GDA : Lifecycle:\n365+ днів

note bottom of GDA
  Найдешевший клас.
  Для compliance, юридичних
  архівів, медичних записів.
end note

@enduml

Як обрати Storage Class: практичні сценарії

Нижче — 4 реальних юзкейси з підрахунком вартості та відповіддю «що вибрати і чому».

Як встановити Storage Class

# Завантажити з конкретним класом
aws s3 cp backup.sql.gz s3://my-bucket/backups/ \
  --storage-class STANDARD_IA

# Доступні значення:
# STANDARD | REDUCED_REDUNDANCY | STANDARD_IA | ONEZONE_IA
# INTELLIGENT_TIERING | GLACIER | DEEP_ARCHIVE | GLACIER_IR

# Синхронізувати папку з класом
aws s3 sync ./logs/ s3://my-bucket/logs/ \
  --storage-class INTELLIGENT_TIERING

# Змінити клас уже збереженого об'єкта (copy-in-place)
aws s3 cp s3://my-bucket/old-backup.sql.gz \
          s3://my-bucket/old-backup.sql.gz \
  --storage-class GLACIER \
  --metadata-directive COPY

# Перевірити поточний клас
aws s3api head-object \
  --bucket my-bucket \
  --key old-backup.sql.gz \
  --query "StorageClass"

# Відновлення з Glacier Flexible (перед завантаженням обов'язково!)
aws s3api restore-object \
  --bucket my-bucket \
  --key old-backup.sql.gz \
  --restore-request '{
    "Days": 3,
    "GlacierJobParameters": {
      "Tier": "Standard"
    }
  }'

# Перевірити статус відновлення
aws s3api head-object \
  --bucket my-bucket \
  --key old-backup.sql.gz \
  --query "Restore"
# Виведе: "ongoing-request=\"false\", expiry-date=\"...\""

// Встановлення Storage Class при завантаженні через ASP.NET / AWSSDK
using Amazon.S3;
using Amazon.S3.Model;

var putRequest = new PutObjectRequest
{
    BucketName = "my-bucket",
    Key = $"backups/{DateTime.UtcNow:yyyy-MM-dd}/db.sql.gz",
    FilePath = localFilePath,
    // Обираємо клас залежно від типу об'єкта
    StorageClass = S3StorageClass.StandardInfrequentAccess
};

await s3Client.PutObjectAsync(putRequest);

// Зміна класу вже збереженого об'єкта
var copyRequest = new CopyObjectRequest
{
    SourceBucket = "my-bucket",
    SourceKey = "backups/old/db.sql.gz",
    DestinationBucket = "my-bucket",
    DestinationKey = "backups/old/db.sql.gz",   // той самий ключ
    StorageClass = S3StorageClass.Glacier,
    MetadataDirective = S3MetadataDirective.COPY
};

await s3Client.CopyObjectAsync(copyRequest);

{
    "Rules": [
        {
            "ID": "move-backups-to-ia-then-glacier",
            "Status": "Enabled",
            "Filter": {
                "Prefix": "backups/"
            },
            "Transitions": [
                {
                    "Days": 30,
                    "StorageClass": "STANDARD_IA"
                },
                {
                    "Days": 90,
                    "StorageClass": "GLACIER"
                },
                {
                    "Days": 365,
                    "StorageClass": "DEEP_ARCHIVE"
                }
            ],
            "Expiration": {
                "Days": 2555
            }
        }
    ]
}

S3 Versioning — збереження всіх версій об'єктів

S3 Versioning — це механізм захисту даних від випадкового видалення та перезапису. Коли версіонування увімкнено, Amazon S3 зберігає кожну версію кожного об'єкту у bucket, призначаючи кожній унікальний ідентифікатор — Version ID. При повторному завантаженні об'єкту з тим самим ключем попередня версія не перезаписується, а стає «некурентною» (noncurrent), і нова версія набуває статусу поточної.

Концепція Delete Marker. Видалення об'єкту при увімкненому версіонуванні не знищує дані фізично. Натомість S3 додає спеціальний Delete Marker — порожній маркерний об'єкт без тіла, що стає поточною «версією» з цим ключем. Будь-який GET-запит на цей ключ повертатиме HTTP 404, однак усі попередні версії залишаються фізично збереженими у bucket. Для відновлення достатньо видалити Delete Marker.

Стани Versioning:

• Suspended (за замовчуванням): версіонування вимкнене. Нові об'єкти зберігаються без Version ID (значення null). Якщо bucket раніше був версіонованим — старі версії залишаються.
• Enabled: кожен PUT-запит створює нову версію з унікальним Version ID. Після увімкнення — не можна повністю вимкнути. Можна лише перевести у Suspended (нові версії не створюються, старі зберігаються).

Навіщо потрібне версіонування:

• Захист від випадкового видалення: видалений об'єкт отримує Delete Marker — відновлення тривіальне
• Захист від перезапису: можна повернутись до будь-якої попередньої версії файлу
• Регуляторна відповідність (GDPR, SOC 2, ISO 27001, HIPAA): зберігати незмінювані версії документів
• Відкат деплою: якщо новий build фронтенду зламав сайт — повернути попередню версію за секунди

@startuml
skinparam style plain
skinparam backgroundColor #ffffff
title "S3 Versioning: структура версій при PUT та DELETE операціях"

package "Bucket: my-app-bucket (Versioning: Enabled)" as BKT {

    package "Key: uploads/avatar.png" as K1 {
        rectangle "VersionId: Abc1xZy3\n◀ CURRENT (IsLatest: true)\nSize: 89 KB | Uploaded: May 20" as V1 #bbf7d0
        rectangle "VersionId: mK8pQrT2\n(noncurrent)\nSize: 76 KB | Uploaded: May 15" as V2 #fef3c7
        rectangle "VersionId: nJ5wLvR9\n(noncurrent)\nSize: 81 KB | Uploaded: May 5" as V3 #e5e7eb
    }

    package "Key: config/app.json" as K2 {
        rectangle "DELETE MARKER\n◀ CURRENT (IsLatest: true)\n(нема тіла — GET → 404)" as DM #fca5a5
        rectangle "VersionId: zT6hMwK1\n(noncurrent — дані збережені!)\nSize: 12 KB" as V4 #fef3c7
    }
}

V1 -[hidden]down- V2
V2 -[hidden]down- V3
DM -[hidden]down- V4

note bottom of K2
  Відновлення config/app.json:
  1. aws s3api delete-object --version-id <DM_ID>
  2. Об'єкт знову доступний — дані не втрачались!
end note

note right of V3
  Lifecycle Policy:
  NoncurrentVersionExpiration.NoncurrentDays: 30
  → автоматично видалить noncurrent
  версії старші 30 днів
end note

@enduml

BUCKET="my-app-bucket"
REGION="eu-central-1"

# Увімкнути версіонування
aws s3api put-bucket-versioning \
    --bucket "$BUCKET" \
    --versioning-configuration Status=Enabled \
    --region "$REGION"

# Перевірити стан версіонування
aws s3api get-bucket-versioning \
    --bucket "$BUCKET" --region "$REGION"

# Переглянути всі версії об'єкту з відфільтрованим виводом
aws s3api list-object-versions \
    --bucket "$BUCKET" \
    --prefix "uploads/avatar.png" \
    --region "$REGION" \
    --query "{
        Versions: Versions[*].{Key:Key, VersionId:VersionId, IsLatest:IsLatest, Size:Size},
        DeleteMarkers: DeleteMarkers[*].{Key:Key, VersionId:VersionId, IsLatest:IsLatest}
    }"

# Завантажити конкретну версію
aws s3api get-object \
    --bucket "$BUCKET" \
    --key "uploads/avatar.png" \
    --version-id "mK8pQrT2abc123xyz" \
    downloaded-old-version.png \
    --region "$REGION"

# Відновити попередню версію (зробити її поточною через copy-object)
aws s3api copy-object \
    --bucket "$BUCKET" \
    --copy-source "$BUCKET/uploads/avatar.png?versionId=mK8pQrT2abc123xyz" \
    --key "uploads/avatar.png" \
    --region "$REGION"

# Знайти та видалити Delete Marker (відновити 'видалений' об'єкт)
DM_VERSION=$(aws s3api list-object-versions \
    --bucket "$BUCKET" \
    --prefix "config/app.json" \
    --region "$REGION" \
    --query "DeleteMarkers[?IsLatest==\`true\`].VersionId" \
    --output text)

echo "Delete Marker Version ID: $DM_VERSION"

aws s3api delete-object \
    --bucket "$BUCKET" \
    --key "config/app.json" \
    --version-id "$DM_VERSION" \
    --region "$REGION"

echo "Object restored successfully!"

S3 Lifecycle Policies — автоматичне управління об'єктами

Lifecycle Policy — це набір правил, що автоматично переміщують або видаляють об'єкти через певний час. Механізм є ключовим інструментом оптимізації витрат: AWS оцінює правила щоночі і виконує переходи для об'єктів, що відповідають умовам.

Кожне правило складається з трьох компонентів: фільтру (до яких об'єктів застосовується), переходів (коли і в який клас перемістити) та закінчення терміну (коли видалити).

Типові сценарії:

• Логи: Standard 30 днів → Standard-IA 90 днів → Glacier → видалення через 365 днів
• Резервні копії БД: Standard 7 днів → Glacier Flexible 30 днів → Deep Archive 365 днів → видалення через 7 років
• Старі версії при Versioning: зберігати поточну + 5 попередніх → видаляти noncurrent старші 30 днів
• Незавершені Multipart Uploads: AbortIncompleteMultipartUpload після 7 днів — прибирає «сміття»

@startuml
skinparam style plain
skinparam backgroundColor #ffffff
title "S3 Lifecycle: автоматична зміна Storage Class (правило для logs/)"

[*] --> Standard : PUT object
note on link
  День 0: файл завантажено
  до s3://bucket/logs/
end note

Standard --> StandardIA : Day 30
note on link
  Transition: STANDARD_IA
  Вартість знижується:
  $0.023 → $0.0125/GB
end note

StandardIA --> Glacier : Day 90
note on link
  Transition: GLACIER
  Вартість: $0.0036/GB
end note

Glacier --> Deleted : Day 365
note on link
  Expiration: Days 365
  Об'єкт видалено
end note

Deleted --> [*]

note "Noncurrent версії (при Versioning enabled):\nNoncurrentVersionExpiration:\n  NoncurrentDays: 30\n  NewerNoncurrentVersions: 5\n→ зберігати 5 версій, решту видалити" as N1

@enduml

Структура конфігурації Lifecycle Policy:

{
    "Rules": [
        {
            "ID": "LogsLifecycle",
            "Status": "Enabled",
            "Filter": { "Prefix": "logs/" },
            "Transitions": [
                { "Days": 30, "StorageClass": "STANDARD_IA" },
                { "Days": 90, "StorageClass": "GLACIER" }
            ],
            "Expiration": { "Days": 365 },
            "NoncurrentVersionExpiration": {
                "NoncurrentDays": 30,
                "NewerNoncurrentVersions": 5
            },
            "AbortIncompleteMultipartUpload": {
                "DaysAfterInitiation": 7
            }
        }
    ]
}

Документація полів правила:

BUCKET="my-app-bucket"
REGION="eu-central-1"

# Зберегти конфігурацію у файл
cat > /tmp/lifecycle.json << 'EOF'
{
    "Rules": [
        {
            "ID": "LogsLifecycle",
            "Status": "Enabled",
            "Filter": {"Prefix": "logs/"},
            "Transitions": [
                {"Days": 30, "StorageClass": "STANDARD_IA"},
                {"Days": 90, "StorageClass": "GLACIER"}
            ],
            "Expiration": {"Days": 365},
            "NoncurrentVersionExpiration": {
                "NoncurrentDays": 30,
                "NewerNoncurrentVersions": 5
            },
            "AbortIncompleteMultipartUpload": {
                "DaysAfterInitiation": 7
            }
        }
    ]
}
EOF

# Застосувати Lifecycle Policy
aws s3api put-bucket-lifecycle-configuration \
    --bucket "$BUCKET" \
    --lifecycle-configuration file:///tmp/lifecycle.json \
    --region "$REGION"

# Переглянути поточні правила
aws s3api get-bucket-lifecycle-configuration \
    --bucket "$BUCKET" \
    --region "$REGION"

# Видалити всі lifecycle правила
aws s3api delete-bucket-lifecycle \
    --bucket "$BUCKET" \
    --region "$REGION"

S3 Security — безпека та контроль доступу

Безпека Amazon S3 реалізована у вигляді багаторівневої моделі захисту. Кожен рівень є незалежним і може застосовуватись окремо або у комбінації з іншими. Помилки в налаштуванні S3 bucket стали причиною гучних витоків даних (Capital One, GoDaddy, NASA та інших організацій), тому розуміння всіх рівнів є критично необхідним.

@startuml
skinparam style plain
skinparam backgroundColor #ffffff
title "S3: багаторівнева модель захисту доступу"

actor "Зовнішній\nкористувач" as EXT #fca5a5
actor "IAM User/Role\n(внутрішній)" as IAM #bbf7d0

rectangle "AWS Account" as ACC {
    rectangle "Рівень 1: Block Public Access" as L1 #fce7f3 {
        note as N1
          BlockPublicPolicy=true
          RestrictPublicBuckets=true
          IgnorePublicAcls=true
          BlockPublicAcls=true
          ───────────────────────────
          Перевизначає ВСІ інші
          дозволи на публічний доступ
        end note
    }

    rectangle "Рівень 2: Bucket Policy (Resource-based)" as L2 #dbeafe {
        note as N2
          Principal: *, Role ARN, Account
          Action: s3:GetObject, s3:PutObject...
          Condition: IP, VPC, MFA, Tags
          ───────────────────────────
          Прикріплена до bucket.
          Може дозволяти крос-акаунтний доступ
        end note
    }

    rectangle "Рівень 3: IAM Policy (Identity-based)" as L3 #d1fae5 {
        note as N3
          Прикріплена до User/Role/Group.
          Оцінюється одночасно з Bucket Policy.
          Діє принцип LEAST PRIVILEGE:
          Allow потрібен в ОБОХ або в одному
          (якщо Principal — той самий акаунт)
        end note
    }

    rectangle "Рівень 4: Encryption at Rest" as L4 #fef3c7 {
        note as N4
          SSE-S3 (AES-256, ключ AWS)
          SSE-KMS (ваш ключ в KMS)
          SSE-C (ваш ключ per-request)
          ───────────────────────────
          Шифрує дані фізично на диску
        end note
    }

    rectangle "S3 Bucket" as BKT #e5e7eb
}

EXT -down-> L1 : HTTP/HTTPS запит
L1 -down-> L2 : (якщо не заблоковано)
L2 -down-> L3 : (якщо Policy дозволяє)
L3 -down-> L4 : (якщо IAM дозволяє)
L4 -down-> BKT : Розшифровані дані
IAM -down-> L2

@enduml

Block Public Access — перший захист

Block Public Access — це налаштування на рівні bucket та на рівні AWS-акаунту, яке перевизначає всі інші дозволи та гарантує, що bucket залишається приватним, навіть якщо існує Bucket Policy, що явно дозволяє публічний доступ. Цей механізм є першою і найважливішою лінією захисту.

Налаштування складається з чотирьох незалежних прапорців, кожен з яких контролює окремий аспект публічного доступу:

BUCKET="my-app-bucket"
REGION="eu-central-1"
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

# Заблокувати ВЕСЬ публічний доступ до конкретного bucket
aws s3api put-public-access-block \
    --bucket "$BUCKET" \
    --public-access-block-configuration \
        'BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true' \
    --region "$REGION"

# Перевірити поточні налаштування
aws s3api get-public-access-block \
    --bucket "$BUCKET" \
    --region "$REGION"

# Налаштувати Block Public Access на рівні всього акаунту
aws s3control put-public-access-block \
    --account-id "$ACCOUNT_ID" \
    --public-access-block-configuration \
        'BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true'

# Перевірити налаштування на рівні акаунту
aws s3control get-public-access-block \
    --account-id "$ACCOUNT_ID"

Bucket Policy — JSON-правила доступу

Bucket Policy — це ресурсно-орієнтована IAM-політика у форматі JSON, що прикріплюється безпосередньо до bucket і визначає, які Principal (користувачі, ролі, сервіси, акаунти) можуть виконувати які дії з bucket та його об'єктами. На відміну від IAM Policy (прикріпленої до ідентифікатора), Bucket Policy є атрибутом самого ресурсу і дозволяє надавати крос-акаунтний доступ без зміни IAM в інших акаунтах.

Оцінка доступу: S3 оцінює одночасно Bucket Policy і IAM Policy. Якщо хоча б одна з них містить явну заборону (Deny) — доступ заблокований. Для надання доступу principal всередині того самого акаунту достатньо дозволу в одній з двох (IAM або Bucket Policy). Для крос-акаунтного доступу потрібен Allow в обох.

Приклад 1: публічний доступ на читання для статичного вебсайту:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-website-bucket/*"
        }
    ]
}

Приклад 2: доступ лише для конкретної Lambda функції (IAM Role):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaReadWrite",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/MyLambdaRole"
            },
            "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
            "Resource": "arn:aws:s3:::my-app-bucket/uploads/*"
        }
    ]
}

Приклад 3: доступ лише з певного VPC (ізоляція private API):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOutsideVPC",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": ["arn:aws:s3:::private-bucket", "arn:aws:s3:::private-bucket/*"],
            "Condition": {
                "StringNotEquals": {
                    "aws:SourceVpc": "vpc-0a1b2c3d4e5f"
                }
            }
        }
    ]
}

Приклад 4: обов'язкове шифрування при завантаженні (deny незашифрованих PUT):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyUnencryptedPut",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-secure-bucket/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        }
    ]
}

Документація полів Statement:

BUCKET="my-app-bucket"
REGION="eu-central-1"
ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

# Зберегти Bucket Policy у файл
cat > /tmp/bucket-policy.json << EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaReadWrite",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${ACCOUNT_ID}:role/MyLambdaRole"
            },
            "Action": ["s3:GetObject", "s3:PutObject"],
            "Resource": "arn:aws:s3:::${BUCKET}/uploads/*"
        }
    ]
}
EOF

# Застосувати Bucket Policy
aws s3api put-bucket-policy \
    --bucket "$BUCKET" \
    --policy file:///tmp/bucket-policy.json \
    --region "$REGION"

# Переглянути поточну Bucket Policy
aws s3api get-bucket-policy \
    --bucket "$BUCKET" \
    --region "$REGION" \
    --query Policy --output text | python3 -m json.tool

# Видалити Bucket Policy
aws s3api delete-bucket-policy \
    --bucket "$BUCKET" \
    --region "$REGION"

S3 Encryption — шифрування даних

Аmazon S3 підтримує три незалежні режими серверного шифрування (SSE — Server-Side Encryption), що відрізняються за тим, хто керує ключами та яка гнучкість управління ними надається.

@startuml
skinparam style plain
skinparam backgroundColor #ffffff
title "SSE-KMS: схема шифрування та розшифрування об'єктів"

participant ".NET App\n(EC2/Lambda)" as APP #dbeafe
participant "Amazon S3" as S3 #bbf7d0
participant "AWS KMS" as KMS #fef3c7
participant "S3 Storage\n(диск)" as DISK #e5e7eb

== PUT: завантаження об'єкту ==

APP -> S3 : PUT /bucket/file.pdf\nx-amz-server-side-encryption: aws:kms\nx-amz-server-side-encryption-aws-kms-key-id: arn:kms:...\n[дані в plaintext]

S3 -> KMS : GenerateDataKey(KeyId=arn:kms:...)
note right: KMS генерує пару:\n- Plaintext DEK (Data Encryption Key)\n- Encrypted DEK

KMS --> S3 : {plaintext_DEK, encrypted_DEK}

S3 -> S3 : Шифрує файл за допомогою plaintext_DEK\n(AES-256-GCM)
note right: plaintext_DEK видаляється\nз пам'яті відразу після\nшифрування!

S3 -> DISK : Зберігає: encrypted_file + encrypted_DEK
S3 --> APP : 200 OK\nx-amz-server-side-encryption: aws:kms

== GET: читання об'єкту ==

APP -> S3 : GET /bucket/file.pdf
S3 -> DISK : Читає encrypted_file + encrypted_DEK
S3 -> KMS : Decrypt(encrypted_DEK)\n[перевірка IAM прав на kms:Decrypt]
KMS --> S3 : plaintext_DEK
S3 -> S3 : Розшифровує файл
S3 --> APP : 200 OK + plaintext файл

@enduml

SSE-S3 (AES-256): AWS автоматично шифрує всі об'єкти при завантаженні та розшифровує при читанні. Ключами керує AWS. Безкоштовно. Рекомендовано вмикати на всіх bucket за замовчуванням. Починаючи з 2023 року — увімкнено за замовчуванням для всіх нових bucket.

SSE-KMS: шифрування через AWS Key Management Service. Ви контролюєте ключ, маєте повний аудитний журнал кожного використання ключа в CloudTrail, можете відкликати доступ до ключа (що унеможливлює читання всіх зашифрованих даних). Підходить для чутливих даних (медична, фінансова інформація, PII). BucketKeyEnabled — важливий параметр: замість виклику KMS для кожного об'єкту, S3 кешує DEK на рівні bucket, зменшуючи кількість KMS API викликів і, відповідно, вартість.

SSE-C: ви самі надаєте AES-256 ключ при кожному PUT/GET запиті. AWS використовує ключ для шифрування/розшифрування, але не зберігає його. Якщо ключ втрачено — дані назавжди недоступні. Рідко використовується через складність управління.

DSSE-KMS (Double-layer SSE-KMS): подвійне шифрування двома незалежними ключами KMS. Відповідає вимогам FIPS 140-3 Level 3 для defense-grade сумісності.

AWS KMS — що це і як працює

AWS Key Management Service (KMS) — це керований сервіс для створення та управління криптографічними ключами. KMS не зберігає ваші дані — він зберігає тільки Customer Master Keys (CMK) і використовує їх для шифрування/розшифрування коротких шматків даних (Data Encryption Keys, DEK).

Коли S3 шифрує об'єкт через SSE-KMS, відбувається таке:

1. S3 просить KMS згенерувати DEK (унікальний ключ для цього об'єкта)
2. KMS повертає два варіанти DEK: відкритий (plaintext) і зашифрований (encrypted)
3. S3 шифрує об'єкт відкритим DEK, потім знищує відкритий DEK з пам'яті
4. На диску зберігаються тільки зашифровані дані + зашифрований DEK
5. При читанні: S3 надсилає encrypted DEK у KMS → KMS розшифровує → S3 читає файл

Таким чином, навіть якщо хтось отримає доступ до диску S3 — без KMS ключа дані марні.

Типи KMS ключів:

SSE-KMS у .NET SDK — завантаження та читання зашифрованих об'єктів:

using Amazon.S3;
using Amazon.S3.Model;

public class EncryptedS3Service
{
    private readonly IAmazonS3 _s3;
    // ARN або alias KMS ключа: "alias/my-app-s3"
    private const string KmsKeyId = "alias/my-app-s3";

    public EncryptedS3Service(IAmazonS3 s3) => _s3 = s3;

    // Завантажити файл з явним SSE-KMS шифруванням
    public async Task UploadEncryptedAsync(string bucket, string key, Stream data)
    {
        var request = new PutObjectRequest
        {
            BucketName = bucket,
            Key = key,
            InputStream = data,
            // Явно вказуємо SSE-KMS (перевизначає default encryption bucket'а)
            ServerSideEncryptionMethod = ServerSideEncryptionMethod.AWSKMS,
            ServerSideEncryptionKeyManagementServiceKeyId = KmsKeyId,
        };

        var response = await _s3.PutObjectAsync(request);

        // response.ServerSideEncryptionMethod == "aws:kms"
        // response.ServerSideEncryptionKeyManagementServiceKeyId — ARN ключа що використовувався
    }

    // Читання — прозоре, SDK сам запитує KMS decrypt
    // IAM роль вашого застосунку ПОВИННА мати kms:Decrypt на цей ключ
    public async Task<Stream> DownloadEncryptedAsync(string bucket, string key)
    {
        var response = await _s3.GetObjectAsync(bucket, key);
        return response.ResponseStream; // вже розшифровано S3
    }

    // Перевірити яким ключем зашифровано об'єкт
    public async Task<string?> GetObjectEncryptionKeyAsync(string bucket, string key)
    {
        var meta = await _s3.GetObjectMetadataAsync(bucket, key);
        return meta.ServerSideEncryptionKeyManagementServiceKeyId;
        // Поверне ARN KMS ключа або null якщо SSE-S3
    }
}

BUCKET="my-app-bucket"
REGION="eu-central-1"
KMS_KEY_ID="arn:aws:kms:eu-central-1:123456789012:key/mrk-abc123def456"

# Встановити SSE-S3 (AES-256) за замовчуванням
aws s3api put-bucket-encryption \
    --bucket "$BUCKET" \
    --server-side-encryption-configuration '{
        "Rules": [{
            "ApplyServerSideEncryptionByDefault": {
                "SSEAlgorithm": "AES256"
            },
            "BucketKeyEnabled": false
        }]
    }' \
    --region "$REGION"

# Встановити SSE-KMS з Customer Managed Key
aws s3api put-bucket-encryption \
    --bucket "$BUCKET" \
    --server-side-encryption-configuration "{
        \"Rules\": [{
            \"ApplyServerSideEncryptionByDefault\": {
                \"SSEAlgorithm\": \"aws:kms\",
                \"KMSMasterKeyID\": \"$KMS_KEY_ID\"
            },
            \"BucketKeyEnabled\": true
        }]
    }" \
    --region "$REGION"

# Перевірити поточне шифрування
aws s3api get-bucket-encryption \
    --bucket "$BUCKET" \
    --region "$REGION"

# Завантажити файл з явним SSE-KMS шифруванням
aws s3 cp sensitive-data.csv s3://"$BUCKET"/ \
    --sse aws:kms \
    --sse-kms-key-id "$KMS_KEY_ID" \
    --region "$REGION"

S3 Presigned URLs — тимчасовий доступ до приватних об'єктів

Presigned URL — це спеціально підписана URL-адреса, яка надає тимчасовий доступ до приватного S3 об'єкту без необхідності давати постійні права. Типова тривалість: від 1 хвилини до 7 днів.

Навіщо це потрібно?

S3 bucket приватний — ніхто ззовні не може читати чи записувати файли. Але іноді треба дати тимчасовий доступ конкретній людині, не відкриваючи bucket публічно і не передаючи AWS-ключі клієнту. Presigned URL вирішує саме це.

Три типових сценарії:

1. Скачування приватного файлу (Presigned GET)

Користувач натискає «Завантажити звіт» у вашому застосунку. Файл зберігається в закритому S3 bucket — напряму його не відкрити. Бекенд перевіряє права користувача, генерує Presigned GET URL (діє 15 хвилин) і повертає її фронтенду. Браузер відкриває цю URL і скачує файл напряму з S3 — трафік не йде через ваш сервер.

2. Завантаження файлу від користувача напряму в S3 (Presigned PUT)

Користувач хоче завантажити фото. Якщо передавати файл через бекенд — він займає пам'ять і пропускну здатність сервера. Натомість: бекенд генерує Presigned PUT URL (дозвіл записати один конкретний файл) і повертає її фронтенду. Фронтенд робить PUT запит напряму в S3 — бекенд файл взагалі не бачить.

3. Посилання в email або месенджері

Після генерації звіту (PDF, Excel) система відправляє email з кнопкою «Переглянути». За кнопкою — Presigned GET URL з терміном 24–72 години. Отримувач клікає і отримує файл. Якщо термін вийшов — посилання більше не працює, файл залишається закритим.

// AWS SDK for .NET — генерація Presigned URL
using Amazon.S3;
using Amazon.S3.Model;

public class S3Service
{
    private readonly IAmazonS3 _s3;

    public S3Service(IAmazonS3 s3) => _s3 = s3;

    // Presigned GET URL — для завантаження файлу
    public string GenerateDownloadUrl(string bucket, string key, int expiresInMinutes = 15)
    {
        var request = new GetPreSignedUrlRequest
        {
            BucketName = bucket,
            Key = key,
            Expires = DateTime.UtcNow.AddMinutes(expiresInMinutes),
            Verb = HttpVerb.GET
        };
        return _s3.GetPreSignedURL(request);
    }

    // Presigned PUT URL — для завантаження файлу напряму з браузера
    public string GenerateUploadUrl(string bucket, string key,
        string contentType, int expiresInMinutes = 5)
    {
        var request = new GetPreSignedUrlRequest
        {
            BucketName = bucket,
            Key = key,
            Expires = DateTime.UtcNow.AddMinutes(expiresInMinutes),
            Verb = HttpVerb.PUT,
            ContentType = contentType
        };
        return _s3.GetPreSignedURL(request);
    }
}

Використання Presigned PUT URL у JavaScript:

// Отримуємо URL з бекенду
const { uploadUrl } = await fetch('/api/files/upload-url?filename=photo.jpg')

// Завантажуємо файл напряму в S3 — бекенд не торкається файлу!
await fetch(uploadUrl, {
    method: 'PUT',
    body: file,
    headers: { 'Content-Type': 'image/jpeg' },
})

S3 Static Website Hosting

S3 Static Website Hosting — можливість використовувати S3 як хостинг для статичних веб-сайтів: HTML, CSS, JavaScript, зображення. Це ідеально для React/Vue/Angular SPA (Single Page Application).

Переваги перед традиційним хостингом:

• Вартість: S3 Static Hosting коштує копійки (зберігання + трафік), немає витрат на сервер
• Масштабованість: S3 витримає будь-яке навантаження без конфігурації
• Надійність: 99.99% доступність без жодних зусиль

Особливість SPA — проблема з прямими посиланнями

У звичайному сайті кожна сторінка — це окремий файл: /about → about.html, /contact → contact.html. Сервер шукає файл за URL і повертає його.

У React/Vue/Angular SPA на диску є тільки один файл — index.html. Всі «сторінки» (/about, /users/123, /dashboard/settings) — це JavaScript-маршрути, які React Router обробляє вже у браузері після завантаження index.html.

Проблема виникає в двох випадках:

• Користувач відкрив пряме посилання mysite.com/users/123 у новій вкладці
• Користувач натиснув F5 (оновити сторінку) перебуваючи на будь-якому маршруті крім /

В обох випадках браузер іде в S3 і питає: «дай мені файл /users/123». S3 шукає в bucket файл з таким ключем — і не знаходить, бо такого файлу немає. Повертає 404.

Рішення: Error Document = index.html

В налаштуваннях Static Hosting є поле Error document — файл, який S3 повертає замість помилки 404. Якщо вказати index.html, то замість «Not Found» S3 завжди повертатиме головний файл застосунку. React завантажиться, React Router прочитає поточний URL (/users/123) і відрендерить потрібну сторінку — так, ніби нічого не сталося.

# Налаштувати Static Website Hosting
aws s3api put-bucket-website \
    --bucket my-react-app \
    --website-configuration '{
        "IndexDocument": {"Suffix": "index.html"},
        "ErrorDocument": {"Key": "index.html"}
    }' \
    --region eu-central-1

# Після цього сайт доступний за:
# http://my-react-app.s3-website.eu-central-1.amazonaws.com

Важливо: S3 Static Hosting URL — це http:// (без S). Для HTTPS використовуйте CloudFront як CDN перед S3 — це стандартна production-архітектура.

S3 CORS — Cross-Origin Resource Sharing

CORS (Cross-Origin Resource Sharing) — це браузерна політика безпеки, яка забороняє JavaScript на одному домені робити запити до іншого домену без явного дозволу. Це не S3-специфічна проблема — це стандарт усіх браузерів.

Що таке «інший домен» з точки зору CORS:

Будь-яка відмінність у протоколі, хості або порті — це вже інший origin:

Коли виникає при роботі з S3:

• Фронтенд робить fetch() або axios.put() на Presigned PUT URL (завантаження файлу напряму в S3)
• Фронтенд робить fetch() на S3 URL щоб прочитати JSON або завантажити файл
• Static website, захостований на S3, звертається до API на іншому домені

Коли потрібен CORS на S3:

• Фронтенд завантажує файли напряму в S3 через Presigned PUT URL
• Фронтенд читає файли з S3 напряму (зображення, JSON) через fetch()
• Static website на S3 робить API запити до іншого домену

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET", "PUT", "POST", "DELETE", "HEAD"],
        "AllowedOrigins": ["https://app.example.com", "http://localhost:3000"],
        "ExposeHeaders": ["ETag", "x-amz-version-id"],
        "MaxAgeSeconds": 3000
    }
]

# Застосувати CORS конфігурацію
aws s3api put-bucket-cors \
    --bucket my-app-bucket \
    --cors-configuration file://cors.json \
    --region eu-central-1

Пояснення полів:

• AllowedOrigins: які домени можуть звертатись до bucket. Для розробки — http://localhost:3000. Для production — ваш реальний домен. Ніколи не використовуйте * для bucket з приватними даними.
• AllowedMethods: які HTTP методи дозволені. PUT — для завантаження, GET — для читання.
• AllowedHeaders: які заголовки браузер може надіслати. * — всі.
• ExposeHeaders: які заголовки відповіді браузер може читати з JavaScript. ETag — для верифікації завантаженого файлу.
• MaxAgeSeconds: як довго браузер кешує CORS preflight відповідь (3000 сек = 50 хв).

S3 Transfer Acceleration

S3 Transfer Acceleration — це функція, яка прискорює завантаження та скачування великих файлів завдяки використанню глобальної мережі edge locations AWS (CloudFront). Замість прямого підключення до S3 у регіоні, дані проходять через найближчий CloudFront edge-вузол, а далі через оптимізовану внутрішню мережу AWS.

Чому звичайне з'єднання повільне на великих відстанях

Коли ваш S3 bucket у Франкфурті, а користувач в Токіо — пакети даних мандрують через публічний інтернет: десятки роутерів, підводні кабелі, різні провайдери. Кожен стрибок додає затримку. На відстані 9 000+ км RTT (round-trip time) може досягати 250–350 мс, а TCP slow start і втрати пакетів ще більше знижують реальну швидкість.

Як Transfer Acceleration вирішує це

Замість того щоб дані йшли весь шлях через публічний інтернет, вони:

1. Потрапляють у найближчий edge location AWS (їх 400+ по всьому світу)
2. Далі йдуть до S3 по приватній оптимізованій магістралі AWS — не через публічний інтернет

Коли вигідно / невигідно:

У .NET SDK:

var config = new AmazonS3Config
{
    UseAccelerateEndpoint = true, // Увімкнути Transfer Acceleration
    RegionEndpoint = RegionEndpoint.EUCentral1
};
var s3 = new AmazonS3Client(config);

Юзкейс: Медіа файли та HLS/DASH відео-стрімінг

Це один із найважливіших та найпоширеніших use cases для S3 у сучасних застосунках. Розберемо детально.

Що таке HLS та DASH

HLS (HTTP Live Streaming) — протокол відео-стрімінгу розроблений Apple. Відео нарізається на короткі сегменти (зазвичай 6–10 секунд) у форматі .ts або .fmp4. Плеєр завантажує manifest-файл (.m3u8), який описує всі сегменти та доступні якості, потім послідовно завантажує сегменти. Підтримується нативно у Safari та iOS, в інших браузерах — через бібліотеки (hls.js).

DASH (Dynamic Adaptive Streaming over HTTP) — відкритий стандарт (MPEG-DASH), аналогічний HLS. Manifest-файл (.mpd), сегменти (.m4s). Підтримується у більшості сучасних браузерів через dash.js.

Adaptive Bitrate (ABR): і HLS, і DASH підтримують кілька якостей одного відео (240p, 480p, 720p, 1080p). Плеєр автоматично перемикається між якостями залежно від швидкості з'єднання користувача — якість не заморожується, а плавно деградує.

Архітектура відео-стрімінгу на S3 + CloudFront

Відеофайл → AWS Elemental MediaConvert → S3 (HLS/DASH сегменти) → CloudFront → Користувач

@startuml
skinparam style plain
skinparam backgroundColor #ffffff

actor "Контент-менеджер" as CM
actor "Глядач (UA)" as UA
actor "Глядач (US)" as US

queue "S3: raw-videos" as S3raw #fef3c7

rectangle "AWS Elemental MediaConvert" as MC #dbeafe {
    note right
      Транскодує відео у:
      HLS (240p/480p/720p/1080p)
      DASH (240p/480p/720p/1080p)
    end note
}

package "S3: video-assets" as S3out #d1fae5 {
    file "master.m3u8 (HLS manifest)" as HLS
    file "manifest.mpd (DASH manifest)" as DASH
    file "segment_001.ts ... (сегменти)" as SEG
}

rectangle "Amazon CloudFront (CDN)" as CF #bbf7d0 {
    rectangle "Edge: Frankfurt" as EF
    rectangle "Edge: New York" as EN
}

CM -right-> S3raw : upload .mp4
S3raw -right-> MC : EventBridge trigger
MC -right-> S3out : конвертовані файли
S3out -down-> CF : origin
CF -left-> UA : edge Frankfurt (~10ms)
CF -right-> US : edge New York (~10ms)

@enduml

Структура файлів HLS у S3

Після конвертації через MediaConvert у S3 bucket утворюється наступна структура:

s3://video-assets/
└── videos/
    └── movie-id-abc123/
        ├── hls/
        │   ├── master.m3u8              ← головний manifest (посилання на якості)
        │   ├── 1080p/
        │   │   ├── stream.m3u8          ← playlist для 1080p
        │   │   ├── segment_000.ts       ← сегмент 0 (0-6 сек)
        │   │   ├── segment_001.ts       ← сегмент 1 (6-12 сек)
        │   │   └── ...
        │   ├── 720p/
        │   │   ├── stream.m3u8
        │   │   └── ...
        │   └── 360p/
        │       ├── stream.m3u8
        │       └── ...
        └── dash/
            ├── manifest.mpd
            └── ...

Вміст master.m3u8:

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=5000000,RESOLUTION=1920x1080
1080p/stream.m3u8
#EXT-X-STREAM-INF:BANDWIDTH=2800000,RESOLUTION=1280x720
720p/stream.m3u8
#EXT-X-STREAM-INF:BANDWIDTH=800000,RESOLUTION=640x360
360p/stream.m3u8

Плеєр завантажує master.m3u8, бачить три якості, обирає відповідну до швидкості з'єднання і завантажує відповідний stream.m3u8, а потім послідовно всі .ts сегменти.

CloudFront для відео-стрімінгу

Відео через S3 напряму — не рекомендовано для production з кількох причин:

• Висока latency для глядачів далеко від регіону S3
• Дорогий трафік ($0.09/GB з S3, порівняно з $0.015/GB з CloudFront)
• Немає кешування сегментів — кожен запит іде до S3

CloudFront (CDN від AWS) кешує сегменти у 400+ edge locations по всьому світу. Перший глядач у Токіо завантажить сегмент з S3 у Франкфурті — але CloudFront закешує його в Токіо. Всі наступні глядачі в Токіо отримають цей сегмент за мілісекунди.

Захист медіа через Signed URLs / Cookies

Якщо відео-контент платний або приватний — потрібно захистити доступ. CloudFront підтримує два механізми:

CloudFront Signed URLs: кожен URL підписується і містить термін дії, дозволений IP, дозволені шляхи. Аналог S3 Presigned URL.

CloudFront Signed Cookies: встановлюється cookie з правами доступу до цілої «директорії» в S3 (наприклад, всі сегменти конкретного відео). Зручніше для відео — не потрібно підписувати кожен сегмент окремо.

// .NET: генерація CloudFront Signed Cookie для відео
using Amazon.CloudFront;

public string GenerateSignedCookiePolicy(
    string resourceUrl,      // "https://cdn.example.com/videos/movie-id/*"
    string cloudFrontKeyId,  // ID ключа CloudFront
    RSA privateKey,          // RSA приватний ключ
    DateTime expiresAt)
{
    var policy = new CloudFrontCannedPolicy
    {
        Resource = resourceUrl,
        DateLessThan = expiresAt
    };
    return AmazonCloudFrontUrlSigner.BuildPolicyForSignedUrl(
        cloudFrontKeyId, privateKey, policy);
}

Реалізація відео-плеєра у React з hls.js

import { useEffect, useRef } from 'react'
import Hls from 'hls.js'

function VideoPlayer({ manifestUrl }) {
    const videoRef = useRef(null)

    useEffect(() => {
        const video = videoRef.current
        if (!video) return

        if (Hls.isSupported()) {
            // Для більшості браузерів — використовуємо hls.js
            const hls = new Hls({
                // Починати з нижчої якості для швидкого старту
                startLevel: -1, // -1 = auto
                // Кешувати в пам'яті не більше 30 сек контенту
                maxBufferLength: 30,
            })
            hls.loadSource(manifestUrl) // URL до master.m3u8
            hls.attachMedia(video)
            hls.on(Hls.Events.MANIFEST_PARSED, () => video.play())

            return () => hls.destroy()
        } else if (video.canPlayType('application/vnd.apple.mpegurl')) {
            // Safari — нативна підтримка HLS
            video.src = manifestUrl
            video.play()
        }
    }, [manifestUrl])

    return <video ref={videoRef} controls style={{ width: '100%', maxHeight: '600px' }} />
}

// Використання:
// <VideoPlayer manifestUrl="https://cdn.example.com/videos/movie-id/hls/master.m3u8" />

Storage Class для відео-файлів

Різні типи відеофайлів вимагають різних Storage Class:

AWS SDK for .NET — повна інтеграція з S3

Встановлення та налаштування

Для роботи з S3 з .NET потрібні два пакети:

• AWSSDK.S3 — основний клієнт: upload, download, presigned URLs, bucket operations
• AWSSDK.Extensions.NETCore.Setup — інтеграція з DI ASP.NET Core: AddAWSService<T>() реєструє IAmazonS3 як singleton і автоматично читає регіон з appsettings.json

# Встановіть NuGet пакет
dotnet add package AWSSDK.S3
dotnet add package AWSSDK.Extensions.NETCore.Setup

Як SDK знаходить AWS credentials — SDK перебирає джерела по черзі, зупиняється на першому знайденому:

// Program.cs — реєстрація S3 через DI
builder.Services.AddAWSService<IAmazonS3>();
// SDK автоматично читає credentials з:
// 1. Змінних середовища (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY)
// 2. ~/.aws/credentials (локально)
// 3. IAM Role (на EC2/ECS/Lambda) ← рекомендовано для production

Локально зручно використовувати ~/.aws/credentials після aws configure. На сервері (EC2, ECS, Lambda) — ніколи не кладіть ключі у змінні середовища або код: натомість призначте IAM Role з s3:GetObject, s3:PutObject на потрібний bucket — SDK підхопить їх автоматично.

// appsettings.json
{
    "AWS": {
        "Region": "eu-central-1"
    },
    "S3": {
        "BucketName": "my-app-bucket"
    }
}

Повний S3Service для .NET

Замість того щоб викликати IAmazonS3 напряму в контролерах, виносимо всю логіку роботи з S3 в окремий сервіс S3StorageService. Це дає три переваги:

• Єдине місце для зміни bucket, регіону, storage class — не шукати по всьому проєкту
• Тестованість — можна замокати IAmazonS3 або весь S3StorageService в unit-тестах
• Інкапсуляція деталей — контролер не знає про S3, він працює з абстракцією «зберегти файл»

У сервісі використовується TransferUtility — обгортка над сирим S3 API, яка автоматично вмикає Multipart Upload для файлів > 16 MB (розбиває на частини, завантажує паралельно) і повторює спроби при тимчасових помилках мережі. Для більшості задач краще використовувати саме її.

using Amazon.S3;
using Amazon.S3.Model;
using Amazon.S3.Transfer;
using Microsoft.Extensions.Configuration;

public class S3StorageService
{
    private readonly IAmazonS3 _s3;
    private readonly string _bucket;

    public S3StorageService(IAmazonS3 s3, IConfiguration config)
    {
        _s3 = s3;
        // ЗАМІНІТЬ значення "S3:BucketName" реальним іменем вашого bucket
        _bucket = config["S3:BucketName"] ?? throw new InvalidOperationException("S3:BucketName not configured");
    }

    // Завантаження файлу в S3
    // key — шлях у bucket, наприклад "uploads/users/123/avatar.jpg"
    public async Task<string> UploadAsync(Stream fileStream, string key, string contentType)
    {
        using var transferUtility = new TransferUtility(_s3);

        await transferUtility.UploadAsync(new TransferUtilityUploadRequest
        {
            BucketName = _bucket,
            Key = key,
            InputStream = fileStream,
            ContentType = contentType,
            // Встановити Storage Class (за замовчуванням Standard)
            StorageClass = S3StorageClass.Standard,
            // Метадані об'єкту
            Metadata =
            {
                ["x-amz-meta-uploaded-at"] = DateTime.UtcNow.ToString("O"),
                ["x-amz-meta-content-type"] = contentType
            }
        });

        return $"https://{_bucket}.s3.eu-central-1.amazonaws.com/{key}";
    }

    // Завантаження файлу з S3
    public async Task<Stream> DownloadAsync(string key)
    {
        var response = await _s3.GetObjectAsync(new GetObjectRequest
        {
            BucketName = _bucket,
            Key = key
        });
        return response.ResponseStream;
    }

    // Перелік файлів за префіксом (аналог "директорії")
    public async Task<List<string>> ListFilesAsync(string prefix)
    {
        var response = await _s3.ListObjectsV2Async(new ListObjectsV2Request
        {
            BucketName = _bucket,
            Prefix = prefix,
            MaxKeys = 1000
        });
        return response.S3Objects.Select(o => o.Key).ToList();
    }

    // Видалення об'єкту
    public async Task DeleteAsync(string key)
    {
        await _s3.DeleteObjectAsync(_bucket, key);
    }

    // Presigned URL для завантаження (GET)
    public string GetPresignedDownloadUrl(string key, int expiresInMinutes = 60)
    {
        return _s3.GetPreSignedURL(new GetPreSignedUrlRequest
        {
            BucketName = _bucket,
            Key = key,
            Expires = DateTime.UtcNow.AddMinutes(expiresInMinutes),
            Verb = HttpVerb.GET
        });
    }

    // Presigned URL для прямого завантаження з браузера (PUT)
    public string GetPresignedUploadUrl(string key, string contentType,
        int expiresInMinutes = 10)
    {
        return _s3.GetPreSignedURL(new GetPreSignedUrlRequest
        {
            BucketName = _bucket,
            Key = key,
            Expires = DateTime.UtcNow.AddMinutes(expiresInMinutes),
            Verb = HttpVerb.PUT,
            ContentType = contentType
        });
    }

    // Multipart upload для великих файлів (> 100 MB)
    // TransferUtility автоматично розбиває файл на PartSize-частини
    // і завантажує їх паралельно (ThreadsCount потоків).
    // Якщо завантаження перервалось — можна відновити з місця зупинки
    // через InitiateMultipartUploadRequest / UploadPartRequest вручну.
    // 500 MB при ThreadsCount=5 завантажуються приблизно в 5x швидше ніж послідовно.
    public async Task UploadLargeFileAsync(string filePath, string key)
    {
        using var transferUtility = new TransferUtility(_s3);
        await transferUtility.UploadAsync(new TransferUtilityUploadRequest
        {
            BucketName = _bucket,
            Key = key,
            FilePath = filePath,
            // Multipart: частини по 50 MB, до 5 паралельних потоків
            PartSize = 50 * 1024 * 1024,
            ThreadsCount = 5
        });
    }

    // Копіювання об'єкту всередині S3 (без завантаження на клієнт)
    // CopyObjectRequest — S3 копіює файл на своєму боці, трафік не йде через ваш сервер.
    // Використовується для: перейменування (copy + delete), зміни storage class,
    // переміщення між bucket'ами, або дублювання файлу при збереженні версії.
    public async Task CopyAsync(string sourceKey, string destinationKey)
    {
        await _s3.CopyObjectAsync(new CopyObjectRequest
        {
            SourceBucket = _bucket,
            SourceKey = sourceKey,
            DestinationBucket = _bucket,
            DestinationKey = destinationKey
        });
    }
}

API Controller з прикладом використання:

Контролер відповідає тільки за HTTP-шар: валідація вхідних даних, авторизація, формування відповіді. Всю роботу з S3 делегує S3StorageService. Зверніть увагу на підхід з Presigned PUT URL — файл від користувача не проходить через ASP.NET: бекенд лише генерує дозвіл, а браузер завантажує файл напряму в S3. Це знімає навантаження з сервера і прибирає ліміт розміру файлу на рівні ASP.NET.

[ApiController]
[Route("api/[controller]")]
public class FilesController : ControllerBase
{
    private readonly S3StorageService _storage;

    public FilesController(S3StorageService storage) => _storage = storage;

    // POST /api/files/upload
    [HttpPost("upload")]
    public async Task<IActionResult> Upload(IFormFile file)
    {
        if (file.Length == 0) return BadRequest("File is empty");

        // Генеруємо унікальний ключ щоб уникнути колізій
        var key = $"uploads/{Guid.NewGuid()}/{file.FileName}";

        using var stream = file.OpenReadStream();
        var url = await _storage.UploadAsync(stream, key, file.ContentType);

        return Ok(new { url, key });
    }

    // GET /api/files/download-url?key=uploads/abc123/photo.jpg
    [HttpGet("download-url")]
    public IActionResult GetDownloadUrl([FromQuery] string key)
    {
        var url = _storage.GetPresignedDownloadUrl(key, expiresInMinutes: 30);
        return Ok(new { url, expiresIn = "30 minutes" });
    }

    // GET /api/files/upload-url?filename=photo.jpg&contentType=image/jpeg
    [HttpGet("upload-url")]
    public IActionResult GetUploadUrl([FromQuery] string filename,
        [FromQuery] string contentType)
    {
        // Ключ з userId щоб ізолювати файли користувачів
        var userId = User.FindFirst("sub")?.Value ?? "anonymous";
        var key = $"users/{userId}/{Guid.NewGuid()}_{filename}";

        var url = _storage.GetPresignedUploadUrl(key, contentType);
        return Ok(new { url, key });
    }
}

Практичний приклад: React SPA на S3 від А до Я

Побудуємо повноцінний React SPA з клієнтським роутингом та задеплоємо на S3 Static Website Hosting. Кроки йдуть у логічному порядку: спочатку створюємо застосунок, перевіряємо локально — потім налаштовуємо AWS-інфраструктуру та деплоємо.

Крок 1: Створення React застосунку

# Vite — сучасний збирач, що замінив webpack/CRA: холодний старт ~200мс, HMR миттєвий
# --template react — JSX шаблон (є також react-ts для TypeScript)
npm create vite@latest my-react-app -- --template react
cd my-react-app
npm install

# react-router v7 — пакет тепер називається просто "react-router" (не react-router-dom)
npm install react-router

Структура файлів після генерації та наших змін:

my-react-app/
├── index.html          ← точка входу Vite (у корені, не в public/!)
├── public/             ← статичні ресурси (favicon тощо)
├── src/
│   ├── main.jsx        ← монтує React у DOM
│   ├── App.jsx         ← layout-компонент: навбар + <Outlet />
│   ├── routes.jsx      ← конфіг маршрутів (JS-об'єкти, не JSX)
│   ├── index.css       ← глобальні стилі
│   └── pages/
│       ├── Home.jsx    ← головна сторінка /
│       └── About.jsx   ← сторінка /about
├── vite.config.js
└── package.json

Створюємо src/routes.jsx — маршрути як JS-об'єкти (React Router v7 data API):

// src/routes.jsx
import { createBrowserRouter } from 'react-router'
import App from './App'
import Home from './pages/Home'
import About from './pages/About'

// createBrowserRouter — React Router v7 data API.
// Маршрути описуються масивом об'єктів, а не JSX-деревом <Routes><Route>.
// Component: (з великої) — статичний імпорт компонента.
function NotFound() {
    return (
        <div className="not-found">
            <h1>404</h1>
            <p>Сторінку не знайдено</p>
        </div>
    )
}

export const router = createBrowserRouter([
    {
        path: '/',
        Component: App, // layout: рендерить навбар + <Outlet />
        children: [
            { index: true, Component: Home }, // рендериться на /
            { path: 'about', Component: About }, // рендериться на /about
        ],
    },
    { path: '*', Component: NotFound },
])

Замінюємо src/main.jsx — RouterProvider замість BrowserRouter:

// src/main.jsx
import { StrictMode } from 'react'
import { createRoot } from 'react-dom/client'
import { RouterProvider } from 'react-router'
import { router } from './routes'
import './index.css'

// RouterProvider — єдина точка монтування.
// При прямому переході на /about S3 повертає 404 —
// якщо не налаштований Error Document: index.html.
createRoot(document.getElementById('root')).render(
    <StrictMode>
        <RouterProvider router={router} />
    </StrictMode>,
)

Замінюємо src/App.jsx — layout-компонент з <Outlet />:

// src/App.jsx
import { Outlet, NavLink } from 'react-router'

// App — layout: рендерить навбар один раз,
// а <Outlet /> підставляє потрібну сторінку залежно від URL
export default function App() {
    return (
        <div className="app">
            <nav className="navbar">
                <span className="brand">☁️ S3 Demo App</span>
                <div className="nav-links">
                    {/* NavLink автоматично додає клас active до поточного посилання */}
                    <NavLink to="/" end>
                        Home
                    </NavLink>
                    <NavLink to="/about">About</NavLink>
                </div>
            </nav>
            <main className="content">
                <Outlet /> {/* тут рендериться Home або About залежно від URL */}
            </main>
        </div>
    )
}

Замінюємо src/index.css (Vite генерує цей файл як глобальний):

/* src/index.css */
*,
*::before,
*::after {
    box-sizing: border-box;
    margin: 0;
    padding: 0;
}

body {
    font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
    background: #f0f2f5;
    color: #1a1a2e;
}

.app {
    min-height: 100vh;
    display: flex;
    flex-direction: column;
}

.navbar {
    background: #232f3e; /* AWS dark navy */
    color: white;
    padding: 1rem 2rem;
    display: flex;
    justify-content: space-between;
    align-items: center;
    box-shadow: 0 2px 8px rgba(0, 0, 0, 0.3);
}

.brand {
    font-size: 1.2rem;
    font-weight: 700;
}

.nav-links a {
    color: #adb5bd;
    text-decoration: none;
    margin-left: 1.5rem;
    font-weight: 500;
    transition: color 0.2s;
}

.nav-links a.active,
.nav-links a:hover {
    color: #ff9900;
} /* AWS orange */

.content {
    flex: 1;
    max-width: 900px;
    margin: 2rem auto;
    padding: 0 1.5rem;
    width: 100%;
}

/* Сторінки */
.page h1 {
    font-size: 2rem;
    margin-bottom: 1rem;
    color: #232f3e;
}
.page h2 {
    font-size: 1.4rem;
    margin: 1.5rem 0 0.75rem;
    color: #232f3e;
}
.page p {
    color: #555;
    line-height: 1.6;
    margin-bottom: 1rem;
}
.page ol {
    padding-left: 1.5rem;
    color: #555;
    line-height: 2;
}

/* Картки */
.cards {
    display: grid;
    grid-template-columns: repeat(auto-fit, minmax(220px, 1fr));
    gap: 1rem;
    margin-top: 1.5rem;
}

.card {
    background: white;
    border-radius: 8px;
    padding: 1.5rem;
    box-shadow: 0 1px 4px rgba(0, 0, 0, 0.1);
}

.card h3 {
    margin-bottom: 0.5rem;
    color: #232f3e;
}
.card p {
    font-size: 0.9rem;
    color: #666;
    margin: 0;
}

/* 404 */
.not-found {
    text-align: center;
    padding: 4rem 0;
}
.not-found h1 {
    font-size: 5rem;
    color: #dee2e6;
}
.not-found p {
    color: #aaa;
    margin-top: 0.5rem;
}

/* Inline elements */
kbd {
    background: #eee;
    border: 1px solid #ccc;
    border-radius: 3px;
    padding: 1px 6px;
    font-size: 0.85em;
}
code {
    background: #f4f4f4;
    padding: 1px 5px;
    border-radius: 3px;
    font-size: 0.88em;
    font-family: monospace;
}

Створюємо src/pages/Home.jsx:

// src/pages/Home.jsx
export default function Home() {
    return (
        <div className="page">
            <h1>🚀 Ласкаво просимо!</h1>
            <p>
                Цей React SPA задеплоєно на <strong>Amazon S3 Static Website Hosting</strong>.
            </p>
            <div className="cards">
                <div className="card">
                    <h3>⚡ Швидкість</h3>
                    <p>Статичні файли роздаються напряму з S3 або через CloudFront CDN.</p>
                </div>
                <div className="card">
                    <h3>💰 Вартість</h3>
                    <p>Зберігання від $0.023/GB. Для типового SPA — менше $1 на місяць.</p>
                </div>
                <div className="card">
                    <h3>🔒 Надійність</h3>
                    <p>S3 гарантує 99.99% доступність та 11 дев'яток довговічності даних.</p>
                </div>
            </div>
        </div>
    )
}

Створюємо src/pages/About.jsx:

// src/pages/About.jsx
export default function About() {
    return (
        <div className="page">
            <h1>ℹ️ Про застосунок</h1>
            <p>
                Навчальний React SPA розгорнутий на <strong>AWS S3 Static Website Hosting</strong>.
            </p>
            <p>
                Спробуйте натиснути <kbd>F5</kbd> — завдяки <code>Error Document: index.html</code> роутинг працює
                навіть при прямому переході на цей URL.
            </p>
            <h2>Як це працює?</h2>
            <ol>
                <li>
                    Браузер запитує <code>/about</code> безпосередньо у S3
                </li>
                <li>
                    S3 не знаходить файл <code>about</code> і мав би повернути 403/404
                </li>
                <li>
                    Але замість помилки S3 повертає <code>index.html</code> (Error Document)
                </li>
                <li>
                    React Router зчитує URL і рендерить компонент <code>&lt;About /&gt;</code>
                </li>
            </ol>
        </div>
    )
}

Крок 2: Локальний запуск та перевірка

# Vite dev server — значно швидший за webpack (HMR ~50мс замість ~2с у CRA)
npm run dev
# Відкрийте http://localhost:5173 у браузері

Що перевірити перед деплоєм:

1. http://localhost:5173 — відображається Home з картками
2. Клік About у навбарі — URL змінюється на /about без перезавантаження
3. Оновлення на /about (F5) — dev-сервер коректно обробляє маршрут
4. Перехід на /xyz — відображається компонент 404

Крок 3: Створення S3 Bucket

BUCKET="my-react-app-2024"
REGION="eu-central-1"

# Створити bucket (eu-central-1 потребує LocationConstraint)
aws s3api create-bucket \
    --bucket $BUCKET \
    --region $REGION \
    --create-bucket-configuration LocationConstraint=$REGION

# Увімкнути версіонування
aws s3api put-bucket-versioning \
    --bucket $BUCKET \
    --versioning-configuration Status=Enabled

# Дозволити публічний доступ (необхідно для static website)
aws s3api delete-public-access-block --bucket $BUCKET

Крок 4: Bucket Policy для публічного читання

# Зберегти у файл policy.json
cat > /tmp/react-bucket-policy.json << EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-react-app-2024/*"
        }
    ]
}
EOF

# Застосувати Policy
# ЗАМІНІТЬ my-react-app-2024 на ваше реальне ім'я bucket
aws s3api put-bucket-policy \
    --bucket my-react-app-2024 \
    --policy file:///tmp/react-bucket-policy.json \
    --region eu-central-1

Крок 5: Налаштування Static Website Hosting

aws s3api put-bucket-website \
    --bucket my-react-app-2024 \
    --website-configuration '{
        "IndexDocument": {"Suffix": "index.html"},
        "ErrorDocument": {"Key": "index.html"}
    }' \
    --region eu-central-1

# URL сайту:
echo "Website URL: http://my-react-app-2024.s3-website.eu-central-1.amazonaws.com"

Крок 6: CORS конфігурація

cat > /tmp/cors.json << 'EOF'
[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET", "PUT", "POST", "DELETE", "HEAD"],
        "AllowedOrigins": [
            "http://my-react-app-2024.s3-website.eu-central-1.amazonaws.com",
            "http://localhost:3000",
            "https://yourdomain.com"
        ],
        "ExposeHeaders": ["ETag"],
        "MaxAgeSeconds": 3000
    }
]
EOF

# ЗАМІНІТЬ my-react-app-2024 на ваш bucket
aws s3api put-bucket-cors \
    --bucket my-react-app-2024 \
    --cors-configuration file:///tmp/cors.json \
    --region eu-central-1

Крок 7: Збірка та деплой React застосунку

Перейдіть у директорію проєкту (створили у Кроці 1):

# Перейдіть у директорію проєкту
cd my-react-app

# Зберіть production build
# Vite (на відміну від CRA) кладе результат у dist/, а не build/
npm run build

# Завантажте dist/ папку у S3 (Vite кладе build у dist/, а не build/)
# aws s3 sync — синхронізація директорії з S3 (завантажує лише змінені файли)
# --delete — видаляє файли з S3, яких немає локально (прибирає старий deploy)
# ЗАМІНІТЬ my-react-app-2024 на ваш bucket
aws s3 sync ./dist s3://my-react-app-2024/ \
    --delete \
    --region eu-central-1

# Встановити правильний Content-Type для HTML файлів (важливо!)
aws s3 cp s3://my-react-app-2024/index.html s3://my-react-app-2024/index.html \
    --metadata-directive REPLACE \
    --content-type "text/html" \
    --cache-control "no-cache, no-store, must-revalidate" \
    --region eu-central-1

Відкрийте ваш сайт у браузері: http://my-react-app-2024.s3-website.eu-central-1.amazonaws.com

Крок 8: Перевірка у браузері

URL вашого сайту:

http://my-react-app-2024.s3-website.eu-central-1.amazonaws.com

Сценарії для тестування:

1. Home сторінка — відкрийте URL → відображаються картки з інформацією про S3
2. Навігація через UI — клікніть About у навбарі → URL змінюється на /about без перезавантаження сторінки
3. Прямий перехід (критичний тест) — вставте в адресний рядок .../about та натисніть Enter → має відобразитись About сторінка, а не XML-помилка S3
4. Оновлення сторінки — натисніть F5 на /about → завдяки Error Document: index.html роутинг зберігається