Web端使用@aws-sdk/client-mediaconvert调用MediaConvert服务失败求助

问题根因说明 #

• AWS Elemental MediaConvert 服务本身未对外开放CORS配置，原生就不支持浏览器端直接发起API请求，你遇到的CORS not allowed是服务端的固有限制，没有办法通过前端配置解决。
• 禁用CORS校验后出现的Access denied错误，核心是两个配置错误：
  1. 初始化MediaConvertClient时没有指定你账号专属的MediaConvert端点，你可以在MediaConvert控制台的「账户设置」页面获取该端点，初始化时必须传入endpoint参数
  2. 你在CreateJobCommand里填的Role参数是Cognito身份角色，这是调用SDK时用的身份凭证，而该参数实际需要传入的是MediaConvert服务专用的执行角色，该角色需要配置S3读写权限，且信任实体为mediaconvert.amazonaws.com，和你调用SDK用的Cognito角色完全是两个概念。
• 额外的安全风险：哪怕你临时绕过了CORS和权限问题，在前端直接调用MediaConvert也会严重暴露安全风险，未授权用户可以直接调用接口发起大量转码任务，产生高额账单，生产环境绝对不能这么做。

可行解决方案 #

采用前端请求+后端中转的架构实现需求，这也是AWS官方推荐的最佳实践：

1. 新增一个后端中转层，可选方案为API Gateway + Lambda，或者你自己的后端服务
2. 前端仅向你的后端服务传递转码所需的核心参数（比如输入文件路径、输出配置等）
3. 后端服务持有有权限调用MediaConvert的身份凭证，收到前端请求后调用CreateJob接口发起转码任务，再把结果返回给前端即可
4. 你可以在后端层额外做参数校验、频率限制等逻辑，避免资源滥用。

修正后的服务端调用示例（Node.js环境） #

const { MediaConvertClient, CreateJobCommand } = require("@aws-sdk/client-mediaconvert");

const client = new MediaConvertClient({
  region: "你的区域",
  // 替换为你控制台获取的专属端点
  endpoint: "https://xxxxxx.mediaconvert.区域.amazonaws.com",
  // 服务端可以用IAM角色、AKSK等方式鉴权，不需要Cognito
  credentials: {
    accessKeyId: "你的AK",
    secretAccessKey: "你的SK"
  }
});

const run = async () => {
  try {
    const command = new CreateJobCommand({
      JobTemplate: "Test Template",
      // 这里替换为MediaConvert专用的服务执行角色ARN
      Role: "arn:aws:iam::你的账号ID:role/MediaConvertExecuteRole",
      Settings: {
        Inputs: [
          {
            FileInput: "s3://some-bucket/files/video.mp4",
          },
        ],
      },
    });
    const response = await client.send(command);
    console.log("转码任务创建成功，任务ID：", response.Job.Id);
    return response;
  } catch (error) {
    console.error("任务创建失败：", error);
    throw error;
  }
};

内容的提问来源于stack exchange，提问作者Flo Ragossnig