Erstellen Sie einen SFTP-Connector mit Ausgang VPC-based

So erstellen Sie einen VPC_-SFTP-Connector LATTICE-enabled

1. Öffnen Sie die Konsole unter AWS Transfer Family . https://console.aws.amazon.com/transfer/

2. Wählen Sie im linken Navigationsbereich SFTP-Connectors und dann SFTP-Connector erstellen aus.

3. Wählen Sie im Abschnitt Connector-Konfiguration als Ausgangstyp die Option VPC Lattice aus.

   Diese Option leitet den Datenverkehr mithilfe von Amazon VPC Lattice für den VPC-übergreifenden Ressourcenzugriff durch Ihre VPC weiter. Sie können diese Option verwenden, um eine Verbindung zu privat gehosteten Serverendpunkten herzustellen, den Datenverkehr durch die Sicherheitskontrollen Ihrer VPC zu leiten oder Ihre eigenen NAT-Gateways und Elastic IP-Adressen zu verwenden. Die Adresse des Remote-SFTP-Servers wird in Ihrer VPC als Ressourcenkonfiguration dargestellt. Weitere Informationen zu Ressourcenkonfigurationen finden Sie unter Ressourcenkonfigurationen für VPC-Ressourcen im Amazon VPC Lattice-Benutzerhandbuch.

4. Vervollständigen Sie die Connector-Konfiguration:

   • Wählen Sie für die Access-Rolle den Amazon-Ressourcennamen (ARN) der zu verwendenden AWS Identity and Access Management (IAM) -Rolle aus.

     • Stellen Sie sicher, dass diese Rolle Lese- und Schreibzugriff auf das übergeordnete Verzeichnis des Dateispeicherorts bietet, der in der StartFileTransfer Anfrage verwendet wird.

     • Stellen Sie sicher, dass diese Rolle die Berechtigung secretsmanager:GetSecretValue zum Zugriff auf das Geheimnis gewährt.

       Anmerkung

       In der Richtlinie müssen Sie den ARN für das Geheimnis angeben. Der ARN enthält den geheimen Namen, fügt dem Namen jedoch sechs zufällige alphanumerische Zeichen hinzu. Ein ARN für ein Geheimnis hat das folgende Format.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Stellen Sie sicher, dass diese Rolle eine Vertrauensbeziehung enthält, die es dem Connector ermöglicht, bei der Bearbeitung der Übertragungsanfragen Ihrer Benutzer auf Ihre Ressourcen zuzugreifen. Einzelheiten zum Aufbau einer Vertrauensbeziehung finden Sie unterSo stellen Sie eine Vertrauensbeziehung her.

     {
       "Version":"2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     Anmerkung

     Für die Zugriffsrolle gewährt das Beispiel Zugriff auf ein einzelnes Geheimnis. Sie können jedoch ein Platzhalterzeichen verwenden, was Arbeit sparen kann, wenn Sie dieselbe IAM-Rolle für mehrere Benutzer und Geheimnisse wiederverwenden möchten. Die folgende Ressourcenanweisung gewährt beispielsweise Berechtigungen für alle Geheimnisse, deren Namen mit beginnen. aws/transfer

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     Sie können Geheimnisse, die Ihre SFTP-Anmeldeinformationen enthalten, auch in einem anderen AWS-Konto speichern. Einzelheiten zur Aktivierung des kontoübergreifenden geheimen Zugriffs finden Sie unter Berechtigungen für Benutzer in einem anderen Konto auf AWS Secrets Manager geheime Daten.

   • Geben Sie als Resource Configuration ARN den ARN der VPC Lattice Resource Configuration ein, der auf Ihren SFTP-Server verweist:

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • (Optional) Wählen Sie für die Logging-Rolle die IAM-Rolle aus, die der Connector verwenden soll, um Ereignisse in Ihre Protokolle zu übertragen. CloudWatch

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. Geben Sie im Abschnitt SFTP-Konfiguration die folgenden Informationen ein:

   • Wählen Sie für Connector-Anmeldeinformationen den Namen eines Geheimnisses AWS Secrets Manager , das den privaten Schlüssel oder das Passwort des SFTP-Benutzers enthält.

   • Fügen Sie bei vertrauenswürdigen Hostschlüsseln den öffentlichen Teil des Hostschlüssels ein, der zur Identifizierung des externen Servers verwendet wird, oder lassen Sie das Feld leer, um ihn später mit dem TestConnection Befehl zu konfigurieren.

     Da dieser Hostschlüssel für einen VPC_LATTICE-Connector bestimmt ist, entfernen Sie den Hostnamen aus dem Schlüssel

   • (Optional) Wählen Sie für Maximale Anzahl gleichzeitiger Verbindungen die Anzahl gleichzeitiger Verbindungen aus, die Ihr Connector zum Remoteserver herstellt (die Standardeinstellung ist 5).

   • (Optional) Geben Sie für Stufen der bestellten geheimen Version eine geordnete Liste von Secrets Manager-Versionsstufen ein. Der Connector versucht, sich bei Dateiübertragungen mit jeder Stufe in der richtigen Reihenfolge zu authentifizieren. Wenn Sie keine Versionsphasen angeben, verwendet der Connector nur dieseAWSCURRENT. Geben Sie beispielsweise anAWSCURRENT, AWSPREVIOUS um das automatische Fallback während der Secret-Rotation zu aktivieren.

6. Wählen Sie im Abschnitt Optionen für kryptografischen Algorithmus eine Sicherheitsrichtlinie aus der Dropdownliste aus.

7. (Optional) Fügen Sie im Abschnitt „Tags“ Tags als Schlüssel-Wert-Paare hinzu.

8. Wählen Sie SFTP-Connector erstellen, um den LATTICE-enabled VPC_-SFTP-Connector zu erstellen.