Cree un conector SFTP con salida gestionada por el servicio

Creación de un Conector SFTP

1. Abra la AWS Transfer Family consola en. https://console.aws.amazon.com/transfer/

2. En el panel de navegación izquierdo, seleccione Conectores SFTP y, a continuación, elija Crear conector SFTP.

3. En la sección Configuración del conector, para el tipo de salida, elija Servicio administrado. Esta opción utiliza una infraestructura de salida AWS Transfer Family gestionada. El servicio Transfer Family proporciona y administra direcciones IP estáticas para cada conector SFTP.

4. En la sección de Configuración del conector, proporcione la siguiente información:

   

   • Para la URL, introduzca la URL de un servidor SFTP remoto. Esta URL debe tener el siguiente formato como sftp://partner-SFTP-server-url, por ejemplo, sftp://AnyCompany.com.

     nota

     También tiene la posibilidad de proporcionar un número de puerto en su URL. El formato es sftp://partner-SFTP-server-url:port-number. El número de puerto predeterminado (cuando no se especifica ningún puerto) es el puerto 22.

   • Para la función de acceso, elija el nombre de recurso de Amazon (ARN) de la función AWS Identity and Access Management (IAM) que desee utilizar.

     • Asegúrese de que este rol proporcione acceso de lectura y escritura al directorio principal de la ubicación del archivo que se utiliza en la solicitud StartFileTransfer.

     • Asegúrese de que este rol dé permiso a secretsmanager:GetSecretValue para acceder al secreto.

       nota

       En la política, debe especificar el ARN del secreto. El ARN contiene el nombre secreto, pero añade al nombre seis caracteres alfanuméricos aleatorios. El ARN de un secreto tiene el siguiente formato.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Asegúrese de que contiene una relación de confianza que permita que el conector tenga acceso a los recursos cuando atienda las solicitudes de transferencia de sus usuarios. Para obtener más información sobre cómo establecer una relación de confianza, consulte Para establecer una relación de confianza.

     {
       "Version":"2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     nota

     Para el rol de acceso, el ejemplo concede acceso a un único secreto. Sin embargo, puede utilizar un carácter comodín, que puede ahorrarle trabajo si quiere reutilizar el mismo rol de IAM para varios usuarios y secretos. Por ejemplo, la siguiente declaración de recursos concede permisos para todos los secretos cuyos nombres comiencen por aws/transfer.

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     También puede almacenar los secretos que contengan sus credenciales de SFTP en otra Cuenta de AWS. Para obtener más información sobre cómo habilitar el acceso secreto entre cuentas, consulta Permisos para acceder a los AWS Secrets Manager secretos de los usuarios de una cuenta diferente.

5. Complete la configuración del conector:

   • (Opcional) Para la función de registro, elija la función de IAM del conector que utilizará para incluir los eventos en sus CloudWatch registros. El siguiente ejemplo de política enumera los permisos necesarios para registrar los eventos de los conectores SFTP.

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

6. En el panel Configuración SFTP, proporcione la siguiente información:

   

   • Para las credenciales del conector, en la lista desplegable, elija el nombre de un secreto AWS Secrets Manager que contenga la clave privada o la contraseña del usuario de SFTP. Debe crear un secreto y almacenarlo de una manera específica. Para obtener más información, consulte Almacene las credenciales de autenticación de los conectores SFTP en Secrets Manager.

   • (Opcional) Tiene la opción de crear su conector dejando el TrustedHostKeys parámetro vacío. Sin embargo, el conector no podrá transferir archivos con el servidor remoto hasta que especifique este parámetro en la configuración del conector. Puede introducir las claves del host de confianza al crear el conector o actualizarlo más adelante mediante la información de la clave del host que devuelva la acción de la TestConnection consola o el comando de la API. Es decir, en el cuadro de texto Claves de host confiables, puede realizar una de las siguientes acciones:

     • Proporcione las claves de host de confianza al momento de crear el conector. Pegue la parte pública de la clave de host que se usa para identificar el servidor externo. Para añadir más de una clave, seleccione Añadir clave de host de confianza para añadir una clave adicional. Puede utilizar el comando ssh-keyscan en el servidor SFTP para recuperar la clave necesaria. Para obtener más información sobre el formato y el tipo de claves de host de confianza compatibles con Transfer Family, consulte SFTPConnectorConfig.

     • Deje vacío el cuadro de texto de las claves de host de confianza al crear el conector y actualícelo más adelante con esta información. Si no tiene la información de la clave del host en el momento de crear el conector, puede dejar este parámetro vacío por ahora y continuar con la creación del conector. Una vez creado el conector, utilice el identificador del nuevo conector para ejecutar el TestConnection comando, ya sea en la página de detalles del conector AWS CLI o desde ella. Si se ejecuta correctamente, TestConnection devolverá la información de clave de host necesaria. A continuación, puede editar el conector mediante la consola (o ejecutando el UpdateConnector AWS CLI comando) y añadir la información de la clave de host que se devolvió al ejecutarTestConnection.

     importante

     Si recuperas la clave de host del servidor remoto TestConnection ejecutándola, asegúrate de realizar una validación fuera de banda de la clave devuelta.

     Debe aceptar la nueva clave como confiable o verificar la huella digital presentada con una huella digital previamente conocida que haya recibido del propietario del servidor SFTP remoto al que se está conectando.

   • (Opcional) Para obtener el número máximo de conexiones simultáneas, en la lista desplegable, elige el número de conexiones simultáneas que tu conector crea con el servidor remoto. La selección predeterminada en la consola es 5.

     Esta configuración especifica el número de conexiones activas que el conector puede establecer con el servidor remoto al mismo tiempo. La creación de conexiones simultáneas puede mejorar el rendimiento del conector al permitir las operaciones en paralelo.

   • (Opcional) Para las etapas de versiones secretas ordenadas, introduzca una lista ordenada de etiquetas de etapas de versiones de Secrets Manager. El conector intenta la autenticación utilizando cada etapa en orden durante las transferencias de archivos. Si no especificas las etapas de versión, el conector solo las usaAWSCURRENT. Por ejemploAWSCURRENT, especifique si desea AWSPREVIOUS habilitar el respaldo automático durante la rotación secreta.

7. En la sección de opciones del algoritmo criptográfico, elija una política de seguridad de la lista desplegable del campo Política de seguridad. La política de seguridad le permite seleccionar los algoritmos criptográficos compatibles con su conector. Para obtener más información sobre las políticas y los algoritmos de seguridad disponibles, consultePolíticas de seguridad para AWS Transfer Family Conectores SFTP.

8. (Opcional) En la sección Etiquetas, para Clave y Valor, escriba una o varias etiquetas como pares clave-valor.

9. Una vez que haya confirmado todos los ajustes, seleccione Crear conector SFTP para crear el conector SFTP. Si el conector se ha creado correctamente, aparece una pantalla con una lista de las direcciones IP estáticas asignadas y un botón de prueba de conexión. Utilice el botón para probar la configuración del nuevo conector.