Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Se utiliza AWS Lambda para integrar su proveedor de identidad
Cree una AWS Lambda función que se conecte a su proveedor de identidad personalizado. Puede usar cualquier proveedor de identidad personalizado, como Okta, Secrets Manager o un almacén de datos personalizado que incluya lógica de autorización y autenticación. OneLogin
nota
Antes de crear un servidor de Transfer Family que utilice Lambda como proveedor de identidades, debe crear la función. Para ver una función de Lambda de ejemplo, consulte Ejemplo de función de Lambda. O bien, puede implementar una CloudFormation pila que utilice uno de losPlantillas de función de Lambda. Además, asegúrese de que la función de Lambda utilice una política basada en recursos que confíe en Transfer Family. Para ver una política de ejemplo, consulte Política basada en recursos de Lambda.
-
Abra la consola de AWS Transfer Family
. -
Seleccione Crear servidor para abrir la página Crear servidor. En Elegir un proveedor de identidad, elija un proveedor de identidad personalizado, como se muestra en la siguiente captura de pantalla.
nota
La selección de métodos de autenticación solo está disponible si habilita SFTP como uno de los protocolos del servidor de Transfer Family.
-
Asegúrese de que esté seleccionado el valor predeterminado, Usar AWS Lambda para conectar su proveedor de identidad.
-
Para la AWS Lambda función, seleccione el nombre de su Función de Lambda.
-
Rellene las casillas restantes y, a continuación, seleccione Crear servidor. Para obtener más información sobre los pasos restantes para crear un servidor, consulte Configuración de un punto final de servidor SFTP, FTPS o FTP.
Política basada en recursos de Lambda
Debe tener una política que haga referencia al servidor de Transfer Family y a los ARN Lambda. Por ejemplo, puede usar la siguiente política con la función de Lambda que se conecta a su proveedor de identidad. La política es un JSON de escape en forma de cadena.
"Policy": "{ "Version": "2012-10-17", "Id": "default", "Statement": [ { "Sid": "AllowTransferInvocation", "Effect": "Allow", "Principal": { "Service": "transfer.amazonaws.com" }, "Action": "lambda:InvokeFunction", "Resource": "arn:aws:lambda:
region
:account-id
:function:my-lambda-auth-function
", "Condition": { "ArnLike": { "AWS:SourceArn": "arn:aws:transfer:region
:account-id
:server/server-id
" } } } ] }"
nota
En el ejemplo anterior, reemplace cada marcador de posición del usuario
con su propia información.
Estructura de mensaje de evento
La estructura de los mensajes de eventos del servidor SFTP enviados a la función de Lambda del autorizador para un IDP personalizado es la siguiente.
{ "username": "value", "password": "value", "protocol": "SFTP", "serverId": "s-abcd123456", "sourceIp": "192.168.0.100" }
Siendo username
y password
los valores de las credenciales de inicio de sesión que se envían al servidor.
Por ejemplo, introduzca el siguiente comando para la conexión:
sftp bobusa@server_hostname
Se le pedirá que escriba su contraseña:
Enter password: mysecretpassword
Puede comprobarlo desde la función de Lambda al imprimir el evento pasado desde la función de Lambda. Debería parecerse a lo que sigue.
{ "username": "bobusa", "password": "mysecretpassword", "protocol": "SFTP", "serverId": "s-abcd123456", "sourceIp": "192.168.0.100" }
La estructura de eventos es similar para FTP y FTPS: la única diferencia es que esos valores se utilizan para el parámetro protocol
y no para SFTP.
funciones de Lambda para autenticación
Para implementar diferentes estrategias de autenticación, edite la función de Lambda. Para ayudarte a satisfacer las necesidades de tu aplicación, puedes implementar una CloudFormation pila. Para obtener más información acerca de Lambda, consulte la Guía para desarrolladores de AWS Lambda o Crear funciones de Lambda con Node.js.
Temas
Plantillas de función de Lambda
Puede implementar una AWS CloudFormation pila que utilice una función Lambda para la autenticación. Proporcionamos varias plantillas que autentican y autorizan a sus usuarios mediante credenciales de inicio de sesión. Puede modificar estas plantillas o AWS Lambda códigos para personalizar aún más el acceso de los usuarios.
nota
Puede crear un AWS Transfer Family servidor compatible con FIPS AWS CloudFormation especificando una política de seguridad con FIPS en la plantilla. Las políticas de seguridad disponibles se describen en Políticas de seguridad para servidores AWS Transfer Family
Para crear una pila para utilizarla en la autenticación AWS CloudFormation
-
Abra la AWS CloudFormation consola en https://console.aws.amazon.com/cloudformation
. -
Siga las instrucciones para implementar una AWS CloudFormation pila a partir de una plantilla existente en Seleccionar una plantilla de pila en la Guía del AWS CloudFormation usuario.
-
Utilice una de las siguientes plantillas para crear una función de Lambda que se utilizará para la autenticación en Transfer Family.
-
Plantilla de pila clásica (Amazon Cognito)
Una plantilla básica para crear una AWS Lambda para usarla como proveedor de identidad personalizado en AWS Transfer Family. Se autentica con Amazon Cognito para la autenticación basada en contraseñas y las claves públicas se devuelven desde un bucket de Amazon S3 si se utiliza la autenticación basada en claves públicas. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente.
-
AWS Secrets Manager plantilla de pila
Una plantilla básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Secrets Manager como proveedor de identidad. Se autentica con una entrada AWS Secrets Manager de ese formato
aws/transfer/
. Además, el secreto debe contener los pares clave-valor de todas las propiedades de usuario devueltas a Transfer Family. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente.server-id
/username
-
Plantilla de pila Okta: plantilla
básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Okta como proveedor de identidad personalizado. -
Plantilla apilada Okta-MFA: plantilla
básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Okta, con MultiFactor Authentication, como proveedor de identidad personalizado. -
Plantilla de Azure Active Directory
: los detalles de esta pila se describen en la entrada del blog Cómo autenticarse AWS Transfer Family con Azure Active Directory y. AWS Lambda
Una vez implementada la pila, puede ver los detalles sobre ella en la pestaña Salidas de la CloudFormation consola.
Implementar una de estas pilas es la forma más sencilla de integrar un proveedor de identidades personalizado en el flujo de trabajo de Transfer Family.
-
Valores de Lambda válidos
En la siguiente tabla se describen los detalles de los valores que Transfer Family acepta para las funciones de Lambda que se utilizan para los proveedores de identidades personalizados.
Valor | Descripción | Obligatorio |
---|---|---|
|
Especifica el nombre de recurso de Amazon (ARN) del rol de IAM que controla el acceso de sus usuarios a su bucket de Amazon S3 o al sistema de archivos EFS. Las políticas asociadas a este rol determinarán el nivel de acceso que quiere ofrecer a los usuarios cuando se transfieran archivos dentro y fuera de su bucket de Amazon S3 o del sistema de archivos de Amazon EFS. El rol de IAM también debe contener una relación de confianza que permita que el servidor pueda obtener acceso a los recursos cuando atienda las solicitudes de transferencia de los usuarios. Para obtener más información sobre cómo establecer una relación de confianza, consulte Para establecer una relación de confianza. |
Obligatoria |
|
La identidad POSIX completa, incluido el ID de usuario ( |
Se requiere para el almacenamiento de respaldo de Amazon EFS |
|
Una lista de valores de clave pública de SSH que son válidos para este usuario. Una lista vacía implica que no se trata de un inicio de sesión válido. No debe devolverse durante la autenticación de la contraseña. |
Opcional |
|
Una política de sesión para el usuario, de modo que pueda usar el mismo rol de IAM en varios usuarios. Esta política reduce el ámbito de acceso del usuario a partes de su bucket de Amazon S3. |
Opcional |
|
El tipo de directorio de destino (carpeta) que quiere utilizar como directorio de inicio de los usuarios cuando inicien sesión en el servidor.
|
Opcional |
|
Los mapeos de directorio lógico que especifican qué rutas de acceso y claves de Amazon S3 deben ser visibles para el usuario y cómo desea hacerlas visibles. Deberá especificar el par |
Obligatorio si |
|
Directorio de destino de un usuario cuando inicia sesión en el servidor a través del cliente. |
Opcional |
nota
HomeDirectoryDetails
es una representación de cadenas de un mapa de JSON. Esto contrasta con PosixProfile
, que es un objeto de mapa JSON real, y PublicKeys
, que es una matriz JSON de cadenas. Consulte los ejemplos de código para ver los detalles específicos del idioma.
Ejemplo de función de Lambda
En esta sección se presentan algunos ejemplos de funciones de Lambda, tanto en Nodejs como en Python.
nota
En estos ejemplos, el usuario, el rol, el perfil POSIX, la contraseña y los detalles del directorio de inicio son todos ejemplos y deben reemplazarse por sus valores reales.
Prueba de su configuración
Tras crear el proveedor de identidad personalizado, debe probar la configuración.
Si la autenticación del usuario se realiza correctamente, la prueba devuelve una respuesta HTTP de StatusCode: 200
, una cadena vacía de Message: ""
(que, de lo contrario, contendría el motivo del error) y un campo Response
.
nota
En el ejemplo de respuesta que aparece a continuación, el campo Response
es un objeto JSON que se ha “encadenado” (convertido en una cadena JSON plana que se puede utilizar dentro de un programa) y contiene los detalles de los roles y permisos del usuario.
{ "Response":"{\"Policy\":\"{\\\"Version\\\":\\\"2012-10-17\\\",\\\"Statement\\\":[{\\\"Sid\\\":\\\"ReadAndListAllBuckets\\\",\\\"Effect\\\":\\\"Allow\\\",\\\"Action\\\":[\\\"s3:ListAllMybuckets\\\",\\\"s3:GetBucketLocation\\\",\\\"s3:ListBucket\\\",\\\"s3:GetObjectVersion\\\",\\\"s3:GetObjectVersion\\\"],\\\"Resource\\\":\\\"*\\\"}]}\",\"Role\":\"arn:aws:iam::000000000000:role/MyUserS3AccessRole\",\"HomeDirectory\":\"/\"}", "StatusCode": 200, "Message": "" }