Uso de directorios lógicos para simplificar las estructuras de directorios de Transfer Family

Para simplificar la estructura de directorios AWS Transfer Family del servidor, puede utilizar directorios lógicos. Con los directorios lógicos, puede crear una estructura de directorios virtuales que utilice nombres fáciles de usar por los que navegan los usuarios cuando se conectan a su bucket de Amazon S3 o al sistema de EFS archivos de Amazon. Al utilizar directorios lógicos, puede evitar revelar a sus usuarios finales las rutas de directorio absolutas, los nombres de los buckets de Amazon S3 y los nombres de los sistemas de EFS archivos.

Puede utilizar los directorios lógicos para establecer el directorio raíz del usuario en la ubicación que desee dentro de la jerarquía de almacenamiento mediante la realización de lo que se conoce como operación chroot. En este modo, los usuarios no pueden navegar a un directorio fuera del directorio de inicio o raíz que haya configurado para ellos.

Por ejemplo, aunque a un usuario de Amazon S3 se le ha limitado el acceso únicamente a /mybucket/home/${transfer:UserName}, algunos clientes permiten a los usuarios recorrer una carpeta hasta /mybucket/home. En esta situación, el usuario vuelve a acceder al directorio de inicio deseado solo después de cerrar sesión y volver a iniciar sesión en el servidor de Transfer Family. Realizar una operación chroot puede evitar que se produzca esta situación.

Puede crear su propia estructura de directorio en buckets y prefijos. Esta característica resulta útil si tiene un flujo de trabajo que espera una estructura de directorios específica que no pueda replicar mediante prefijos de bucket. También puede vincular a varias ubicaciones no contiguas dentro de Amazon S3, de forma similar a la creación de un enlace simbólico en un sistema de archivos de Linux en el que la ruta del directorio hace referencia a una ubicación diferente del sistema de archivos.

Reglas para el uso de directorios lógicos

Antes de crear las asignaciones de directorio lógico, debe comprender las siguientes reglas:

Implementar directorios lógicos y chroot

Para utilizar las características chroot y los directorios lógicos, debe hacer lo siguiente:

Active los directorios lógicos para cada usuario. Para ello, defina el parámetro HomeDirectoryType a LOGICAL cuando cree o actualice el usuario.

"HomeDirectoryType": "LOGICAL"

chroot

Para chroot, cree una estructura de directorios que consista en un único Entry y un par Target para cada usuario. La carpeta raíz es el punto Entry y Target es la ubicación del bucket o sistema de archivos a la que se realiza la asignación.

Puede utilizar una ruta absoluta, como en el ejemplo anterior, o puede usar una sustitución dinámica del nombre de usuario por ${transfer:UserName}, como en el ejemplo siguiente.

[{"Entry": "/", "Target":
"/mybucket/${transfer:UserName}"}]

En el ejemplo anterior, el usuario está bloqueado en su directorio raíz y no puede ascender en la jerarquía.

Estructura de directorio virtual

Para una estructura de directorios virtuales, puede crear varios Entry Target emparejamientos, con destinos en cualquier parte de los depósitos o sistemas de EFS archivos de S3, incluso en varios depósitos o sistemas de archivos, siempre que la asignación de IAM roles del usuario tenga permisos para acceder a ellos.

En el siguiente ejemplo de estructura virtual, cuando el usuario inicia sesión AWS SFTP, se encuentra en el directorio raíz con los subdirectorios de/pics,, y/doc. /reporting /anotherpath/subpath/financials

[
{"Entry": "/pics", "Target": "/bucket1/pics"}, 
{"Entry": "/doc", "Target": "/bucket1/anotherpath/docs"},
{"Entry": "/reporting", "Target": "/reportingbucket/Q1"},
{"Entry": "/anotherpath/subpath/financials", "Target": "/reportingbucket/financials"}]

{
   "Entry": "/pics", 
   "Target": "/mybucket/pics"
}, 
{
   "Entry": "/doc", 
   "Target": "/mybucket/mydocs"
}, 
{
   "Entry": "/temp", 
   "Target": "/mybucket"
}

sftp> pwd
Remote working directory: /
sftp> put file
Uploading file to /file
remote open("/file"): No such file or directory

Para obtener más información sobre la configuración de los directorios lógicos y chroot para sus usuarios, incluida una AWS CloudFormation plantilla que pueda descargar y usar, consulte Simplifique su AWS SFTP estructura con directorios lógicos y chroot en el AWS blog de almacenamiento.

Ejemplo de configuración de directorios lógicos

En este ejemplo, creamos un usuario y asignamos dos directorios lógicos. El siguiente comando crea un nuevo usuario (para un servidor de Transfer Family existente) con directorios lógicos pics y doc.

aws transfer create-user --user-name marymajor-logical --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role --home-directory-type LOGICAL \
 --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]" \
 --ssh-public-key-body file://~/.ssh/id_rsa.pub

Si marymajor es un usuario existente y su tipo de directorio de inicio es PATH, puede cambiarlo a LOGICAL con un comando similar al anterior.

aws transfer update-user --user-name marymajor-logical \
 --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role \
 --home-directory-type LOGICAL --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, \
 {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]"

Tenga en cuenta lo siguiente:

Configurar directorios lógicos para Amazon EFS

Si su servidor Transfer Family utiliza AmazonEFS, el directorio principal del usuario debe crearse con acceso de lectura y escritura para que el usuario pueda trabajar en su directorio principal lógico. El usuario no puede crear este directorio por sí mismo, ya que carecería de permisos para mkdir en su directorio de inicio lógico.

Si el directorio de inicio del usuario no existe y este ejecuta un comando ls, el sistema responde de la siguiente manera:

sftp> ls
remote readdir ("/"): No such file or directory

Un usuario con acceso administrativo al directorio de inicio debe crear el directorio de inicio lógico del usuario.

AWS Lambda Respuesta personalizada

Puede utilizar directorios lógicos con una función de Lambda que se conecte al proveedor de identidad personalizado. Para ello, en la función de Lambda, especifique HomeDirectoryType como LOGICAL, y añada los valores Entry y Target para el parámetro HomeDirectoryDetails. Por ejemplo:

HomeDirectoryType: "LOGICAL"
HomeDirectoryDetails: "[{\"Entry\": \"/\", \"Target\": \"/DOC-EXAMPLE-BUCKET/theRealFolder"}]"

El siguiente código es un ejemplo de una respuesta correcta de una llamada de autenticación de Lambda personalizada.

aws transfer test-identity-provider --server-id s-1234567890abcdef0 --user-name myuser
{
    "Url": "https://a1b2c3d4e5.execute-api.us-east-2.amazonaws.com/prod/servers/s-1234567890abcdef0/users/myuser/config", 
    "Message": "", 
    "Response": "{\"Role\": \"arn:aws:iam::123456789012:role/bob-usa-role\",\"HomeDirectoryType\": \"LOGICAL\",\"HomeDirectoryDetails\": \"[{\\\"Entry\\\":\\\"/myhome\\\",\\\"Target\\\":\\\"/DOC-EXAMPLE-BUCKET/theRealFolder\\\"}]\",\"PublicKeys\": \"[ssh-rsa myrsapubkey]\"}", 
    "StatusCode": 200
}