Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation d'Amazon API Gateway pour intégrer votre fournisseur d'identité

Cette rubrique explique comment utiliser une AWS Lambda fonction pour sauvegarder une méthode API Gateway. Utilisez cette option si vous avez besoin d'une API RESTful pour intégrer votre fournisseur d'identité ou si vous souhaitez utiliser AWS WAF ses fonctionnalités de géoblocage ou de limitation de débit pour les demandes.

Dans la plupart des cas d'utilisation, la méthode recommandée pour configurer un fournisseur d'identité personnalisé consiste à utiliser leSolution de fournisseur d'identité personnalisée.

Limitations liées à l'utilisation d'une passerelle API pour intégrer votre fournisseur d'identité

Si vous avez besoin de l'un ou l'autre de ces outils, vous pouvez utiliser Lambda en tant que fournisseur d'identité, sans API Gateway. Pour en savoir plus, consultez Utilisation AWS Lambda pour intégrer votre fournisseur d'identité.

Authentification à l'aide d'une méthode API Gateway

Vous pouvez créer une méthode API Gateway à utiliser en tant que fournisseur d'identité pour Transfer Family. Cette approche vous permet de créer et de fournir des API de manière hautement sécurisée. Avec API Gateway, vous pouvez créer un point de terminaison HTTPS afin que toutes les opérations d'API entrantes soient transmises avec une sécurité accrue. Pour plus de détails sur le service API Gateway, consultez le Guide du développeur API Gateway.

API Gateway propose une méthode d'autorisation nomméeAWS_IAM, qui vous donne la même authentification basée sur Gestion des identités et des accès AWS (IAM) que celle AWS utilisée en interne. Si vous activez l'authentification avecAWS_IAM, seuls les appelants disposant d'autorisations explicites pour appeler une API peuvent accéder à la méthode API Gateway de cette API.

Pour utiliser votre méthode API Gateway en tant que fournisseur d'identité personnalisé pour Transfer Family, activez IAM pour votre méthode API Gateway. Dans le cadre de ce processus, vous fournissez un rôle IAM avec des autorisations permettant à Transfer Family d'utiliser votre passerelle.

Implémentation de votre méthode API Gateway

Pour créer un fournisseur d'identité personnalisé pour Transfer Family, votre méthode API Gateway doit implémenter une méthode unique dont le chemin de ressource est de/servers/serverId/users/username/config. Les username valeurs serverId et proviennent du chemin des ressources RESTful. Ajoutez également sourceIp et protocol en tant que paramètres de chaîne de requête URL dans la demande de méthode, comme indiqué dans l'image suivante.

Si Transfer Family tente d'authentifier le mot de passe de votre utilisateur, le service fournit un champ d'Password:en-tête. En l'absence d'Password:en-tête, Transfer Family tente une authentification par clé publique pour authentifier votre utilisateur.

Lorsque vous utilisez un fournisseur d'identité pour authentifier et autoriser les utilisateurs finaux, en plus de valider leurs informations d'identification, vous pouvez autoriser ou refuser les demandes d'accès en fonction des adresses IP des clients utilisés par vos utilisateurs finaux. Vous pouvez utiliser cette fonctionnalité pour vous assurer que les données stockées dans vos compartiments S3 ou dans votre système de fichiers Amazon EFS sont accessibles via les protocoles pris en charge uniquement à partir d'adresses IP que vous avez spécifiées comme fiables. Pour activer cette fonctionnalité, vous devez l'inclure sourceIp dans la chaîne de requête.

Si plusieurs protocoles sont activés pour votre serveur et que vous souhaitez fournir un accès en utilisant le même nom d'utilisateur sur plusieurs protocoles, vous pouvez le faire à condition que les informations d'identification spécifiques à chaque protocole aient été configurées dans votre fournisseur d'identité. Pour activer cette fonctionnalité, vous devez inclure la protocol valeur dans le chemin des ressources RESTful.

Votre méthode API Gateway doit toujours renvoyer un code d'état HTTP200. Tout autre code d'état HTTP signifie qu'une erreur s'est produite lors de l'accès à l'API.

Exemple de réponse Amazon S3

L'exemple de corps de réponse est un document JSON de la forme suivante pour Amazon S3.

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/amzn-s3-demo-bucket/path/to/home/directory"
}

L'exemple de réponse suivant montre qu'un utilisateur possède un type de répertoire personnel logique.

{
   "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3",
   "HomeDirectoryType":"LOGICAL",
   "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/amzn-s3-demo-bucket1\"}]",
   "PublicKeys":[""]
}

Exemple de réponse Amazon EFS

L'exemple de corps de réponse est un document JSON de la forme suivante pour Amazon EFS.

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

Le Role champ indique que l'authentification a été réussie. Lorsque vous effectuez une authentification par mot de passe (lorsque vous fournissez un Password: en-tête), vous n'avez pas besoin de fournir de clés publiques SSH. Si un utilisateur ne peut pas être authentifié, par exemple si le mot de passe est incorrect, votre méthode doit renvoyer une réponse non Role définie. Un objet JSON vide est un exemple d'une telle réponse.

L'exemple de réponse suivant montre un utilisateur dont le type de répertoire d'accueil est logique.

{
    "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs",
    "HomeDirectoryType": "LOGICAL",
    "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]",
    "PublicKeys":[""],
    "PosixProfile":{"Uid":65534,"Gid":65534}
}

Vous pouvez inclure des politiques utilisateur dans la fonction Lambda au format JSON. Pour plus d'informations sur la configuration des politiques utilisateur dans Transfer Family, consultezGestion des contrôles d’accès.

Fonction Lambda par défaut

Pour implémenter différentes stratégies d'authentification, modifiez la fonction Lambda utilisée par votre passerelle. Pour vous aider à répondre aux besoins de votre application, vous pouvez utiliser les exemples de fonctions Lambda suivants dans Node.js. Pour plus d'informations sur Lambda, consultez le Guide du AWS Lambda développeur ou la section Création de fonctions Lambda avec. Node.js

L'exemple de fonction Lambda suivant prend votre nom d'utilisateur, votre mot de passe (si vous effectuez une authentification par mot de passe), votre ID de serveur, votre protocole et l'adresse IP du client. Vous pouvez utiliser une combinaison de ces entrées pour rechercher votre fournisseur d'identité et déterminer si la connexion doit être acceptée.

Cet exemple de fonction renvoie les détails du rôle et du répertoire de base logique, ainsi que les clés publiques (si elle effectue une authentification par clé publique).

Lorsque vous créez des utilisateurs gérés par des services, vous définissez leur répertoire personnel, qu'il soit logique ou physique. De même, nous avons besoin des résultats de la fonction Lambda pour transmettre la structure de répertoire physique ou logique souhaitée par l'utilisateur. Les paramètres que vous définissez dépendent de la valeur du HomeDirectoryType champ.

Les exemples de fonctions sont répertoriés dansExemples de fonctions Lambda.

Fonction Lambda à utiliser avec AWS Secrets Manager

Pour l'utiliser AWS Secrets Manager comme fournisseur d'identité, vous pouvez utiliser la fonction Lambda dans l'exemple de CloudFormation modèle. La fonction Lambda interroge le service Secrets Manager à l'aide de vos informations d'identification et, en cas de succès, renvoie un secret désigné. Pour plus d’informations sur Secrets Manager, consultez le Guide de l’utilisateur AWS Secrets Manager.

Pour télécharger un exemple de CloudFormation modèle utilisant cette fonction Lambda, accédez au compartiment Amazon S3 fourni par AWS Transfer Family.

Améliorations apportées à CloudFormation modèles

Des améliorations ont été apportées à l'interface API Gateway aux CloudFormation modèles publiés. Les modèles utilisent désormais des BASE64-encoded mots de passe avec l'API Gateway. Vos déploiements existants continuent de fonctionner sans cette amélioration, mais n'autorisez pas les mots de passe contenant des caractères extérieurs au jeu de US-ASCII caractères de base.

Les modifications apportées au modèle qui permettent d'activer cette fonctionnalité sont les suivantes :

Si les lignes mises à jour ne s'affichent pas, modifiez votre pile. Pour plus de détails sur la façon de mettre à jour votre CloudFormation pile, consultez la section Modification d'un modèle de pile dans le AWS CloudFormation Guide de l'utilisateur.