Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Création d'un connecteur SFTP avec sortie VPC-based Cette rubrique fournit des instructions détaillées pour créer des connecteurs SFTP avec connectivité VPC. LATTICE-enabled Les connecteurs VPC\_ utilisent Amazon VPC Lattice pour acheminer le trafic via votre cloud privé virtuel, permettant ainsi des connexions sécurisées à des points de terminaison privés ou utilisant vos propres passerelles NAT pour accéder à Internet. **Quand utiliser la connectivité VPC ** Utilisez la connectivité VPC pour les connecteurs SFTP dans les scénarios suivants : + **Serveurs SFTP privés ** : connectez-vous à des serveurs SFTP accessibles uniquement depuis votre VPC. + **On-premises connectivité ** : connectez-vous à des serveurs SFTP locaux via AWS Direct Connect ou des connexions AWS Site-to-Site VPN. + **Adresses IP personnalisées ** : utilisez vos propres passerelles NAT et adresses IP élastiques, y compris des scénarios BYOIP. + **Contrôles de sécurité centralisés ** : acheminez les transferts de fichiers via les ingress/egress contrôles centraux de votre organisation. ![Schéma d'architecture montrant la VPC-based sortie des connecteurs SFTP, illustrant comment Cross-VPC Resource Access permet de sécuriser les connexions via votre cloud privé virtuel.](https://docs.aws.amazon.com/fr_fr/transfer/latest/userguide/images/vpc-egress-diagram.png) ## Conditions requises pour les connecteurs VPC\_ SFTP LATTICE-enabled Avant de créer un connecteur VPC\_ LATTICE-enabled SFTP, vous devez remplir les conditions préalables suivantes : **Comment fonctionne VPC-based la connectivité ** VPC Lattice vous permet de partager en toute sécurité les ressources VPC avec d'autres services. AWS AWS Transfer Family utilise un réseau de services pour simplifier le processus de partage des ressources. Les composants clés sont les suivants : + **Passerelle de ressources ** : sert de point d'accès à votre VPC. Vous le créez dans votre VPC avec au moins deux zones de disponibilité. + **Configuration des ressources ** : contient l'adresse IP privée ou le nom DNS public du serveur SFTP auquel vous souhaitez vous connecter. Lorsque vous créez un LATTICE-enabled connecteur VPC\_, il AWS Transfer Family utilise la session d'accès direct (FAS) pour obtenir temporairement vos informations d'identification et associer votre configuration de ressources à notre réseau de service. **Étapes de configuration requises ** 1. **Infrastructure VPC ** : assurez-vous de disposer d'un VPC correctement configuré avec les sous-réseaux, les tables de routage et les groupes de sécurité nécessaires pour répondre aux exigences de connectivité de votre serveur SFTP. 1. **Passerelle de ressources ** : créez une passerelle de ressources dans votre VPC à l'aide de la commande VPC `create-resource-gateway` Lattice. La passerelle de ressources doit être associée à des sous-réseaux dans au moins deux zones de disponibilité. Pour plus d'informations, consultez la section Passerelles de [ ressources ](https://docs.aws.amazon.com/vpc-lattice/latest/ug/resource-gateway.html) dans le guide de l'*utilisateur Amazon VPC Lattice. * 1. **Configuration des ressources ** : créez une configuration de ressources qui représente le serveur SFTP cible à l'aide de la commande VPC `create-resource-configuration` Lattice. Vous pouvez spécifier l'une des options suivantes : + Une adresse IP privée pour les terminaux privés + Un nom DNS public pour les terminaux publics (les adresses IP ne sont pas prises en charge pour les terminaux publics) 1. **Informations d'authentification ** : stockez les informations d'identification de l'utilisateur SFTP AWS Secrets Manager comme décrit dans[Stockez les informations d'authentification pour les connecteurs SFTP dans Secrets Manager](sftp-connector-secret-procedure.md). **Important** La passerelle de ressources et la configuration des ressources doivent être créées dans le même AWS compte. Lorsque vous créez une configuration de ressources, vous devez d'abord disposer d'une passerelle de ressources. Pour plus d'informations sur les configurations de ressources VPC, consultez la section Configurations de [ ressources ](https://docs.aws.amazon.com/vpc-lattice/latest/ug/resource-configuration.html) dans le guide de l'*utilisateur Amazon VPC Lattice. * **Note** La connectivité VPC pour les connecteurs SFTP est disponible Régions AWS là où les ressources Amazon VPC Lattice sont disponibles. Pour plus d'informations, consultez la section FAQ [ sur VPC Lattice. ](https://aws.amazon.com/vpc/lattice/faqs/#topic-0) La prise en charge des zones de disponibilité varie selon les régions, et les passerelles de ressources nécessitent au moins deux zones de disponibilité. ## Création d'un connecteur VPC\_ SFTP LATTICE-enabled Une fois les prérequis remplis, vous pouvez créer un connecteur SFTP avec connectivité VPC à l'aide de la console de AWS gestion ou des AWS CLI kits de développement logiciel. AWS ------ #### [ Console ] **Pour créer un connecteur VPC\_ SFTP LATTICE-enabled** 1. Ouvrez la AWS Transfer Family console à l'adresse [ https://console.aws.amazon.com/transfer/](https://console.aws.amazon.com/transfer/). 1. Dans le volet de navigation de gauche, choisissez Connecteurs ** SFTP**, puis choisissez ** Créer un connecteur SFTP. ** 1. Dans la ** section Configuration du ** connecteur, pour Type de ** sortie**, choisissez ** VPC Lattice. ** Cette option achemine le trafic via votre VPC à l'aide d'Amazon VPC Lattice pour l'accès aux ressources entre VPC. Vous pouvez utiliser cette option pour vous connecter à des points de terminaison de serveurs hébergés de manière privée, acheminer le trafic via les contrôles de sécurité de votre VPC ou utiliser vos propres passerelles NAT et adresses IP Elastic. L'adresse du serveur SFTP distant est représentée sous forme de configuration de ressources dans votre VPC. Pour plus d'informations sur les configurations de ressources, consultez la section Configurations de [ ressources pour les ressources VPC ](https://docs.aws.amazon.com/vpc-lattice/latest/ug/resource-configuration.html) dans le guide de l'utilisateur Amazon VPC Lattice. 1. Terminez la configuration du connecteur : + Pour le rôle ** Access**, choisissez le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) à utiliser. + **Assurez-vous que ce rôle fournit un accès en lecture et en écriture ** au répertoire parent de l'emplacement du fichier utilisé dans la `StartFileTransfer` demande. + **Assurez-vous que ce rôle donne l'autorisation ** `secretsmanager:GetSecretValue` d'accéder au secret. **Note** Dans la politique, vous devez spécifier l'ARN du secret. L'ARN contient le nom secret, mais y ajoute six caractères alphanumériques aléatoires. L'ARN d'un secret a le format suivant. ``` arn:aws:secretsmanager:{{region}}:{{account-id}}:secret:aws/transfer/{{SecretName-6RandomCharacters}} ``` + **Assurez-vous que ce rôle contient une relation de confiance ** qui permet au connecteur d'accéder à vos ressources lors du traitement des demandes de transfert de vos utilisateurs. Pour plus de détails sur l'établissement d'une relation de confiance, consultez[Étape 1 : Établir une relation d'approbation](requirements-roles.md#establish-trust-transfer). **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowListingOfUserFolder", "Action": [ "s3:ListBucket", "s3:GetBucketLocation" ], "Effect": "Allow", "Resource": [ "arn:aws:s3:::amzn-s3-demo-bucket" ] }, { "Sid": "HomeDirObjectAccess", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:GetObject", "s3:DeleteObject", "s3:DeleteObjectVersion", "s3:GetObjectVersion", "s3:GetObjectACL", "s3:PutObjectACL" ], "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*" }, { "Sid": "GetConnectorSecretValue", "Effect": "Allow", "Action": [ "secretsmanager:GetSecretValue" ], "Resource": "arn:aws:secretsmanager:{{us-west-2}}:{{111122223333}}:secret:aws/transfer/{{SecretName-6RandomCharacters}}" } ] } ``` **Note** Pour le rôle d'accès, l'exemple accorde l'accès à un secret unique. Vous pouvez toutefois utiliser un caractère générique, ce qui peut vous permettre d'économiser du travail si vous souhaitez réutiliser le même rôle IAM pour plusieurs utilisateurs et secrets. Par exemple, l'instruction de ressource suivante accorde des autorisations pour tous les secrets dont le nom commence par`aws/transfer`. ``` "Resource": "arn:aws:secretsmanager:{{region}}:{{account-id}}:secret:aws/transfer/*" ``` Vous pouvez également stocker des secrets contenant vos informations d'identification SFTP dans un autre Compte AWS. Pour plus de détails sur l'activation de l'accès secret entre comptes, voir [ Autorisations d'accès aux AWS Secrets Manager secrets pour les utilisateurs d'un autre compte](https://docs.aws.amazon.com/secretsmanager/latest/userguide/auth-and-access_examples_cross.html). + Pour l'ARN de configuration ** des ressources**, entrez l'ARN de la configuration des ressources VPC Lattice qui pointe vers votre serveur SFTP : ``` arn:aws:vpc-lattice:{{region}}:{{account-id}}:resourceconfiguration/rcfg-{{12345678}} ``` + (Facultatif) Pour le rôle de ** journalisation**, choisissez le rôle IAM que le connecteur utilisera pour transmettre les événements à vos CloudWatch journaux. **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:CreateLogGroup", "logs:PutLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*" } ] } ``` 1. Dans la ** section Configuration ** SFTP, fournissez les informations suivantes : + Pour les informations d'identification du ** connecteur**, choisissez le nom d'un secret AWS Secrets Manager contenant la clé privée ou le mot de passe de l'utilisateur SFTP. + Pour les clés d'hôte ** fiables**, collez la partie publique de la clé d'hôte utilisée pour identifier le serveur externe, ou laissez vide pour la configurer ultérieurement à l'aide de la `TestConnection` commande. Comme cette clé d'hôte est destinée à un connecteur VPC\_LATTICE, supprimez le nom d'hôte de la clé + (Facultatif) Pour Nombre ** maximal de connexions simultanées**, choisissez le nombre de connexions simultanées que votre connecteur crée avec le serveur distant (la valeur par défaut est 5). + (Facultatif) Pour les étapes de version secrètes ** ordonnées**, entrez une liste ordonnée des libellés des étapes de version de Secrets Manager. Le connecteur tente de s'authentifier en utilisant chaque étape dans l'ordre pendant les transferts de fichiers. Si vous ne spécifiez pas d'étapes de version, le connecteur utilise uniquement`AWSCURRENT`. Par exemple, spécifiez`AWSCURRENT`, `AWSPREVIOUS` pour activer le repli automatique lors de la rotation secrète. 1. Dans la ** section Options de l'algorithme ** cryptographique, choisissez une politique ** de ** sécurité dans la liste déroulante. 1. (Facultatif) Dans la ** section ** Balises, ajoutez des balises sous forme de paires clé-valeur. 1. Choisissez ** Créer un connecteur SFTP ** pour créer le connecteur VPC\_ LATTICE-enabled SFTP. Le connecteur sera créé avec l'état `PENDING` pendant que l'association de ressources est en cours de provisionnement, ce qui prend généralement plusieurs minutes. Une fois que l'état passe à`ACTIVE`, le connecteur est prêt à être utilisé. ------ #### [ CLI ] Utilisez la commande suivante pour créer un connecteur VPC\_ LATTICE-enabled SFTP : ``` aws transfer create-connector \ --url "sftp://my.sftp.server.com:22" \ --access-role arn:aws:iam::123456789012:role/TransferConnectorRole \ --sftp-config UserSecretId=my-secret-id,TrustedHostKeys="ssh-rsa AAAAB3NzaC..." \ --egress-config VpcLattice={ResourceConfigurationArn=arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-1234567890abcdef0} \ --security-policy-name TransferSecurityPolicy-2024-01 ``` Le paramètre clé de la connectivité VPC est`--egress-config`, qui spécifie l'ARN de configuration des ressources qui définit la cible de votre serveur SFTP. ------ ## Surveillance de l'état du connecteur VPC Les LATTICE-enabled connecteurs VPC\_ ont un processus de configuration asynchrone. Après la création, surveillez l'état du connecteur : + **EN ATTENTE ** : Le connecteur est en cours de provisionnement. Le provisionnement du réseau de services est en cours, ce qui prend généralement plusieurs minutes. + **ACTIF ** : Le connecteur est prêt à être utilisé et peut transférer des fichiers. + **ERREUR ** : le connecteur n'a pas pu être provisionné. Consultez les détails de l'erreur pour obtenir des informations de dépannage. Vérifiez l'état du connecteur à l'aide de la `describe-connector` commande : ``` aws transfer describe-connector --connector-id c-1234567890abcdef0 ``` Pendant l'état PENDING, l'`test-connection`API renverra « Connecteur non disponible » jusqu'à ce que le provisionnement soit terminé. ## Limites et considérations + **Points de terminaison publics ** : lorsque vous vous connectez à des points de terminaison publics via VPC, vous devez fournir un nom DNS dans la configuration des ressources. Les adresses IP publiques ne sont pas prises en charge. + **Disponibilité régionale ** : la connectivité VPC est disponible dans certains Régions AWS pays. Cross-region le partage de ressources n'est pas pris en charge. + **Exigences relatives à la zone de disponibilité ** : les passerelles de ressources doivent être associées à des sous-réseaux dans au moins deux zones de disponibilité. Toutes les zones de disponibilité ne prennent pas en charge VPC Lattice dans toutes les régions. + **Limites de connexion ** : maximum de 350 connexions par ressource avec un délai d'inactivité de 350 secondes pour les connexions TCP. ## Considérations de coût Il n'y a pas de frais supplémentaires en AWS Transfer Family plus des frais de service réguliers. Les clients peuvent toutefois être soumis à des frais supplémentaires de la part d'Amazon VPC Lattice associés au partage de leurs ressources Amazon Virtual Private Cloud, ainsi qu'à des frais de passerelle NAT s'ils utilisent leurs propres passerelles NAT pour accéder à Internet. Pour obtenir AWS Transfer Family des informations complètes sur les prix, consultez la page de [AWS Transfer Family tarification](https://aws.amazon.com/aws-transfer-family/pricing/). ## Exemples de connectivité VPC pour les connecteurs SFTP Cette section fournit des exemples de création de connecteurs SFTP avec connectivité VPC pour différents scénarios. Avant d'utiliser ces exemples, assurez-vous d'avoir terminé la configuration de l'infrastructure VPC comme décrit dans la documentation de connectivité VPC. ### Exemple : connexion à un point de terminaison privé Cet exemple montre comment créer un connecteur SFTP qui se connecte à un serveur SFTP privé accessible uniquement depuis votre VPC. **Conditions préalables** 1. Créez une passerelle de ressources dans votre VPC : ``` aws vpc-lattice create-resource-gateway \ --name my-private-server-gateway \ --vpc-identifier vpc-1234567890abcdef0 \ --subnet-ids subnet-1234567890abcdef0 subnet-0987654321fedcba0 ``` 1. Créez une configuration de ressources pour votre serveur SFTP privé : ``` aws vpc-lattice create-resource-configuration \ --name my-private-server-config \ --resource-gateway-identifier rgw-1234567890abcdef0 \ --resource-configuration-definition ipResource={ipAddress="10.0.1.100"} \ --port-ranges 22 ``` **Création du connecteur VPC\_ LATTICE-enabled** 1. Créez le connecteur SFTP avec connectivité VPC : ``` aws transfer create-connector \ --access-role arn:aws:iam::123456789012:role/TransferConnectorRole \ --sftp-config UserSecretId=my-private-server-credentials,TrustedHostKeys="ssh-rsa AAAAB3NzaC..." \ --egress-config VpcLattice={ResourceConfigurationArn=arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-1234567890abcdef0,PortNumber=22} ``` 1. Surveillez l'état du connecteur jusqu'à ce qu'il devienne `ACTIVE` : ``` aws transfer describe-connector --connector-id c-1234567890abcdef0 ``` Le serveur SFTP distant détectera les connexions provenant de l'adresse IP de la passerelle de ressources comprise dans la plage d'adresses CIDR de votre VPC. ### Exemple : point de terminaison public via VPC Cet exemple montre comment acheminer des connexions vers un serveur SFTP public via votre VPC afin de tirer parti de contrôles de sécurité centralisés et d'utiliser vos propres adresses IP de passerelle NAT. **Conditions préalables** 1. Créez une passerelle de ressources dans votre VPC (comme exemple de point de terminaison privé). 1. Créez une configuration de ressources pour le serveur SFTP public en utilisant son nom DNS : ``` aws vpc-lattice create-resource-configuration \ --name my-public-server-config \ --resource-gateway-identifier rgw-1234567890abcdef0 \ --resource-configuration-definition dnsResource={domainName="sftp.example.com"} \ --port-ranges 22 ``` **Note** Pour les terminaux publics, vous devez utiliser un nom DNS et non une adresse IP. **Création du connecteur** + Créez le connecteur SFTP : ``` aws transfer create-connector \ --access-role arn:aws:iam::123456789012:role/TransferConnectorRole \ --sftp-config UserSecretId=my-public-server-credentials,TrustedHostKeys="ssh-rsa AAAAB3NzaC..." \ --egress-config VpcLattice={ResourceConfigurationArn=arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0987654321fedcba0,PortNumber=22} ``` Le trafic circulera du connecteur vers votre passerelle de ressources, puis via votre passerelle NAT pour atteindre le serveur SFTP public. Le serveur distant considérera l'adresse IP élastique de votre passerelle NAT comme source. ### Exemple : point de terminaison Cross-account privé Cet exemple montre comment se connecter à un serveur SFTP privé avec un autre AWS compte à l'aide du partage de ressources. **Note** Si le partage de ressources entre VPC est déjà activé via d'autres mécanismes, par exemple AWS Transit Gateway, vous n'avez pas besoin de configurer le partage de ressources décrit ici. Les mécanismes de routage existants, tels que les tables de routage de Transit Gateway, sont automatiquement utilisés par les connecteurs SFTP. Il vous suffit de créer une configuration de ressources dans le même compte que celui où vous créez le connecteur SFTP. **Compte A (fournisseur de ressources) - Partagez la configuration des ressources** 1. Créez une passerelle de ressources et une configuration de ressources dans le compte A (comme dans les exemples précédents). 1. Partagez la configuration des ressources avec le compte B à l'aide du gestionnaire d'accès aux AWS ressources : ``` aws ram create-resource-share \ --name cross-account-sftp-share \ --resource-arns arn:aws:vpc-lattice:us-east-1:111111111111:resourceconfiguration/rcfg-1234567890abcdef0 \ --principals 222222222222 ``` **Compte B (Resource Consumer) - Acceptez et utilisez le partage** 1. Acceptez l'invitation de partage de ressources : ``` aws ram accept-resource-share-invitation \ --resource-share-invitation-arn arn:aws:ram:us-east-1:111111111111:resource-share-invitation/invitation-id ``` 1. Créez le connecteur SFTP dans le compte B : ``` aws transfer create-connector \ --access-role arn:aws:iam::222222222222:role/TransferConnectorRole \ --sftp-config UserSecretId=cross-account-server-credentials,TrustedHostKeys="ssh-rsa AAAAB3NzaC..." \ --egress-config VpcLattice={ResourceConfigurationArn=arn:aws:vpc-lattice:us-east-1:111111111111:resourceconfiguration/rcfg-1234567890abcdef0,PortNumber=22} ``` Le connecteur du compte B peut désormais accéder au serveur SFTP privé du compte A via la configuration des ressources partagées. ### Scénarios courants de résolution des problèmes Voici des solutions aux problèmes courants liés à la création de connecteurs VPC\_ LATTICE-enabled  : + **Connecteur bloqué en mode EN ATTENTE ** : vérifiez que votre passerelle de ressources est ACTIVE et possède des sous-réseaux dans les zones de disponibilité prises en charge. Si le connecteur est toujours bloqué avec l'état PENDING, appelez en `UpdateConnector` utilisant les mêmes paramètres de configuration que ceux que vous avez utilisés initialement. Cela déclenche un nouvel événement d'état susceptible de résoudre le problème. + **Délais de connexion ** : vérifiez que les règles du groupe de sécurité autorisent le trafic sur le port 22 et que le routage de votre VPC est correct. + **Problèmes de résolution DNS ** : pour les terminaux publics, assurez-vous que votre VPC dispose d'une connectivité Internet via une passerelle NAT ou une passerelle Internet. + **Cross-account accès refusé ** : vérifiez que le partage de ressources est accepté et que l'ARN de configuration des ressources est correct. Si la politique d'autorisation appropriée est associée à la configuration des ressources lorsque le compte d'origine crée le partage de ressources, les autorisations suivantes sont requises : `vpc-lattice:AssociateViaAWSService``vpc-lattice:AssociateViaAWSService-EventsAndStates`,`vpc-lattice:CreateServiceNetworkResourceAssociation`,`vpc-lattice:GetResourceConfiguration`.