Configuration d'une méthode Amazon API Gateway en tant que fournisseur d'identité personnalisé

En fonction du stockage que vous utilisez, consultez la documentation suivante :

Pour créer un rôle d'utilisateur, voir Création d'un IAM rôle et d'une politique

Ouvrez la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation.

Sélectionnez Créer une pile, puis choisissez Avec de nouvelles ressources (standard).

Dans le volet Prérequis - Préparer le modèle, sélectionnez Le modèle est prêt.

Copiez ce lien, modèle de pile de base, et collez-le dans le URL champ Amazon S3.

Cliquez sur Next (Suivant).

Spécifiez les paramètres, y compris le nom de votre pile. Veillez à effectuer les opérations suivantes :

Choisissez Next, puis de nouveau Next sur la page Configurer les options de pile.

Passez en revue les détails de la pile que vous créez, puis choisissez Create stack.

Ouvrez la console API Gateway à l'adresse https://console.aws.amazon.com/apigateway/.

Choisissez le modèle API de base Transfer Custom Identity Provider généré par le AWS CloudFormation modèle.

Dans le volet Ressources, choisissez GET, puis Method Request.

Pour Actions, sélectionnez Déployer API. Pour l'étape de déploiement, choisissez prod, puis Deploy.

Une fois la méthode API Gateway déployée avec succès, consultez ses performances dans la section Stage Editor.

Ouvrez la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation.

Choisissez la pile que vous avez créée.

Sélectionnez l'onglet Ressources.

Le serveur ARN est affiché dans la colonne Physical ID de la TransferServerligne. L'ID du serveur est contenu dans leARN, par exemple, s-11112222333344445.

Ouvrez la AWS Transfer Family console à https://console.aws.amazon.com/transfer/, et sur la page Serveurs, choisissez le nouveau serveur.

L'ID du serveur correspond à l'ID affiché pour la TransferServerressource dans AWS CloudFormation.

Ouvrez la AWS Transfer Family console à l'adresse https://console.aws.amazon.com/transfer/.

Sur la page Serveurs, choisissez votre nouveau serveur, sélectionnez Actions, puis sélectionnez Test.

Entrez le texte de vos informations de connexion dans le champ Nom d'utilisateur et dans le champ Mot de passe. Il s'agit des valeurs que vous avez définies lorsque vous avez déployé la AWS CloudFormation pile.

Pour le protocole serveur, sélectionnez SFTP, et pour l'adresse IP source, entrez127.0.0.1.

Sélectionnez Tester).

Si l'authentification de l'utilisateur réussit, le test renvoie une StatusCode: 200 HTML réponse et un JSON objet contenant les détails des rôles et des autorisations de l'utilisateur. Par exemple :

{
    "Response": "{\"Role\": \"arn:aws:iam::123456789012:role/my-user-role\",\"HomeDirectory\": \"/${transfer:HomeBucket}/\"}",
    "StatusCode": 200,
    "Message": "",
    "Url": "https://1a2b3c4d5e.execute-api.us-east-2.amazonaws.com/prod/servers/s-1234abcd5678efgh0/users/myuser/config"
}

Si le test échoue, ajoutez l'une des politiques AWS gérées par API Gateway au rôle que vous utilisez pour votreAPI.

Sur un appareil Linux ou macOS, ouvrez un terminal de commande.

Entrez l'une des commandes suivantes, selon que vous utilisez un mot de passe ou une paire de clés pour l'authentification.

À l'sftp>invite, assurez-vous que vous pouvez charger (put), télécharger (get) et afficher les répertoires et les fichiers (pwdetls).

Ouvrez la console Lambda à l'adresse. https://console.aws.amazon.com/lambda/

Sélectionnez la fonction Lambda que vous avez créée précédemment. La fonction Lambda a le format suivant stack-name-GetUserConfigLambda-lambda-identifier, où stack-name est le nom de la CloudFormation pile et lambda-identifier est l'identifiant de la fonction.

Dans l'onglet Code, sélectionnez index.js pour afficher le code de la fonction.

Dans leresponse, ajoutez la ligne suivante entre Policy et HomeDirectory :

PosixProfile: {"Uid": uid-value, "Gid": gid-value},

Où le uid-value and gid-value sont des nombres entiers, supérieurs ou égaux à 0, qui représentent respectivement l'ID utilisateur et l'ID de groupe.

Par exemple, après avoir ajouté le profil Posix, le champ de réponse peut ressembler à ce qui suit :

 response = {
      Role: 'arn:aws:iam::123456789012:role/api-gateway-transfer-efs-role', // The user will be authenticated if and only if the Role field is not blank
      Policy: '', // Optional JSON blob to further restrict this user's permissions
      PosixProfile: {"Gid": 65534, "Uid": 65534},
      HomeDirectory: '/fs-fab2c234' // Not required, defaults to '/'
    };