View a markdown version of this page

Membuat aplikasi web Transfer Family di VPC - AWS Transfer Family
Membuat aplikasi web Transfer FamilyPost-creation langkahCross-origin Kebijakan berbagi sumber daya (CORS)Membatasi akses ke titik akhir VPC kustom

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat aplikasi web Transfer Family di VPC

Bagian ini menjelaskan prosedur untuk membuat aplikasi web Transfer Family di VPC. Anda dapat meng-host titik akhir aplikasi web Anda di dalam cloud pribadi virtual (VPC) untuk digunakan untuk mentransfer data ke dan dari bucket Amazon S3 tanpa melalui internet publik. Untuk menetapkan pengguna dan grup yang dapat menggunakan aplikasi web Anda, lihatMenetapkan atau menambahkan pengguna atau grup ke aplikasi web Transfer Family.

catatan

Untuk memastikan aliran data end-to-end pribadi saat menggunakan titik akhir VPC aplikasi web Transfer Family, Anda harus menerapkan tiga komponen tambahan. Pertama, siapkan PrivateLink titik akhir untuk operasi Amazon S3 Control API, yang diperlukan untuk panggilan API Amazon S3 Access Grants. Kedua, konfigurasikan titik akhir untuk akses data Amazon S3 menggunakan titik akhir PrivateLink Amazon S3 Gateway (untuk lalu lintas dari dalam VPC Anda) atau titik akhir Antarmuka Amazon S3 (untuk lalu lintas dari jaringan lokal melalui VPN atau Direct Connect). Ketiga, kunci akses bucket Amazon S3 Anda dengan memperbarui kebijakan bucket untuk hanya mengizinkan lalu lintas dari titik akhir VPC ini. Kombinasi ini memastikan semua transfer data tetap berada dalam infrastruktur jaringan pribadi Anda dan tidak pernah melintasi internet publik.

Membuat aplikasi web Transfer Family

Prasyarat

catatan

AWS IAM Identity Center tidak mendukung titik akhir VPC; semua permintaan otentikasi transit internet publik. Selain itu, aplikasi web Transfer Family memerlukan akses internet untuk memuat konten statis (seperti JavaScript, CSS, dan file HTML). Persyaratan untuk akses internet publik terpisah dari akses data. Titik akhir VPC Anda memastikan bahwa koneksi dirutekan melalui infrastruktur VPC Anda.

Cara membuat aplikasi web Transfer Family

  1. Masuk ke Konsol Manajemen AWS dan buka AWS Transfer Family konsol di https://console.aws.amazon.com/transfer/.

  2. Di panel navigasi kiri, pilih Aplikasi Web.

  3. Pilih Buat aplikasi web. Untuk akses otentikasi, panel diisi sebagai berikut.

    • Jika Anda telah membuat instans organisasi atau akun di AWS IAM Identity Center, maka Anda melihat pesan ini: AWS Transfer Family Aplikasi Anda terhubung ke instance akun Pusat Identitas IAM.

    • Jika Anda sudah memiliki instance akun dan merupakan anggota instans organisasi, Anda memiliki opsi untuk memilih instans mana yang akan dihubungkan.

    • Jika Anda belum memiliki instance akun, atau anggota instans organisasi, Anda akan disajikan dengan opsi untuk membuat instance akun.

  4. Di bagian Konfigurasi titik akhir, pilih cara pengguna mengakses aplikasi web Anda:

    • Akses publik: Titik akhir aplikasi web Anda dapat diakses melalui publik melalui HTTPS. Opsi ini tidak memerlukan konfigurasi VPC apa pun, sehingga mudah diatur dan cocok untuk aplikasi yang ditujukan untuk penggunaan publik yang luas.

    • VPC yang dihosting: Titik akhir aplikasi web Anda dihosting di dalam Virtual Private Cloud (VPC) Anda, menyediakan akses jaringan pribadi melalui jaringan VPC Anda AWS Direct Connect, atau koneksi VPN. Opsi ini menawarkan keamanan yang ditingkatkan melalui isolasi jaringan dan direkomendasikan untuk aplikasi internal.

      Saat mengonfigurasi titik akhir yang dihosting VPC, Anda harus menentukan:

      • VPC: Pilih VPC yang ada atau buat yang baru. Tom bol Buat VPC tersedia.

      • Jenis alamat IP: Pilih jenis alamat IP untuk titik akhir VPC Anda. Pilih IPv4 untuk IPv4-only konektivitas, atau Dual-stack untuk konektivitas IPv4 dan IPv6. Defaultnya adalah Dual-stack.

      • Zona ketersediaan: Pilih zona ketersediaan tempat titik akhir Anda akan digunakan.

      • Subnet: Pilih subnet dalam setiap zona ketersediaan yang dipilih.

      • Grup keamanan: Pilih atau buat grup keamanan untuk mengontrol akses berdasarkan alamat IP sumber. Jika tidak ditentukan, grup keamanan default VPC digunakan. Kelola grup keamanan melalui Konsol VPC. Konfigurasikan grup keamanan VPC Anda untuk mengizinkan lalu lintas masuk dari jaringan Anda melalui HTTPS pada port TCP 443. Ini diperlukan untuk otentikasi Pusat Identitas IAM dan pemuatan konten statis aplikasi web.

Post-creation langkah

Cross-origin Kebijakan berbagi sumber daya (CORS)

Anda harus mengatur berbagi sumber daya lintas asal (CORS) untuk semua bucket yang digunakan oleh aplikasi web Anda. Untuk informasi selengkapnya tentang CORS, lihat Menyiapkan berbagi Cross-origin sumber daya (CORS) untuk bucket Anda.

penting

Sebelum menggunakan kebijakan contoh berikut, ganti Asal yang Diizinkan dengan titik akhir akses Anda. Jika tidak, pengguna akhir Anda akan menerima kesalahan saat mereka mencoba mengakses lokasi di aplikasi web Anda.

Contoh kebijakan: 

[
  {
    "AllowedHeaders": [
      "*"
    ],
    "AllowedMethods": [
      "GET",
      "PUT",
      "POST",
      "DELETE",
      "HEAD"
    ],
    "AllowedOrigins": [
      "https://vpce-1234567-example.vpce-mq.transfer-webapp.us-east-1.on.aws"
    ],
    "ExposeHeaders": [
      "last-modified",
      "content-length",
      "etag",
      "x-amz-version-id",
      "content-type",
      "x-amz-request-id",
      "x-amz-id-2",
      "date",
      "x-amz-cf-id",
      "x-amz-storage-class",
      "access-control-expose-headers"
    ],
    "MaxAgeSeconds": 3000
  }
]

Membatasi akses ke titik akhir VPC kustom

Berikut ini adalah contoh kebijakan bucket Amazon S3 yang membatasi akses ke bucket tertentu, amzn-s3-demo-bucket, hanya dari titik akhir VPC dengan ID vpce-1a2b3c4d. Jika titik akhir yang ditentukan tidak digunakan, kebijakan menolak semua akses ke bucket. aws:SourceVpceKondisi menentukan titik akhir. aws:SourceVpceKondisi ini tidak memerlukan ARN untuk sumber daya titik akhir VPC, hanya ID titik akhir VPC. Untuk informasi selengkapnya tentang memperbarui kebijakan bucket agar hanya mengizinkan lalu lintas yang berasal dari VPC Anda, lihat Mengon trol akses dari titik akhir VPC dengan kebijakan bucket. Untuk informasi selengkapnya tentang menggunakan kondisi dalam kebijakan, lihat contoh kebijakan bucket menggunakan kunci kondisi. Sebagai prasyarat untuk menerapkan kebijakan ini, Anda harus membuat titik akhir VPC Amazon S3.

penting

Sebelum menggunakan kebijakan contoh berikut ini, ganti ID titik akhir VPC dengan nilai yang sesuai untuk kasus penggunaan Anda. Jika tidak, Anda tidak akan dapat mengakses bucket Anda.

{
  "Version":"2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "Access-to-specific-VPCE-only",
      "Principal": "*",
      "Action": "s3:*",
      "Effect": "Deny",
      "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}