Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Usare Amazon API Gateway per integrare il tuo provider di identità

Questo argomento descrive come utilizzare una AWS Lambda funzione per eseguire il backup di un metodo API Gateway. Usa questa opzione se hai bisogno di un'API RESTful per integrare il tuo provider di identità o se desideri utilizzarla AWS WAF per sfruttare le sue funzionalità di blocco geografico o di limitazione della velocità delle richieste.

Per la maggior parte dei casi d'uso, il modo consigliato per configurare un provider di identità personalizzato è utilizzare il. Soluzione personalizzata per provider di identità

Limitazioni se si utilizza un API Gateway per integrare il provider di identità

Se hai bisogno di uno di questi, puoi utilizzare Lambda come provider di identità, senza API Gateway. Per informazioni dettagliate, vedi Utilizzo AWS Lambda per integrare il tuo provider di identità.

Autenticazione tramite un metodo API Gateway

Puoi creare un metodo API Gateway da utilizzare come provider di identità per Transfer Family. Questo approccio fornisce un modo altamente sicuro per creare e fornire API. Con API Gateway, puoi creare un endpoint HTTPS in modo che tutte le operazioni API in entrata vengano trasmesse con maggiore sicurezza. Per maggiori dettagli sul servizio API Gateway, consulta la API Gateway Developer Guide.

API Gateway offre un metodo di autorizzazione denominatoAWS_IAM, che fornisce la stessa autenticazione basata su AWS Identity and Access Management (IAM) AWS utilizzata internamente. Se abiliti l'autenticazione conAWS_IAM, solo i chiamanti con autorizzazioni esplicite per chiamare un'API possono accedere al metodo API Gateway di quell'API.

Per utilizzare il metodo API Gateway come provider di identità personalizzato per Transfer Family, abilita IAM per il metodo API Gateway. Come parte di questo processo, fornisci a un ruolo IAM le autorizzazioni per consentire a Transfer Family di utilizzare il tuo gateway.

Implementazione del metodo API Gateway

Per creare un provider di identità personalizzato per Transfer Family, il metodo API Gateway deve implementare un unico metodo con un percorso di risorse pari a/servers/serverId/users/username/config. I username valori serverId e provengono dal percorso delle risorse RESTful. Inoltre, aggiungete sourceIp e protocol come parametri della stringa di query URL nella Method Request, come mostrato nell'immagine seguente.

Se Transfer Family tenta l'autenticazione tramite password per l'utente, il servizio fornisce un Password: campo di intestazione. In assenza di un'Password:intestazione, Transfer Family tenta l'autenticazione con chiave pubblica per autenticare l'utente.

Quando si utilizza un provider di identità per autenticare e autorizzare gli utenti finali, oltre a convalidare le loro credenziali, è possibile consentire o negare le richieste di accesso in base agli indirizzi IP dei client utilizzati dagli utenti finali. Puoi utilizzare questa funzionalità per assicurarti che i dati archiviati nei bucket S3 o nel tuo file system Amazon EFS siano accessibili tramite i protocolli supportati solo dagli indirizzi IP che hai specificato come attendibili. Per abilitare questa funzionalità, devi includerla sourceIp nella stringa di query.

Se hai più protocolli abilitati per il tuo server e desideri fornire l'accesso utilizzando lo stesso nome utente su più protocolli, puoi farlo purché le credenziali specifiche per ciascun protocollo siano state impostate nel tuo provider di identità. Per abilitare questa funzionalità, è necessario includere il protocol valore nel percorso delle risorse RESTful.

Il metodo API Gateway deve sempre restituire il codice 200 di stato HTTP. Qualsiasi altro codice di stato HTTP indica che si è verificato un errore durante l'accesso all'API.

Esempio di risposta Amazon S3

Il corpo della risposta di esempio è un documento JSON del seguente formato per Amazon S3.

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/amzn-s3-demo-bucket/path/to/home/directory"
}

La seguente risposta di esempio mostra che un utente ha un tipo di home directory logico.

{
   "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3",
   "HomeDirectoryType":"LOGICAL",
   "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/amzn-s3-demo-bucket1\"}]",
   "PublicKeys":[""]
}

Esempio di risposta Amazon EFS

Il corpo della risposta di esempio è un documento JSON del seguente formato per Amazon EFS.

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

Il Role campo mostra che l'autenticazione è avvenuta con successo. Quando si esegue l'autenticazione con password (quando si fornisce un'Password:intestazione), non è necessario fornire chiavi pubbliche SSH. Se un utente non può essere autenticato, ad esempio, se la password non è corretta, il metodo dovrebbe restituire una risposta senza impostazione. Role Un esempio di tale risposta è un oggetto JSON vuoto.

Il seguente esempio di risposta mostra un utente con un tipo di home directory logico.

{
    "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs",
    "HomeDirectoryType": "LOGICAL",
    "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]",
    "PublicKeys":[""],
    "PosixProfile":{"Uid":65534,"Gid":65534}
}

È possibile includere le politiche utente nella funzione Lambda in formato JSON. Per ulteriori informazioni sulla configurazione delle politiche utente in Transfer Family, vedere. Gestione dei controlli di accesso

Funzione Lambda predefinita

Per implementare diverse strategie di autenticazione, modifica la funzione Lambda utilizzata dal gateway. Per aiutarti a soddisfare le esigenze della tua applicazione, puoi utilizzare il seguente esempio di funzioni Lambda in. Node.js Per ulteriori informazioni su Lambda, consulta la AWS Lambda Developer Guide o Building Lambda functions with. Node.js

Il seguente esempio di funzione Lambda utilizza il nome utente, la password (se si esegue l'autenticazione con password), l'ID del server, il protocollo e l'indirizzo IP del client. Puoi utilizzare una combinazione di questi input per cercare il tuo provider di identità e determinare se l'accesso deve essere accettato.

Questa funzione di esempio restituisce il ruolo e i dettagli logici della home directory, insieme alle chiavi pubbliche (se esegue l'autenticazione con chiave pubblica).

Quando si creano utenti gestiti dal servizio, si imposta la loro home directory, logica o fisica. Allo stesso modo, abbiamo bisogno dei risultati della funzione Lambda per trasmettere la struttura di directory fisica o logica desiderata dall'utente. I parametri impostati dipendono dal valore del campo. HomeDirectoryType

Le funzioni di esempio sono elencate in. Esempio di funzioni Lambda

Funzione Lambda da utilizzare con AWS Secrets Manager

Per AWS Secrets Manager utilizzarla come provider di identità, puoi utilizzare la funzione Lambda nel modello di esempio CloudFormation . La funzione Lambda interroga il servizio Secrets Manager con le tue credenziali e, in caso di successo, restituisce un segreto designato. Per ulteriori informazioni su Secrets Manager, consultare la Guida per l'utente di AWS Secrets Manager.

Per scaricare un CloudFormation modello di esempio che utilizza questa funzione Lambda, accedi al bucket Amazon S3 fornito da. AWS Transfer Family

Miglioramenti al CloudFormation modelli

Sono stati apportati miglioramenti all'interfaccia API Gateway ai CloudFormation modelli pubblicati. I modelli ora utilizzano BASE64-encoded le password con l'API Gateway. Le distribuzioni esistenti continuano a funzionare senza questo miglioramento, ma non consentono password con caratteri diversi dal set di caratteri di base US-ASCII .

Le modifiche al modello che abilitano questa funzionalità sono le seguenti:

Se non vedi le righe aggiornate, modifica il tuo stack. Per dettagli su come aggiornare CloudFormation lo stack, consulta Modificare un modello di stack nella AWS CloudFormation; Guida per l'utente.