View a markdown version of this page

Modifica la configurazione del provider di identità - AWS Transfer Family
Passaggio a un provider di identità gestito dal servizioCambiare in AWS Directory ServicePassaggio a un provider di identità personalizzatoConservazione degli utenti durante le transizioni tra provider di identitàConsiderazioni importanti sulla modifica dei provider di identità

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Modifica la configurazione del provider di identità

È possibile modificare il tipo di provider di identità del server da qualsiasi tipo a qualsiasi altro tipo. I tipi di provider di identità disponibili sono:

  • Servizio gestito: memorizza le credenziali degli utenti all'interno del servizio

  • AWS Servizio di elenco: utilizza Microsoft AD AWS gestito o AWS Directory Service per i servizi di dominio Entra ID

  • Personalizzato: utilizza la funzione Lambda o Amazon API Gateway per l'integrazione con il tuo provider di identità esistente

Quando si cambiano i tipi di provider di identità, è necessario fornire informazioni specifiche a seconda della transizione che si sta effettuando. Le sezioni seguenti descrivono le informazioni richieste per ogni tipo di modifica.

Importante

Considerazioni relative alla modifica dei provider di identità:

  • Migrazione degli utenti: quando si modificano i tipi di provider di identità, le configurazioni utente esistenti non vengono migrate automaticamente. Dovrai configurare gli utenti nel nuovo sistema di provider di identità.

  • Test: testa accuratamente la configurazione del nuovo provider di identità prima di apportare la modifica negli ambienti di produzione.

  • Autorizzazioni: assicurati che il nuovo provider di identità disponga delle autorizzazioni e dei ruoli IAM necessari configurati prima di apportare la modifica.

Passaggio a un provider di identità gestito dal servizio

Quando si passa da qualsiasi altro tipo di provider di identità a un provider gestito da servizi, è necessario:

  • Seleziona Service managed come tipo di provider di identità

  • Crea nuovi utenti direttamente in una AWS Transfer Family volta completata la modifica, poiché le configurazioni utente esistenti da altri provider di identità non verranno trasferite

Esempio: se stai passando da un provider di identità personalizzato a un provider gestito da servizi, dovrai ricreare tutti gli account utente e le relative autorizzazioni all'interno del servizio. AWS Transfer Family

Cambiare in AWS Directory Service

Quando si passa da qualsiasi altro tipo di provider di identità a AWS Directory Service, è necessario fornire:

  • Directory: selezionare una directory Microsoft AD o AWS Directory Service AWS gestita esistente per la directory Entra ID Domain Services

  • Accesso: scegli se limitare l'accesso a un gruppo specifico o consentire l'accesso a tutti gli utenti della directory

  • Ruolo di accesso: un ruolo IAM che AWS Transfer Family consente di accedere alla directory

Esempio: se stai passando da un servizio gestito a un servizio di AWS directory, devi selezionare la d-1234567890 directory esistente, scegliere di limitare l'accesso al TransferUsers gruppo e specificare il TransferDirectoryAccessRole ruolo IAM.

Passaggio a un provider di identità personalizzato

Quando passi da qualsiasi altro tipo di provider di identità a un provider di identità personalizzato, devi scegliere tra la funzione Lambda o Amazon API Gateway e fornire la configurazione richiesta:

Utilizzo della funzione Lambda

Per l'integrazione della funzione Lambda, fornisci:

  • Funzione: seleziona una funzione Lambda esistente che gestisce l'autenticazione

  • Metodo di autenticazione (per il protocollo SFTP): scegli la password, la chiave pubblica o entrambi

Esempio: se stai passando da AWS Directory Service a un provider di identità Lambda personalizzato, devi selezionare la tua TransferCustomAuth funzione e scegliere Password come metodo di autenticazione.

Per un provider di identità Lambda, puoi modificare la funzione Lambda sottostante.

Utilizzo di Amazon API Gateway

Per l'integrazione di Amazon API Gateway, fornisci:

  • URL API Gateway: l'URL di richiamo del tuo endpoint API Gateway

  • Ruolo di richiamo: un ruolo IAM che consente di richiamare l'API AWS Transfer Family Gateway

  • Metodo di autenticazione (per il protocollo SFTP): scegli la password, la chiave pubblica o entrambe

Esempio: se stai passando da un servizio gestito ad API Gateway, devi fornire l'URLhttps://abcdef123.execute-api.us-east-1.amazonaws.com/prod, specificare il ruolo TransferApiGatewayInvocationRole IAM e scegliere la chiave pubblica come metodo di autenticazione.

Per un provider di identità API Gateway, puoi aggiornare l'URL del Gateway o il ruolo di invocazione, o entrambi.

Passaggio da Amazon API Gateway alla funzione Lambda

Una transizione comune è il passaggio da Amazon API Gateway alla funzione Lambda per l'integrazione personalizzata dei provider di identità. Questa modifica consente di semplificare l'architettura mantenendo la stessa logica di autenticazione.

Considerazioni chiave per questa transizione:

  • Stessa funzione, autorizzazioni diverse: puoi utilizzare la stessa funzione Lambda sia per API Gateway che per l'integrazione diretta di Lambda, ma la politica delle risorse deve essere aggiornata.

  • Requisiti della politica delle risorse: quando si passa all'integrazione diretta con Lambda, la politica delle risorse della funzione deve concedere transfer.amazonaws.com l'autorizzazione per richiamare la funzione, oltre a. apigateway.amazonaws.com

Per apportare questa modifica

  1. Aggiorna la policy sulle risorse della tua funzione Lambda transfer.amazonaws.com per consentire l'invocazione della funzione.

  2. Nella AWS Transfer Family console, cambia il provider di identità da API Gateway a funzione Lambda.

  3. Seleziona la tua funzione Lambda esistente.

  4. Verifica la configurazione per assicurarti che l'autenticazione funzioni correttamente.

Esempio di politica delle risorse per l'integrazione diretta di Lambda:

{
   "Version":"2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Principal": {
         "Service": [
            "transfer.amazonaws.com",
            "apigateway.amazonaws.com"
         ]
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-1:123456789012:function:function-name"
   }]
}

Conservazione degli utenti durante le transizioni tra provider di identità

Quando si passa da un tipo di provider di identità all'altro, le configurazioni utente esistenti vengono mantenute in scenari specifici per consentire un rollback efficiente in caso di problemi:

  • Service-managed al provider di identità personalizzato e viceversa: se si passa da un provider di identità gestito dal servizio a un provider di identità personalizzato e poi di nuovo a un provider di identità gestito dal servizio, tutti gli utenti vengono mantenuti nell'ultima configurazione nota.

  • Servizio di directory AWS a provider di identità personalizzato e viceversa: se si passa da Servizio di directory AWS un provider di identità personalizzato e poi si torna a Servizio di directory AWS, tutte le definizioni per i gruppi di accesso delegato vengono mantenute nell'ultima configurazione nota.

Questo comportamento di conservazione consente di testare in sicurezza le configurazioni personalizzate dei provider di identità e ripristinare la configurazione precedente senza perdere le configurazioni di accesso degli utenti.

Considerazioni importanti sulla modifica dei provider di identità

  • Migrazione degli utenti: quando si modificano i tipi di provider di identità, le configurazioni utente esistenti non vengono migrate automaticamente. Dovrai configurare gli utenti nel nuovo sistema di provider di identità.

  • Test: testa accuratamente la configurazione del nuovo provider di identità prima di apportare la modifica negli ambienti di produzione.

  • Autorizzazioni: assicurati che il nuovo provider di identità disponga delle autorizzazioni e dei ruoli IAM necessari configurati prima di apportare la modifica.