Crea un connettore SFTP con uscita gestita dal servizio

Per creare un connettore SFTP

1. Apri la AWS Transfer Family console all'indirizzo. https://console.aws.amazon.com/transfer/

2. Nel riquadro di navigazione a sinistra, scegli Connettori SFTP, quindi scegli Crea connettore SFTP.

3. Nella sezione Configurazione del connettore, per il tipo di uscita, scegli Service managed. Questa opzione utilizza un'infrastruttura di uscita AWS Transfer Family gestita. Il servizio Transfer Family fornisce e gestisce indirizzi IP statici per ciascun connettore SFTP.

4. Nella sezione di configurazione del connettore, fornisci le seguenti informazioni:

   

   • Per l'URL, inserisci l'URL di un server SFTP remoto. Questo URL deve essere formattato comesftp://partner-SFTP-server-url, ad esempio. sftp://AnyCompany.com

     Nota

     Facoltativamente, puoi fornire un numero di porta nel tuo URL. Il formato è sftp://partner-SFTP-server-url:port-number. Il numero di porta predefinito (quando non è specificata alcuna porta) è la porta 22.

   • Per il ruolo Access, scegli l'Amazon Resource Name (ARN) del ruolo AWS Identity and Access Management (IAM) da utilizzare.

     • Assicurati che questo ruolo fornisca l'accesso in lettura e scrittura alla directory principale della posizione del file utilizzata nella StartFileTransfer richiesta.

     • Assicurati che questo ruolo fornisca l'autorizzazione secretsmanager:GetSecretValue per accedere al segreto.

       Nota

       Nella policy, è necessario specificare l'ARN del segreto. L'ARN contiene il nome segreto, ma aggiunge al nome sei caratteri alfanumerici casuali. L'ARN per un segreto ha il seguente formato.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Assicurati che questo ruolo contenga una relazione di fiducia che consenta al connettore di accedere alle tue risorse durante la gestione delle richieste di trasferimento degli utenti. Per informazioni dettagliate sull'instaurazione di una relazione di fiducia, vedere. Per stabilire una relazione di trust

     {
       "Version":"2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     Nota

     Per il ruolo di accesso, l'esempio concede l'accesso a un singolo segreto. Tuttavia, puoi utilizzare un carattere jolly, che può far risparmiare lavoro se desideri riutilizzare lo stesso ruolo IAM per più utenti e segreti. Ad esempio, la seguente dichiarazione di risorsa concede le autorizzazioni per tutti i segreti i cui nomi iniziano con. aws/transfer

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     Puoi anche archiviare i segreti contenenti le tue credenziali SFTP in un altro. Account AWS Per informazioni dettagliate sull'abilitazione dell'accesso segreto tra più account, consulta Autorizzazioni ai AWS Secrets Manager segreti per gli utenti di un altro account.

5. Completa la configurazione del connettore:

   • (Facoltativo) Per il ruolo di registrazione, scegli il ruolo IAM del connettore da utilizzare per inviare eventi ai tuoi CloudWatch log. La seguente politica di esempio elenca le autorizzazioni necessarie per registrare gli eventi per i connettori SFTP.

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

6. Nella sezione Configurazione SFTP, fornisci le seguenti informazioni:

   

   • Per le credenziali del connettore, dall'elenco a discesa, scegli il nome di un segreto AWS Secrets Manager che contiene la chiave privata o la password dell'utente SFTP. È necessario creare un segreto e memorizzarlo in un modo specifico. Per informazioni dettagliate, vedi Memorizza le credenziali di autenticazione per i connettori SFTP in Secrets Manager.

   • (Facoltativo) È possibile creare il connettore lasciando il TrustedHostKeys parametro vuoto. Tuttavia, il connettore non sarà in grado di trasferire file con il server remoto finché non si fornisce questo parametro nella configurazione del connettore. È possibile immettere le chiavi host attendibili al momento della creazione del connettore o aggiornare il connettore in un secondo momento utilizzando le informazioni sulla chiave host restituite dall'azione della TestConnection console o dal comando API. In altre parole, per la casella di testo Trusted host keys, puoi effettuare una delle seguenti operazioni:

     • Fornisci le chiavi Trusted Host Key al momento della creazione del connettore. Incolla la parte pubblica della chiave host utilizzata per identificare il server esterno. Puoi aggiungere più di una chiave, scegliendo Aggiungi chiave host attendibile per aggiungere una chiave aggiuntiva. È possibile utilizzare il ssh-keyscan comando sul server SFTP per recuperare la chiave necessaria. Per dettagli sul formato e sul tipo di chiavi host affidabili supportate da Transfer Family, vedere. SFTPConnectorConfig

     • Lascia vuota la casella di testo Trusted Host Keys (s) quando crei il connettore e aggiorna il connettore in un secondo momento con queste informazioni. Se non disponi delle informazioni sulla chiave host al momento della creazione del connettore, puoi lasciare questo parametro vuoto per ora e procedere con la creazione del connettore. Dopo aver creato il connettore, utilizzate l'ID del nuovo connettore per eseguire il TestConnection comando, nella AWS CLI o dalla pagina dei dettagli del connettore. In caso di successo, TestConnection restituirà le informazioni necessarie sulla chiave host. È quindi possibile modificare il connettore utilizzando la console (o eseguendo il UpdateConnector AWS CLI comando) e aggiungere le informazioni sulla chiave host restituite al momento dell'esecuzioneTestConnection.

     Importante

     Se recuperate la chiave host del server remoto eseguendo l'esecuzioneTestConnection, assicuratevi di eseguire una convalida fuori banda sulla chiave restituita.

     Dovete accettare la nuova chiave come attendibile o verificare l'impronta digitale presentata con un'impronta digitale precedentemente nota che avete ricevuto dal proprietario del server SFTP remoto a cui vi state connettendo.

   • (Facoltativo) Per il numero massimo di connessioni simultanee, dall'elenco a discesa, scegli il numero di connessioni simultanee che il connettore crea al server remoto. La selezione predefinita sulla console è 5.

     Questa impostazione specifica il numero di connessioni attive che il connettore può stabilire con il server remoto contemporaneamente. La creazione di connessioni simultanee può migliorare le prestazioni del connettore abilitando operazioni parallele.

   • (Facoltativo) Per le fasi della versione segreta ordinate, inserite un elenco ordinato di etichette delle fasi di versione di Secrets Manager. Il connettore tenta l'autenticazione utilizzando ogni fase in ordine durante i trasferimenti di file. Se non si specificano le fasi della versione, il connettore utilizza solo le fasiAWSCURRENT. Ad esempio, specificateAWSCURRENT, AWSPREVIOUS per abilitare il fallback automatico durante la rotazione segreta.

7. Nella sezione Opzioni dell'algoritmo crittografico, scegli una politica di sicurezza dall'elenco a discesa nel campo Politica di sicurezza. La politica di sicurezza consente di selezionare gli algoritmi crittografici supportati dal connettore. Per informazioni dettagliate sulle politiche e sugli algoritmi di sicurezza disponibili, vedere. Politiche di sicurezza per AWS Transfer Family Connettori SFTP

8. (Facoltativo) Nella sezione Tag, per Chiave e Valore, inserisci uno o più tag come coppie chiave-valore.

9. Dopo aver confermato tutte le impostazioni, scegli Crea connettore SFTP per creare il connettore SFTP. Se il connettore viene creato correttamente, viene visualizzata una schermata con un elenco degli indirizzi IP statici assegnati e un pulsante Verifica connessione. Utilizzate il pulsante per verificare la configurazione del nuovo connettore.