Utilizzo di directory logiche per semplificare le strutture di directory Transfer Family

Per semplificare la struttura delle directory AWS Transfer Family del server, è possibile utilizzare le directory logiche. Con le directory logiche, puoi creare una struttura di directory virtuale che utilizza nomi intuitivi che gli utenti utilizzano quando si connettono al tuo bucket Amazon S3 o al file system Amazon. EFS Quando utilizzi le directory logiche, puoi evitare di divulgare percorsi di directory assoluti, nomi di bucket Amazon S3 EFS e nomi di file system agli utenti finali.

È possibile utilizzare le directory logiche per impostare la directory principale dell'utente nella posizione desiderata all'interno della gerarchia di archiviazione, eseguendo una cosiddetta operazione. chroot In questa modalità, gli utenti non sono in grado di accedere a una directory esterna alla home o alla directory principale configurata per loro.

Ad esempio, sebbene un utente Amazon S3 sia stato limitato al solo accesso/mybucket/home/${transfer:UserName}, alcuni client consentono agli utenti di attraversare una cartella fino a. /mybucket/home In questa situazione, l'utente torna alla home directory desiderata solo dopo essersi disconnesso e aver nuovamente effettuato il login al server Transfer Family. L'esecuzione di un'chrootoperazione può impedire il verificarsi di questa situazione.

È possibile creare una struttura di directory personalizzata tra bucket e prefissi. Questa funzionalità è utile se hai un flusso di lavoro che prevede una struttura di directory specifica che non puoi replicare tramite i prefissi dei bucket. Puoi anche collegarti a più posizioni non contigue all'interno di Amazon S3, in modo simile alla creazione di un collegamento simbolico in un file system Linux in cui il percorso della directory fa riferimento a una posizione diversa nel file system.

Regole per l'utilizzo delle directory logiche

Prima di creare le mappature delle directory logiche, è necessario comprendere le seguenti regole:

Implementazione di directory logiche e chroot

Per utilizzare le directory e le chroot funzionalità logiche, è necessario effettuare le seguenti operazioni:

Attiva le directory logiche per ogni utente. A tale scopo, imposta il HomeDirectoryType parametro su LOGICAL quando crei o aggiorni l'utente.

"HomeDirectoryType": "LOGICAL"

chroot

Perchroot, crea una struttura di directory composta da una singola Entry Target combinazione per ogni utente. La cartella principale è il Entry punto e la Target posizione nel bucket o nel file system a cui mappare.

È possibile utilizzare un percorso assoluto come nell'esempio precedente oppure utilizzare una sostituzione dinamica del nome utente con${transfer:UserName}, come nell'esempio seguente.

[{"Entry": "/", "Target":
"/mybucket/${transfer:UserName}"}]

Nell'esempio precedente, l'utente è bloccato nella propria directory principale e non può spostarsi più in alto nella gerarchia.

Struttura delle directory virtuali

Per una struttura di directory virtuale, puoi creare più Entry Target abbinamenti, con destinazioni ovunque nei bucket o nei file system S3, anche su più bucket o EFS file system, purché la mappatura dei IAM ruoli dell'utente disponga delle autorizzazioni per accedervi.

Nel seguente esempio di struttura virtuale, quando l'utente accede, si trova nella directory principale con le sottodirectory di AWS SFTP,, e. /pics /doc /reporting /anotherpath/subpath/financials

[
{"Entry": "/pics", "Target": "/bucket1/pics"}, 
{"Entry": "/doc", "Target": "/bucket1/anotherpath/docs"},
{"Entry": "/reporting", "Target": "/reportingbucket/Q1"},
{"Entry": "/anotherpath/subpath/financials", "Target": "/reportingbucket/financials"}]

{
   "Entry": "/pics", 
   "Target": "/mybucket/pics"
}, 
{
   "Entry": "/doc", 
   "Target": "/mybucket/mydocs"
}, 
{
   "Entry": "/temp", 
   "Target": "/mybucket"
}

sftp> pwd
Remote working directory: /
sftp> put file
Uploading file to /file
remote open("/file"): No such file or directory

Per ulteriori informazioni sulla configurazione delle directory logiche e chroot per i vostri utenti, incluso un AWS CloudFormation modello che potete scaricare e utilizzare, vedete Simplify your AWS SFTP Structure with chroot and logical directories nel blog Storage. AWS

Esempio di configurazione delle directory logiche

In questo esempio, creiamo un utente e assegniamo due directory logiche. Il comando seguente crea un nuovo utente (per un server Transfer Family esistente) con directory logiche pics edoc.

aws transfer create-user --user-name marymajor-logical --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role --home-directory-type LOGICAL \
 --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]" \
 --ssh-public-key-body file://~/.ssh/id_rsa.pub

Se marymajor è un utente esistente e il suo tipo di home directory èPATH, puoi cambiarlo LOGICAL con un comando simile a quello precedente.

aws transfer update-user --user-name marymajor-logical \
 --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role \
 --home-directory-type LOGICAL --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, \
 {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]"

Tieni presente quanto segue:

Configura le directory logiche per Amazon EFS

Se il tuo server Transfer Family utilizza AmazonEFS, la home directory dell'utente deve essere creata con accesso in lettura e scrittura prima che l'utente possa lavorare nella sua home directory logica. L'utente non può creare questa directory da solo, poiché non avrebbe le autorizzazioni per la mkdir sua home directory logica.

Se la directory home dell'utente non esiste e l'utente esegue un ls comando, il sistema risponde come segue:

sftp> ls
remote readdir ("/"): No such file or directory

Un utente con accesso amministrativo alla directory principale deve creare la home directory logica dell'utente.

AWS Lambda Risposta personalizzata

Puoi utilizzare le directory logiche con una funzione Lambda che si connette al tuo provider di identità personalizzato. A tale scopo, nella funzione Lambda, si specificano i Target valori HomeDirectoryType as LOGICAL e add Entry and per il HomeDirectoryDetails parametro. Per esempio:

HomeDirectoryType: "LOGICAL"
HomeDirectoryDetails: "[{\"Entry\": \"/\", \"Target\": \"/DOC-EXAMPLE-BUCKET/theRealFolder"}]"

Il codice seguente è un esempio di risposta riuscita da una chiamata di autenticazione Lambda personalizzata.

aws transfer test-identity-provider --server-id s-1234567890abcdef0 --user-name myuser
{
    "Url": "https://a1b2c3d4e5.execute-api.us-east-2.amazonaws.com/prod/servers/s-1234567890abcdef0/users/myuser/config", 
    "Message": "", 
    "Response": "{\"Role\": \"arn:aws:iam::123456789012:role/bob-usa-role\",\"HomeDirectoryType\": \"LOGICAL\",\"HomeDirectoryDetails\": \"[{\\\"Entry\\\":\\\"/myhome\\\",\\\"Target\\\":\\\"/DOC-EXAMPLE-BUCKET/theRealFolder\\\"}]\",\"PublicKeys\": \"[ssh-rsa myrsapubkey]\"}", 
    "StatusCode": 200
}