翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

SFTP コネクタのセットアップと使用

コネクタの目的は、 AWS ストレージとパートナーのSFTPサーバーとの関係を確立することです。Amazon S3 からパートナーが所有する外部の宛先にファイルを送信できます。SFTP コネクタを使用して、パートナーのSFTPサーバーからファイルを取得することもできます。

このチュートリアルでは、SFTPコネクタをセットアップし、Amazon S3 ストレージとSFTPサーバー間でファイルを転送する方法について説明します。

SFTP コネクタは からSFTP認証情報を取得し AWS Secrets Manager 、リモートSFTPサーバーに認証して接続を確立します。コネクタは、リモートサーバーにファイルを送信または取得し、Amazon S3 にファイルを保存します。IAM ロールは、Amazon S3 バケットと Secrets Manager に保存されている認証情報へのアクセスを許可するために使用されます。また、Amazon にログインすることもできます CloudWatch。

ステップ 1: 必要なサポートリソースを作成する

SFTP コネクタを使用して、Amazon S3 と任意のリモートSFTPサーバー間でファイルをコピーできます。このチュートリアルでは、リモート AWS Transfer Family サーバーとしてSFTPサーバーを使用しています。次のリソースを作成して設定する必要があります。

Amazon S3 バケットを作成する

Amazon S3 バケットの作成の詳細については、「Amazon Simple Storage Service ユーザーガイド」のS3 バケットの作成方法」を参照してください。

必要なアクセス許可を持つIAMロールを作成する

アクセスロールには、次のアクセス許可を持つポリシーを作成します。

次の例では、 にアクセスするために必要なアクセス許可を付与します。DOC-EXAMPLE-BUCKET Amazon S3、および Secrets Manager に保存されている指定されたシークレット。

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

次のように項目を置き換えます。

また、このロールに、ユーザーの転送リクエストを処理するときにコネクタがリソースにアクセスできるようにする信頼関係が含まれていることを確認する必要があります。信頼関係の確立の詳細については、信頼関係を確立するには を参照してください。

シークレットを作成して保存する AWS Secrets Manager

SFTP コネクタのユーザー認証情報を保存するには、Secrets Manager にシークレットを保存する必要があります。パスワード、SSHプライベートキー、またはその両方を使用できます。チュートリアルでは、プライベートキーを使用しています。

シークレットを保存する手順を開始する前に、プライベートキーを取得してフォーマットします。プライベートキーは、リモートSFTPサーバー上のユーザー用に設定されたパブリックキーに対応する必要があります。チュートリアルでは、プライベートキーは、リモートサーバーとして使用している Transfer Family SFTPサーバーにテストユーザー用に保存されているパブリックキーに対応する必要があります。

これを行うには、次のコマンドを実行します。

jq -sR . path-to-private-key-file

例えば、プライベートキーファイルが にある場合~/.ssh/sftp-testuser-privatekey、 コマンドは次のようになります。

jq -sR . ~/.ssh/sftp-testuser-privatekey

これにより、キーが正しい形式 (改行文字が埋め込まれている) で標準出力に出力されます。このテキストは、次の手順 (ステップ 6) で貼り付ける必要があるため、どこかにコピーします。

ステップ 2: SFTP コネクタを作成してテストする

このセクションでは、前に作成したすべてのリソースを使用するSFTPコネクタを作成します。詳細については、「SFTP コネクタの設定」を参照してください。

SFTP コネクタを作成したら、新しいコネクタを使用してファイルを転送する前に、それをテストすることをお勧めします。

Test a connector using the console

SFTP コネクタをテストするには

1. で AWS Transfer Family コンソールを開きますhttps://console.aws.amazon.com/transfer/。

2. 左側のナビゲーション ウィンドウで、[コネクタ] を選択し、コネクタを選択します。

3. [アクション] メニューから[テスト接続] を選択します。

   

システムはテストが合格したかどうかを示すメッセージを返します。テストに失敗した場合、システムは失敗の理由に基づいたエラーメッセージを提供します。

Test a connector using the CLI

を使用してコネクタをテストするには AWS Command Line Interface、コマンドプロンプトで次のコマンドを実行します (置き換える connector-id 実際のコネクタ ID を使用):

aws transfer test-connection --connector-id c-connector-id

テストが成功すると、次の行が返されます。

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

テストが失敗した場合は、次のような説明的なエラーメッセージが表示されます。

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

ステップ 3: SFTP コネクタを使用してファイルを送信および取得する

簡単にするために、Amazon S3 バケットにファイルがすでにあることを前提としています。

まず、Amazon S3 バケットからリモートSFTPサーバーにファイルを送信します。コマンドプロンプトから、次のコマンドを実行します。

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/s3-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

これで、sftp-server-storage-eastバケットは次のようになります。

ファイルが期待どおりに表示されない場合は、 CloudWatch ログを確認してください。

成功すると、ログエントリは次のようになります。

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/s3-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

ファイル転送が失敗した場合、ログエントリには問題を指定するエラーメッセージが含まれます。エラーの一般的な原因は、IAMアクセス許可の問題と誤ったファイルパスです。

次に、SFTPサーバーから Amazon S3 バケットにファイルを取得します。コマンドプロンプトから、次のコマンドを実行します。

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/s3-storage-east/incoming"

転送が成功すると、Amazon S3 バケットには、ここに示すように転送されたファイルが含まれます。

成功すると、ログエントリは次のようになります。

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/c-connector-id",
    "local-directory-path": "/s3-storage-east/incoming"
}

リモートサーバーとして使用する Transfer Family SFTPサーバーを作成する手順

以下に、このチュートリアルのリモートサーバーとして機能する Transfer Family SFTPサーバーを作成する手順の概要を示します。次の点に注意してください。

Transfer Family SFTPサーバーとユーザーを作成する

ほとんどのユーザーは、既にユーザーを持つSFTPサーバーがあり、このサーバーを使用してファイルを送受信できるため、Transfer Family SFTPサーバーとユーザーを作成する必要はありません。ただし、このチュートリアルでは、簡単にするために、Transfer Family サーバーを使用してリモートSFTPサーバーとして機能します。

で説明されている手順に従ってサーバーSFTP対応サーバーを作成するを作成し、ユーザーステップ 3: サービスマネージドユーザーを追加するを追加します。チュートリアルで使用しているユーザーの詳細は次のとおりです。

ユーザーロールとアクセスロールの組み合わせ

チュートリアルでは、単一の複合ロールを使用しています。このロールは、SFTPユーザーとコネクタへのアクセスの両方に使用されます。次の例では、チュートリアルのタスクを実行する場合に備えて、このロールの詳細を示します。

次の例では、Amazon S3 の 2 つのバケットにアクセスするために必要なアクセス許可と、Secrets Manager に保存aws/transfer/sftp-connector1されている という名前のシークレットを付与します。このチュートリアルでは、このロールの名前は ですsftp-connector-role。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east",
                "arn:aws:s3:::s3-storage-east"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east/*",
                "arn:aws:s3:::s3-storage-east/*"
            ]
        },
        {
            "Sid": "GetConnectorSecretValue",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:500655546075:secret:aws/transfer/sftp-connector1-6RandomCharacters"
        }
    ]
}

Transfer Family のロールの作成の詳細については、「」で説明されている手順に従ってロールユーザーロールの作成を作成します。