Amazon API Gateway를 사용하여 자격 증명 공급자 통합

이 주제에서는 AWS Lambda 함수를 사용하여 API Gateway 메서드를 백업하는 방법을 설명합니다. 를 사용하여 자격 증명 공급자RESTfulAPI를 통합해야 하거나 를 사용하여 지리 차단 또는 속도 제한 요청을 위한 기능을 AWS WAF 활용하려는 경우 이 옵션을 사용합니다.

API Gateway를 사용하여 자격 증명 공급자를 통합하는 경우의 제한 사항

이 중 하나가 필요한 경우 API Gateway 없이 Lambda를 자격 증명 공급자로 사용할 수 있습니다. 세부 정보는 AWS Lambda 를 사용하여 자격 증명 공급자 통합을 참조하세요.

API Gateway 메서드를 사용하여 인증

Transfer Family의 자격 증명 공급자로 사용할 API Gateway 메서드를 생성할 수 있습니다. 이 접근 방식은 를 생성하고 제공할 수 있는 매우 안전한 방법을 제공합니다APIs. API Gateway를 사용하면 HTTPS 엔드포인트를 생성하여 모든 수신 API 통화가 더 높은 보안으로 전송되도록 할 수 있습니다. API Gateway 서비스에 대한 자세한 내용은 API Gateway 개발자 안내서를 참조하세요.

API Gateway는 라는 권한 부여 방법을 제공합니다. AWS_IAM이 권한 부여 방법은 가 내부적으로 AWS 사용하는 AWS Identity and Access Management (IAM)를 기반으로 동일한 인증을 제공합니다. 를 사용하여 인증을 활성화하면 AWS_IAM를 호출할 명시적 권한이 있는 호출자만 해당 게이트웨이 API API 메서드에 연결할 API 수 있습니다.

API Gateway 메서드를 Transfer Family의 사용자 지정 자격 증명 공급자로 사용하려면 API 를 Gateway 메서드IAM에 대해 활성화합니다. 이 프로세스의 일환으로 Transfer Family가 게이트웨이를 사용할 수 있는 권한을 IAM 역할에 제공합니다.

API Gateway 메서드 구현

Transfer Family에 대한 사용자 지정 자격 증명 공급자를 생성하려면 API Gateway 메서드에서 리소스 경로가 인 단일 메서드를 구현해야 합니다/servers/serverId/users/username/config. serverId 및 username 값은 RESTful 리소스 경로에서 가져옵니다. 또한 다음 이미지와 같이 메서드 요청 에 sourceIp 및 를 URL 쿼리 문자열 파라미터protocol로 추가합니다.

Transfer Family가 사용자를 대신해 암호 인증을 시도하면, 서비스는 Password: 헤더 필드를 공급합니다. Password: 헤더가 없는 경우, Transfer Family는 퍼블릭 키 인증을 시도하여 사용자를 인증합니다.

ID 공급자를 사용하여 최종 사용자를 인증하고 권한을 부여하는 경우 자격 증명을 검증하는 것 외에도 최종 사용자가 사용하는 클라이언트의 IP 주소를 기반으로 액세스 요청을 허용하거나 거부할 수 있습니다. 이 기능을 사용하면 S3 버킷 또는 Amazon EFS 파일 시스템에 저장된 데이터에 신뢰할 수 있는 것으로 지정한 IP 주소에서만 지원되는 프로토콜을 통해 액세스할 수 있습니다. 이 기능을 활성화하려면 sourceIp를 쿼리 문자열에 포함해야 합니다.

서버에 여러 프로토콜을 사용하도록 설정한 상태에서 여러 프로토콜에서 동일한 사용자 이름을 사용하여 액세스를 제공하려는 경우 ID 공급자에 각 프로토콜별 자격 증명이 설정되어 있으면 그렇게 할 수 있습니다. 이 기능을 활성화하려면 RESTful 리소스 경로에 protocol 값을 포함해야 합니다.

API Gateway 메서드는 항상 HTTP 상태 코드 를 반환해야 합니다200. 다른 HTTP 상태 코드는 에 액세스하는 동안 오류가 발생했음을 의미합니다API.

Amazon S3 응답 예

예제 응답 본문은 Amazon S3에 대한 다음 양식의 JSON 문서입니다.

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/bucketName/path/to/home/directory"
}

"Policy":
"{
  \"Version\": \"2012-10-17\",
  \"Statement\":
     [
     {\"Condition\":
        {\"StringLike\":
            {\"s3:prefix\":
               [\"user/*\", \"user/\"]}},
     \"Resource\": \"arn:aws:s3:::bucket\",
     \"Action\": \"s3:ListBucket\",
     \"Effect\": \"Allow\",
     \"Sid\": \"ListHomeDir\"},
     {\"Resource\": \"arn:aws:s3:::*\",
        \"Action\": [\"s3:PutObject\",
        \"s3:GetObject\",
        \"s3:DeleteObjectVersion\",
        \"s3:DeleteObject\",
        \"s3:GetObjectVersion\",
        \"s3:GetObjectACL\",
        \"s3:PutObjectACL\"],
     \"Effect\": \"Allow\",
     \"Sid\": \"HomeDirObjectAccess\"}]
}"

다음 예 응답은 사용자의 홈 디렉터리 타입이 논리적임을 보여줍니다.

{
   "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3",
   "HomeDirectoryType":"LOGICAL",
   "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/MY-HOME-BUCKET\"}]",
   "PublicKeys":[""]
}

Amazon EFS 예제 응답

예제 응답 본문은 Amazon 에 대한 다음 양식의 JSON 문서입니다EFS.

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

Role 필드는 인증에 성공했음을 나타냅니다. 암호 인증을 수행할 때(Password:헤더를 제공할 때) SSH 퍼블릭 키를 제공할 필요가 없습니다. 사용자를 인증할 수 없는 경우(예: 암호가 잘못된 경우) 메서드는 Role 설정되지 않은 응답을 반환해야 합니다. 이러한 응답의 예는 빈 JSON 객체입니다.

다음 예 응답은 사용자가 논리적인 홈 디렉터리 타입을 가졌다는 것을 보여줍니다.

{
    "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs",
    "HomeDirectoryType": "LOGICAL",
    "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]",
    "PublicKeys":[""],
    "PosixProfile":{"Uid":65534,"Gid":65534}
}

Lambda 함수에 JSON 형식의 사용자 정책을 포함할 수 있습니다. Transfer Family의 사용자 정책 구성에 대한 자세한 내용은 단원을 참조하세요액세스 통제 관리.

기본 Lambda 함수

다양한 인증 전략을 구현하려면, 사용자의 게이트웨이 사용하는 Lambda 함수를 편집하세요. 애플리케이션의 요구 사항을 충족하는 데 도움이 되려면 Node.js에서 다음 예 Lambda 함수를 사용할 수 있습니다. 자세한 내용은 개발자 안내서나 AWS Lambda Node.js로 Lambda 함수 구축을 참조하세요.

다음 예 Lambda 함수는 사용자 이름, 암호 (암호 인증을 수행하는 경우), 서버 ID, 프로토콜 및 클라이언트 IP 주소를 가져옵니다. 이러한 입력을 조합하여 ID 공급자를 조회하고 로그인을 허용할지 여부를 결정할 수 있습니다.

이 예 함수는 퍼블릭 키 인증을 수행하는 경우 퍼블릭 키와 함께 역할 및 논리적 홈 디렉터리 세부 정보를 반환합니다.

서비스 관리 사용자를 생성할 때는 해당 사용자의 홈 디렉터리를 논리적 또는 물리적 디렉터리로 설정합니다. 마찬가지로 원하는 사용자의 물리적 또는 논리적 디렉터리 구조를 전달하려면 Lambda 함수 결과가 필요합니다. 설정한 파라미터는 의 값에 따라 달라집니다. HomeDirectoryType 필드.

예 함수는 예 Lambda 함수에 나열되어 있습니다.

와 함께 사용하기 위한 Lambda 함수 AWS Secrets Manager

를 자격 증명 공급자 AWS Secrets Manager 로 사용하려면 샘플 AWS CloudFormation 템플릿에서 Lambda 함수로 작업할 수 있습니다. Lambda 함수는 사용자 자격 증명으로 Secrets Manager 서비스를 쿼리하고, 성공하면 지정된 시크릿을 반환합니다. Secrets Manager 사용에 대한 자세한 내용은 AWS Secrets Manager 사용 설명서를 참조하세요.

이 Lambda 함수를 사용하는 샘플 AWS CloudFormation 템플릿을 다운로드하려면 에서 제공하는 Amazon S3 버킷으로 AWS Transfer Family 이동합니다.

AWS CloudFormation 템플릿 개선 사항

API 게이트웨이 인터페이스가 게시된 CloudFormation 템플릿에 개선되었습니다. 이제 템플릿은 API Gateway에서 BASE64인코딩된 암호를 사용합니다. 기존 배포는 이 개선 사항 없이 계속 작동하지만 기본 미국ASCII 문자 세트 외부의 문자가 있는 암호는 허용하지 않습니다.

이 기능을 활성화하는 템플릿의 변경 사항은 다음과 같습니다.

업데이트된 줄이 표시되지 않으면 스택을 편집합니다. AWS CloudFormation 스택을 업데이트하는 방법에 대한 자세한 내용은 AWS CloudFormation, 사용 설명서의 스택 템플릿 수정을 참조하세요.