논리적 디렉터리를 사용하여 Transfer Family 디렉터리 구조를 단순화합니다.

AWS Transfer Family 서버 디렉터리 구조를 단순화하기 위해 논리적 디렉터리를 사용할 수 있습니다. 논리적 디렉터리를 사용하면 사용자가 Amazon S3 버킷 또는 Amazon EFS 파일 시스템에 연결할 때 탐색하는 사용자 친화적 이름을 사용하는 가상 디렉터리 구조를 구성할 수 있습니다. 논리적 디렉터리를 사용하면 최종 사용자에게 절대 디렉터리 경로, Amazon S3 버킷 이름 및 EFS 파일 시스템 이름을 공개하지 않아도 됩니다.

논리적 디렉터리를 사용하여 chroot 작업을 수행하여 스토리지 계층 내에서 사용자의 루트 디렉터리를 원하는 위치로 설정할 수 있습니다. 이 모드에서는 사용자가 구성한 홈 또는 루트 디렉터리 외부의 디렉터리를 탐색할 수 없습니다.

예를 들어 Amazon S3 사용자는 /mybucket/home/${transfer:UserName}까지만 액세스하도록 제한되었지만 일부 클라이언트는 사용자가 폴더를 /mybucket/home로 이동할 수 있도록 허용합니다. 이 경우 사용자는 Transfer Family 서버에서 로그아웃했다가 다시 로그인한 후에야 의도한 홈 디렉터리로 돌아갑니다. chroot 작업을 수행하면 이러한 상황이 발생하는 것을 방지할 수 있습니다.

버킷 및 접두사 전체에 고유한 디렉터리 구조를 만들 수 있습니다. 이 기능은 버킷 접두사를 통해 복제할 수 없는 특정 디렉터리 구조가 필요한 워크플로가 있는 경우에 유용합니다. 디렉터리 경로가 파일 시스템의 다른 위치를 참조하는 Linux 파일 시스템에 심볼릭 링크를 생성하는 것과 비슷하게 Amazon S3 내의 여러 비연속 위치에 연결할 수도 있습니다.

논리적 디렉터리 사용 규칙

논리적 디렉터리 매핑을 구축하기 전에 다음 규칙을 이해해야 합니다.

논리적 디렉터리 구현 및 chroot

논리적 디렉터리와 chroot 기능을 사용하려면 다음을 수행해야 합니다:

각 사용자에 대해 논리적 디렉터리를 활성화하세요. 사용자를 만들거나 업데이트할 때 HomeDirectoryType 파라미터를 LOGICAL로 설정하면 됩니다.

"HomeDirectoryType": "LOGICAL"

chroot

chroot의 경우, 각 사용자에 대한 단일 Entry 및 Target 쌍으로 구성된 디렉터리 구조를 만드세요. 루트 폴더는 Entry 지점이고 매핑할 버킷 또는 파일 시스템의 Target 위치입니다.

이전 예와 같이 절대 경로를 사용하거나, 다음 예와 같이 사용자 이름을 동적으로 ${transfer:UserName}로 대체할 수 있습니다.

[{"Entry": "/", "Target":
"/mybucket/${transfer:UserName}"}]

위 예에서 사용자는 루트 디렉터리에 잠겨 있어 계층 구조에서 상위 위치로 이동할 수 없습니다.

가상 디렉터리 구조

가상 디렉터리 구조의 경우 사용자의 IAM 역할 매핑에 액세스할 수 있는 권한이 있는 한 여러 버킷 또는 EFS 파일 시스템을 포함하여 S3 버킷 또는 파일 시스템의 모든 위치에 대상으로 여러 Entry Target 페어링을 생성할 수 있습니다.

다음 가상 구조 예제에서는 사용자가 에 로그인하면 AWS SFTP, , 및 하위 디렉터리가 있는 루트 디렉터리에 있습니다/pics/doc/reporting/anotherpath/subpath/financials.

[
{"Entry": "/pics", "Target": "/bucket1/pics"}, 
{"Entry": "/doc", "Target": "/bucket1/anotherpath/docs"},
{"Entry": "/reporting", "Target": "/reportingbucket/Q1"},
{"Entry": "/anotherpath/subpath/financials", "Target": "/reportingbucket/financials"}]

{
   "Entry": "/pics", 
   "Target": "/mybucket/pics"
}, 
{
   "Entry": "/doc", 
   "Target": "/mybucket/mydocs"
}, 
{
   "Entry": "/temp", 
   "Target": "/mybucket"
}

sftp> pwd
Remote working directory: /
sftp> put file
Uploading file to /file
remote open("/file"): No such file or directory

다운로드하여 사용할 수 있는 AWS CloudFormation 템플릿을 포함하여 사용자를 chroot 위한 논리적 디렉터리 구성에 대한 자세한 내용은 AWS 스토리지 블로그의 chroot 및 논리적 디렉터리를 사용하여 구조 단순화를 참조하세요 AWS SFTP.

논리적 디렉터리 구성 예

이 예에서는 사용자를 생성하고 두 개의 논리적 디렉터리를 할당합니다. 다음 명령을 실행하면 (기존 Transfer Family 서버의 경우) 논리적 디렉터리 pics 및 doc 를 사용하여 새 사용자가 만들어집니다.

aws transfer create-user --user-name marymajor-logical --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role --home-directory-type LOGICAL \
 --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]" \
 --ssh-public-key-body file://~/.ssh/id_rsa.pub

marymajor가 기존 사용자이고 홈 디렉터리 타입이 PATH인 경우 이전 사용자와 비슷한 명령을 사용하여 그것을 LOGICAL로 변경할 수 있습니다.

aws transfer update-user --user-name marymajor-logical \
 --server-id s-11112222333344445 --role arn:aws:iam::1234abcd5678:role/marymajor-role \
 --home-directory-type LOGICAL --home-directory-mappings "[{\"Entry\":\"/pics\", \"Target\":\"/DOC-EXAMPLE-BUCKET1/pics\"}, \
 {\"Entry\":\"/doc\", \"Target\":\"/DOC-EXAMPLE-BUCKET2/test/mydocs\"}]"

유념할 사항:

Amazon용 논리적 디렉터리 구성 EFS

Transfer Family 서버가 Amazon 를 사용하는 경우 사용자가 논리적 EFS홈 디렉터리에서 작업하기 전에 읽기 및 쓰기 액세스 권한으로 사용자의 홈 디렉터리를 생성해야 합니다. 사용자는 논리적 홈 디렉터리 상의 mkdir에 대한 권한이 없기 때문에 이 디렉터리를 직접 만들 수는 없습니다.

사용자의 홈 디렉터리가 존재하지 않고 사용자가 ls 명령을 실행하면 시스템은 다음과 같이 응답합니다:

sftp> ls
remote readdir ("/"): No such file or directory

상위 디렉터리에 대한 관리 액세스 권한이 있는 사용자는 사용자의 논리적 홈 디렉터리를 생성해야 합니다.

사용자 지정 AWS Lambda 응답

맞춤 ID 공급자에 연결하는 Lambda 함수와 함께 논리적 디렉터리를 사용할 수 있습니다. 이렇게 하려면 Lambda 함수에서 HomeDirectoryType를 LOGICAL(으)로 지정하고, HomeDirectoryDetails 파라미터에 Entry와(과) Target를 추가합니다. 예:

HomeDirectoryType: "LOGICAL"
HomeDirectoryDetails: "[{\"Entry\": \"/\", \"Target\": \"/DOC-EXAMPLE-BUCKET/theRealFolder"}]"

다음 코드는 맞춤 Lambda 인증 호출로부터의 응답 성공의 예입니다.

aws transfer test-identity-provider --server-id s-1234567890abcdef0 --user-name myuser
{
    "Url": "https://a1b2c3d4e5.execute-api.us-east-2.amazonaws.com/prod/servers/s-1234567890abcdef0/users/myuser/config", 
    "Message": "", 
    "Response": "{\"Role\": \"arn:aws:iam::123456789012:role/bob-usa-role\",\"HomeDirectoryType\": \"LOGICAL\",\"HomeDirectoryDetails\": \"[{\\\"Entry\\\":\\\"/myhome\\\",\\\"Target\\\":\\\"/DOC-EXAMPLE-BUCKET/theRealFolder\\\"}]\",\"PublicKeys\": \"[ssh-rsa myrsapubkey]\"}", 
    "StatusCode": 200
}