Crie um conector SFTP com saída VPC-based

Para criar um conector VPC_ LATTICE-enabled SFTP

1. Abra o AWS Transfer Family console em https://console.aws.amazon.com/transfer/.

2. No painel de navegação esquerdo, escolha Conectores SFTP e escolha Criar conector SFTP.

3. Na seção Configuração do conector, para o tipo de saída, escolha VPC Lattice.

   Essa opção direciona o tráfego pela sua VPC usando o Amazon VPC Lattice para acesso a recursos entre VPCs. Você pode usar essa opção para se conectar a endpoints de servidores hospedados de forma privada, rotear o tráfego por meio dos controles de segurança da sua VPC ou usar seus próprios gateways NAT e endereços IP elásticos. O endereço do servidor SFTP remoto é representado como uma configuração de recurso na sua VPC. Para obter mais informações sobre configurações de recursos, consulte Configurações de recursos para recursos de VPC no Guia do usuário do Amazon VPC Lattice.

4. Conclua a configuração do conector:

   • Para a função Access, escolha o nome de recurso da Amazon (ARN) da função AWS Identity and Access Management (IAM) a ser usada.

     • Assegure que esta função forneça acesso de leitura e gravação ao diretório principal do local do arquivo usado na solicitação do StartFileTransfer.

     • Essa função deve dar permissão para secretsmanager:GetSecretValue para acessar o segredo.

       nota

       Na política, você deve especificar o ARN do segredo. O ARN contém o nome secreto, mas acrescenta ao nome seis caracteres alfanuméricos aleatórios. Um ARN para um segredo tem o seguinte formato.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Certifique-se de que essa função contenha uma relação de confiança que permite que o conector acesse os recursos quando estiver atendendo ás solicitações de transferência dos seus usuários. Para obter informações sobre como estabelecer um relacionamento de confiança, consulte Estabelecer um relacionamento de confiança.

     {
       "Version":"2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     nota

     Para a função de acesso, o exemplo concede acesso a um único segredo. Porém, é possível usar um caractere curinga, que pode poupar trabalho se você quiser reutilizar o mesmo perfil do IAM para vários usuários e segredos. Por exemplo, a declaração de recurso a seguir concede permissões para todos os segredos que têm nomes começando com aws/transfer.

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     Você também pode armazenar segredos contendo suas credenciais de SFTP em outra Conta da AWS. Para obter detalhes sobre como ativar o acesso secreto entre contas, consulte Permissões para AWS Secrets Manager segredos para usuários em uma conta diferente.

   • Em Resource Configuration ARN, insira o ARN da VPC Lattice Resource Configuration que aponta para seu servidor SFTP:

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • (Opcional) Para a função de registro, escolha a função do IAM para o conector usar para enviar eventos para seus CloudWatch registros.

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. No painel Configuração do SFTP, forneça as seguintes informações:

   • Para credenciais do conector, escolha o nome de um segredo AWS Secrets Manager que contém a chave privada ou a senha do usuário SFTP.

   • Para chaves de host confiáveis, cole a parte pública da chave de host usada para identificar o servidor externo ou deixe em branco para configurar posteriormente usando o TestConnection comando.

     Como essa chave de host é para um conector VPC_LATTICE, remova o nome do host na chave

   • (Opcional) Em Máximo de conexões simultâneas, escolha o número de conexões simultâneas que seu conector cria com o servidor remoto (o padrão é 5).

   • (Opcional) Para estágios de versão secreta ordenada, insira uma lista ordenada de rótulos de estágios de versão do Secrets Manager. O conector tenta a autenticação usando cada estágio em ordem durante as transferências de arquivos. Se você não especificar os estágios da versão, o conector usará somenteAWSCURRENT. Por exemploAWSCURRENT, especifique AWSPREVIOUS para ativar o fallback automático durante a rotação secreta.

6. Na seção Opções de algoritmo criptográfico, escolha uma política de segurança na lista suspensa.

7. (Opcional) Na seção Tags, adicione tags como pares de valores-chave.

8. Escolha Criar conector SFTP para criar o conector VPC_ LATTICE-enabled SFTP.