配置SFTP连接器

创建SFTP连接器

1. 打开 AWS Transfer Family 控制台，网址为https://console.aws.amazon.com/transfer/。

2. 在导航窗格中，选择连接，然后选择创建连接器。

3. 选择连接SFTP器类型以创建SFTP连接器，然后选择 “下一步”。

   

4. 在连接器配置部分中，提供以下信息：

   • 对于 URL，URL为远程SFTP服务器输入。例如，URL必须将其格式化为sftp://partner-SFTP-server-urlsftp://AnyCompany.com。

     注意

     或者，您可以在中提供端口号URL。格式为 sftp://partner-SFTP-server-url:port-number。默认端口号（未指定端口时）为端口 22。

   • 对于访问角色，请选择要使用的 (ARN) 角色的 Amazon 资源名称 AWS Identity and Access Management (IAM)。

     • 确保此角色提供对 StartFileTransfer 请求中所使用文件位置父目录提供读取和写入权限。

     • 请确保此角色为 secretsmanager:GetSecretValue 提供访问密钥的权限。

       注意

       在策略中，您必须ARN为密钥指定。ARN包含机密名称，但在名称后面附加了六个随机的字母数字字符。f ARN or a secret 的格式如下。

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • 此角色还应包含一个信任关系，从而允许服务器在为用户的传输请求提供服务时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

     以下示例授予访问所需的权限 DOC-EXAMPLE-BUCKET 在 Amazon S3 中，指定的密钥存储在 Secrets Manager 中。

     {
       "Version": "2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }

     注意

     对于访问角色，该示例授予对单个密钥的访问权限。但是，你可以使用通配符，如果你想为多个用户和密钥重复使用同一个IAM角色，这样可以节省工作。例如，以下资源语句为名称以 aws/transfer 开头的所有密钥授予权限。

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     您也可以将包含您的SFTP凭据的密钥存储在另一个机密中 AWS 账户。有关启用跨账户秘密访问的详细信息，请参阅其他账户中用户的 AWS Secrets Manager 密钥权限。

   • （可选）对于 Logging IAM 角色，选择连接器用于将事件推送到 CloudWatch 日志的角色。以下示例策略列出了记录SFTP连接器事件的必要权限。

     {
         "Version": "2012-10-17",
         "Statement": [{
             "Sid": "SFTPConnectorPermissions",
             "Effect": "Allow",
             "Action": [
                 "logs:CreateLogStream",
                 "logs:DescribeLogStreams",
                 "logs:CreateLogGroup",
                 "logs:PutLogEvents"
             ],
             "Resource": [
                 "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             ]
         }]
     }

5. 在 “SFTP配置” 部分中，提供以下信息：

   • 对于 Connector 凭据，请从下拉列表中选择 AWS Secrets Manager 包含SFTP用户私钥或密码的密钥的名称。您必须创建密钥并以特定方式存储它。有关详细信息，请参阅存储密钥以便与SFTP连接器一起使用。

   • 受信任的主机密钥 - 粘贴到用于识别外部服务器的主机密钥的公共部分。您可以添加多个密钥，方法是选择“添加可信主机密钥”来添加其他密钥。您可以对SFTP服务器使用该ssh-keyscan命令来检索必要的密钥。有关 Transfer Family 支持的受信任主机密钥的格式和类型的详细信息，请参阅 SFTPConnectorConfig.

6. （可选）对于标签部分的键和值，以键/值对格式输入一个或多个标签。

7. 确认所有设置后，选择创建连接器以创建SFTP连接器。如果成功创建了连接器，则会出现一个屏幕，其中包含分配的静态 IP 地址列表和测试连接按钮。使用按钮测试新连接器的配置。