配置 SFTP 连接器

若要创建 SFTP 连接器

1. 打开 AWS Transfer Family 控制台，网址为 https://console.aws.amazon.com/transfer/。

2. 在导航窗格中，选择连接，然后选择创建连接器。

3. 选择 SFTP 作为连接器类型，以创建 SFTP 连接器，然后选择“下一步”。

   

4. 在连接器配置部分中，提供以下信息：

   • 在 URL 中，输入远程 SFTP 服务器的 URL。例如 sftp://AnyCompany.com，此 URL 的格式必须为 sftp://partner-SFTP-server-url。

     注意

     （可选）您可以在 URL 中提供端口号。格式为 sftp://partner-SFTP-server-url:port-number。默认端口号（未指定端口时）为端口 22。

   • 对于访问角色，请选择要使用的 (IAM) 角色的 Amazon 资源名称 AWS Identity and Access Management (ARN)。

     • 确保此角色提供对 StartFileTransfer 请求中所使用文件位置父目录提供读取和写入权限。

     • 请确保此角色为 secretsmanager:GetSecretValue 提供访问密钥的权限。

       注意

       在策略中，您必须为密钥指定 ARN。ARN 包含机密名称，但在名称后面附加了六个随机的字母数字字符。密钥的 ARN 格式如下。

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • 此角色还应包含一个信任关系，从而允许服务器在为用户的传输请求提供服务时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

     以下示例授予访问亚马逊 S3 中的 DOC-EXAMPLE-BUCK ET 以及存储在 Secrets Manager 中的指定密钥所需的权限。

     {
       "Version": "2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }

     注意

     对于访问角色，该示例授予对单个密钥的访问权限。但是，您可以使用通配符，如果您想为多个用户和密钥重复使用相同的 IAM 角色，这样可以节省工作量。例如，以下资源语句为名称以 aws/transfer 开头的所有密钥授予权限。

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     您也可以将包含您的 SFTP 凭据的密钥存储在另一个 AWS 账户中。有关启用跨账户秘密访问的详细信息，请参阅其他账户中用户的 AWS Secrets Manager 密钥权限。

   • （可选）对于日志记录角色，选择连接器用于将事件推送到 CloudWatch 日志的 IAM 角色。以下示例策略列出了记录 SFTP 连接器事件的必要权限。

     {
         "Version": "2012-10-17",
         "Statement": [{
             "Sid": "SFTPConnectorPermissions",
             "Effect": "Allow",
             "Action": [
                 "logs:CreateLogStream",
                 "logs:DescribeLogStreams",
                 "logs:CreateLogGroup",
                 "logs:PutLogEvents"
             ],
             "Resource": [
                 "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             ]
         }]
     }

5. 在 SFTP Configuration 面板中提供以下信息：

   • 对于 Connector 凭据，从下拉列表中选择包含 SFTP 用户私钥或密码的密钥的名称。 AWS Secrets Manager 您必须创建密钥并以特定方式存储它。有关更多信息，请参阅 存储密钥以与 SFTP 连接器配合使用。

   • 对于受信任的主机密钥，请粘贴用于标识外部服务器的主机密钥的公共部分。您可以添加多个密钥，方法是选择“添加可信主机密钥”来添加其他密钥。您可以对 SFTP 服务器使用 ssh-keyscan 命令以检索必要的密钥。有关 Transfer Family 支持的受信任主机密钥的格式和类型的详细信息，请参阅 SFTPConnectorConfig。

6. 在 “加密算法选项” 部分，从 “安全策略” 字段的下拉列表中选择一个安全策略。安全策略允许您选择连接器支持的加密算法。有关可用安全策略和算法的详细信息，请参阅AWS Transfer Family SFTP 连接器的安全策略。

7. （可选）对于标签 部分的 键 和 值，以键/值对格式输入一个或多个标签。

8. 确认所有设置后，选择创建连接器以创建 SFTP 连接器。如果成功创建了连接器，则会出现一个屏幕，其中包含分配的静态 IP 地址列表和测试连接按钮。使用按钮测试新连接器的配置。