View a markdown version of this page

管理服务器端点的用户 - AWS Transfer Family
Amazon EFS 与 Amazon S3逻辑目录活动目录群组配额

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

管理服务器端点的用户

在以下部分中，您可以找到有关如何使用 AWS Transfer Family AWS Directory Service for Microsoft Active Directory 或自定义身份提供商添加用户的信息。

作为各个用户属性的一部分，您还可以存储该用户的安全外壳 (SSH) 公有密钥。基于密钥的身份验证需要这样做。私有密钥存储在您用户的计算机本地。当用户使用客户端发送身份验证请求到服务器时，您的服务器首先确认用户具有关联 SSH 私有密钥的访问权限。然后，服务器成功验证用户身份。

注意

要自动部署和管理拥有多个 SSH 密钥的用户，请参阅传输系列 Terraform 模块。

此外，您指定用户的主目录或登录目录，并将 AWS Identity and Access Management IAM 角色分配给用户。或者，您可以提供一个会话策略来限制用户仅访问 AmazonS3 存储桶的主目录。

重要

AWS Transfer Family 阻止长度为 1 或 2 个字符的用户名向 SFTP 服务器进行身份验证。此外，我们还屏蔽了 root 用户名。

其背后的原因是密码扫描器进行了大量的恶意登录尝试。

Amazon EFS 与 Amazon S3

每种存储选项的特点：

  • 限制访问权限：Amazon S3 支持会话策略；Amazon EFS 支持 POSIX 用户、组和辅助组 ID

  • 两者都支持 public/private 密钥

  • 两者都支持主目录

  • 两者都支持逻辑目录

    注意

    对于 Amazon S3，对逻辑目录的大部分支持都是通过 API/CLI。您可以使用控制台中的受限复选框将用户锁定至其主目录，但不能指定虚拟目录结构。

逻辑目录

如果要为用户指定逻辑目录值，则使用的参数取决于用户的类型。

  • 对于服务托管的用户，请在 HomeDirectoryMappings 中提供逻辑目录值。

  • 对于自定义身份提供商用户，请在中提供逻辑目录值HomeDirectoryDetails。

AWS Transfer Family 支持在使用 LOG HomeDirectory ICAL 时指定值 HomeDirectoryType。这适用于服务管理用户、Active Directory 访问权限和响应中提供的自定义身份提供商实现。 HomeDirectoryDetails

重要

HomeDirectory 使用 LOGICAL 指定 a 时 HomeDirectoryType，该值必须映射到您的一个逻辑目录映射。该服务会在用户创建和更新期间对此进行验证，以防止配置失效。

默认 行为

默认情况下，如果未指定，则在 LOGICAL 模式下将设置 HomeDirectory 为 “/”。此行为保持不变，并与现有用户定义兼容。

自定义身份提供商注意事项

使用自定义身份提供商时，现在可以在使用 LOGICA HomeDirectory L 时在响应中指定 HomeDirectoryType。当自定义 IDP HomeDirectory 在逻辑模式下指定时， TestIdentityProvider API 调用将生成正确的结果。

带有 HomeDirectory 和 LOGICAL 的自定义 IDP 响应示例： HomeDirectoryType

{
  "Role": "arn:aws:iam::123456789012:role/transfer-user-role",
  "HomeDirectoryType": "LOGICAL",
  "HomeDirectory": "/marketing",
  "HomeDirectoryDetails": "[{\"Entry\":\"/\",\"Target\":\"/bucket/home\"},{\"Entry\":\"/marketing\",\"Target\":\"/marketing-bucket/campaigns\"}]"
}

活动目录群组配额

AWS Transfer Family 每台服务器的默认限制为 100 个活动目录组。如果您的用例需要超过 100 个群组，请考虑使用自定义身份提供商简化 Active Directory 身份验证中所述的自定义身份提供商解决方案 AWS Transfer Family。

此限制适用于使用以下身份提供商的服务器：

  • AWS 微软活动目录的目录服务

  • AWS Entra ID 域服务的目录服务

如果您需要申请提高服务限额，请参阅中的AWS 服务 配额AWS 一般参考。如果您的用例需要超过 100 个群组，请考虑使用自定义身份提供商简化 Active Directory 身份验证中所述的自定义身份提供商解决方案 AWS Transfer Family。

有关与 Active Directory 组限制相关的故障排除信息，请参阅已超出活动目录组限制。

主题