创建带出口的 SFTP 连接器 VPC-based

创建 VPC_ LATTICE-enabled SFTP 连接器

1. 在处打开 AWS Transfer Family 控制台https://console.aws.amazon.com/transfer/。

2. 在左侧导航窗格中，选择 SFTP 连接器，然后选择创建 SFTP 连接器。

3. 在连接器配置部分中，对于出口类型，选择 VPC Lat tice。

   此选项使用亚马逊 VPC Lattice 路由流量通过您的 VPC 进行跨 VPC 资源访问。您可以使用此选项连接到私有托管的服务器终端节点，通过 VPC 的安全控制措施路由流量，或者使用自己的 NAT 网关和弹性 IP 地址。远程 SFTP 服务器的地址以您的 VPC 中的资源配置表示。有关资源配置的更多信息，请参阅 Amazon VPC Lattice 用户指南中的 VPC 资源资源配置。

4. 完成连接器配置：

   • 对于访问角色，选择要使用的 (IAM) 角色的亚马逊资源名称 AWS Identity and Access Management (ARN)。

     • 确保此角色提供对 StartFileTransfer 请求中所使用文件位置父目录提供读取和写入权限。

     • 请确保此角色为 secretsmanager:GetSecretValue 提供访问密钥的权限。

       注意

       在策略中，必须为密钥指定 ARN。ARN 包含密钥名称，但在名称后面附加了六个随机的字母数字字符。密钥的 ARN 采用以下格式。

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • 此角色还应包含一个信任关系，从而允许服务器在为用户的传输请求提供服务时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

     {
       "Version":"2012-10-17",
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     注意

     对于访问角色，该示例授予对单个密钥的访问权限。但是，您可以使用通配符，如果您想为多个用户和密钥重复使用相同的 IAM 角色，这样可以节省工作量。例如，以下资源语句为名称以 aws/transfer 开头的所有密钥授予权限。

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     您也可以将包含您的 SFTP 凭据的密钥存储在另一个 AWS 账户中。有关启用跨账户私有访问的详细信息，请参阅不同账户中用户的 AWS Secrets Manager 密钥权限。

   • 对于资源配置 ARN，请输入指向您的 SFTP 服务器的 VPC 莱迪思资源配置的 ARN：

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • （可选）对于日志记录角色，为连接器选择用于将事件推送到 CloudWatch 日志的 IAM 角色。

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. 在 SFTP 配置面板中提供以下信息：

   • 在 Connector 凭据中 AWS Secrets Manager ，选择包含 SFTP 用户私钥或密码的密钥名称。

   • 对于可信主机密钥，粘贴用于识别外部服务器的主机密钥的公共部分，或留空以便稍后使用该TestConnection命令进行配置。

     由于此主机密钥用于 VPC_LATTICE 连接器，因此删除密钥中的主机名

   • （可选）对于最大并发连接数，选择您的连接器创建到远程服务器的并发连接数（默认值为 5）。

   • （可选）对于订购密钥版本阶段，输入密钥管理器版本阶段标签的有序列表。在文件传输期间，连接器尝试按顺序使用每个阶段进行身份验证。如果您未指定版本阶段，则连接器仅使用AWSCURRENT。例如，指定AWSCURRENT，AWSPREVIOUS在密钥轮换期间启用自动回退。

6. 在加密算法选项部分，从下拉列表中选择安全策略。

7. （可选）在标签部分中，将标签添加为键值对。

8. 选择创建 SFTP 连接器来创建 VPC_ LATTICE-enabled SFTP 连接器。