本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建IAM角色和策略

本主题介绍可与之配合使用的策略和角色类型 AWS Transfer Family，并介绍创建用户角色的过程。它还描述了会话策略的工作原理，并提供了一个用户角色示例。

AWS Transfer Family 使用以下类型的角色：

除了这些角色之外，您还可以使用会话策略。会话策略用于在必要时限制访问权限。请注意，这些策略是独立的：也就是说，您不会将这些策略添加到角色中。相反，您可以直接向 Transfer Family 用户添加会话策略。

创建用户角色

在创建用户时，您会做出大量有关用户访问权限的决定。这些决定包括用户可以访问哪些 Amazon S3 存储桶或 Amazon EFS 文件系统、每个 Amazon S3 存储桶的哪些部分和文件系统中的哪些文件可以访问，以及用户拥有哪些权限（例如PUT或GET）。

要设置访问权限，您需要创建基于身份的 AWS Identity and Access Management (IAM) 策略和角色来提供该访问信息。在此过程中，您需要为用户提供对作为文件操作目标或来源的 Amazon S3 存储桶或亚马逊EFS文件系统的访问权限。为此，请执行以下简要步骤（稍后将详细介绍）：

以下过程描述了如何创建IAM策略和角色。

接下来，创建IAM角色并将新IAM策略附加到该角色上。

接下来，在 AWS Transfer Family 和之间建立信任关系 AWS。

现在，您已经创建了一个 AWS Transfer Family 允许代表您呼叫 AWS 服务的IAM角色。您向该角色附加了您为向用户授予访问权限而创建的IAM策略。在AWS Transfer Family 服务器端点入门部分中，此角色和策略将分配给您的用户或用户。

另请参阅

会话策略工作原理

管理员创建角色时，该角色通常包含涵盖多个用例或团队成员的广泛权限。如果管理员配置了控制台 URL，则他们可以使用会话策略来减少对生成的会话的权限。例如，如果您创建了一个具有读/写访问权限的角色，则可以设置一个URL限制用户只能访问其主目录的权限。

会话策略是当您以编程方式为角色或用户创建临时会话时作为参数传递的高级策略。会话策略对于锁定用户非常有用，这样他们就只能访问存储桶中包含其用户名的对象前缀的部分。下图显示了会话策略的权限是会话策略和基于资源的策略的交集，以及会话策略和基于身份策略的交集。

有关更多详细信息，请参阅《IAM用户指南》中的会话策略。

在中 AWS Transfer Family，只有当您向 Amazon S3 传输或从 Amazon S3 传输数据时，才支持会话策略。以下示例策略是一个会话策略，它仅限制用户访问其 home 目录。请注意以下几点：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::${transfer:HomeBucket}"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "${transfer:HomeFolder}/*",
                        "${transfer:HomeFolder}"
                    ]
                }
            }
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::${transfer:HomeDirectory}/*"
        }
    ]
}     

在前面的示例策略中，请注意使用transfer:HomeFolder、transfer:HomeBucket和transfer:HomeDirectory策略参数。这些参数是为用户配置的设置的，如HomeDirectory和中所述实现你的API网关方法。HomeDirectory这些参数具有以下定义：

例如，假设为 Transfer Family 用户配置的 HomeDirectory 参数是 /home/bob/amazon/stuff/。

第一个"Sid"允许用户列出从/home/bob/amazon/stuff/开始的所有目录。

第二个"Sid"限制用户对同一路径/home/bob/amazon/stuff/的put和get访问权限。

读/写访问策略示例

授予对 Amazon S3 存储桶的读取/写入访问权限

以下示例策略 AWS Transfer Family 授予对您的 Amazon S3 存储桶中对象的读/写权限。

请注意以下几点：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion", 
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

授予文件系统访问 Amazon EFS 文件系统中文件的权限

以下示例策略允许根文件系统访问您的 Amazon EFS 文件系统中的文件。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RootFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}

以下示例策略授予用户文件系统访问您的 Amazon EFS 文件系统中的文件的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UserFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}