本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置和使用SFTP连接器

连接器的目的是在您的 AWS 存储设备和合作伙伴的SFTP服务器之间建立关系。您可以将文件从 Amazon S3 发送到合作伙伴拥有的外部目的地。您也可以使用SFTP连接器从合作伙伴的SFTP服务器检索文件。

本教程说明如何设置SFTP连接器，然后在 Amazon S3 存储和SFTP服务器之间传输文件。

SFTP连接器从中检索SFTP凭据 AWS Secrets Manager 以向远程SFTP服务器进行身份验证并建立连接。连接器向远程服务器发送文件或从远程服务器检索文件，并将文件存储在 Amazon S3 中。IAM角色用于允许访问 Amazon S3 存储桶和存储在 Secrets Manager 中的证书。而且你可以登录到亚马逊 CloudWatch。

步骤 1：创建必要的支持资源

您可以使用SFTP连接器在 Amazon S3 和任何远程SFTP服务器之间复制文件。在本教程中，我们使用 AWS Transfer Family 服务器作为远程SFTP服务器。我们需要创建和配置以下资源：

创建 Amazon S3 存储桶

有关创建 Amazon S3 存储桶的完整详细信息，请参阅如何创建 S3 存储桶？ 在 Amazon 简单存储服务用户指南中。

创建具有必要权限的IAM角色

对于访问角色，创建具有以下权限的策略。

以下示例授予访问所需的权限 DOC-EXAMPLE-BUCKET 在 Amazon S3 中，指定的密钥存储在 Secrets Manager 中。

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

按如下方式替换项目：

您还必须确保此角色包含信任关系，允许连接器在处理用户的转移请求时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

创建密钥并将其存储在 AWS Secrets Manager

我们需要在 Secrets Manager 中存储一个密钥来存储你的SFTP连接器的用户凭证。您可以使用密码、SSH私钥或两者兼而有之。在本教程中，我们使用的是私钥。

在开始存储密钥的过程之前，请检索并格式化您的私钥。私钥必须与在远程SFTP服务器上为用户配置的公钥相对应。在本教程中，私钥必须对应于我们用作远程服务器的 Transfer Family SFTP 服务器上为测试用户存储的公钥。

为此，请运行以下命令：

jq -sR . path-to-private-key-file

例如，如果您的私钥文件位于中~/.ssh/sftp-testuser-privatekey，则命令如下所示。

jq -sR . ~/.ssh/sftp-testuser-privatekey

这会将正确格式的密钥（带有嵌入的换行符）输出到标准输出。将此文本复制到某个地方，因为您需要将其粘贴到以下步骤中（在步骤 6 中）。

步骤 2：创建和测试SFTP连接器

在本节中，我们将创建一个使用我们之前创建的所有资源的SFTP连接器。有关更多详细信息，请参阅配置SFTP连接器。

创建SFTP连接器后，我们建议您在尝试使用新连接器传输任何文件之前对其进行测试。

Test a connector using the console

测试SFTP连接器

1. 打开 AWS Transfer Family 控制台，网址为https://console.aws.amazon.com/transfer/。

2. 在左侧导航窗格中，选择连接器，然后选择一个连接器。

3. 从操作菜单中选择测试连接。

   

系统会返回一条消息，指示测试是通过还是失败。如果测试失败，系统会根据测试失败的原因提供错误消息。

Test a connector using the CLI

要使用测试连接器 AWS Command Line Interface，请在命令提示符下运行以下命令（替换 connector-id 使用您的实际连接器 ID）：

aws transfer test-connection --connector-id c-connector-id

如果测试成功，则返回以下几行：

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

如果测试失败，您会收到一条描述性错误消息，例如：

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

步骤 3：使用SFTP连接器发送和检索文件

为简单起见，我们假设您的 Amazon S3 存储桶中已经有文件。

首先，我们将文件从 Amazon S3 存储桶发送到远程SFTP服务器。在命令提示符下运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/s3-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

你的sftp-server-storage-east存储桶现在应该是这样的。

如果您没有按预期看到该文件，请检查您的 CloudWatch 日志。

如果成功，则日志条目如下所示：

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/s3-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

如果文件传输失败，则日志条目将包含一条指明问题的错误消息。常见的错误原因是IAM权限问题和文件路径不正确。

接下来，我们将文件从SFTP服务器检索到 Amazon S3 存储桶中。在命令提示符下运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/s3-storage-east/incoming"

如果传输成功，则您的 Amazon S3 存储桶将包含传输的文件，如下所示。

如果成功，则日志条目如下所示：

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/c-connector-id",
    "local-directory-path": "/s3-storage-east/incoming"
}

创建用作远程服务器的 Transfer Family SFTP 服务器的步骤

接下来，我们将概述创建用作本教程远程服务器的 Transfer Family SFTP 服务器的步骤。请注意以下几点：

创建一个 Transf SFTP er Family 服务器和一个用户

大多数用户不需要创建 Transfer Family SFTP SFTP 服务器和用户，因为您已经有一台包含用户的服务器，并且您可以使用此服务器来往传输文件。但是，在本教程中，为了简单起见，我们使用 Transfer Family 服务器作为远程SFTP服务器。

按照中所述创建SFTP启用了该功能的服务器的步骤创建服务器和步骤 3：添加服务托管用户添加用户。以下是我们在本教程中使用的用户详细信息：

用户和访问角色的组合

在本教程中，我们使用的是单一的组合角色。我们既为SFTP用户使用此角色，也用于访问连接器。以下示例包含此角色的详细信息，以备您要执行本教程中的任务时使用。

以下示例授予访问我们在 Amazon S3 中的两个存储桶以及存储在 Secrets Manager 中的名为aws/transfer/sftp-connector1的密钥所需的权限。在本教程中，这个角色被命名为sftp-connector-role。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east",
                "arn:aws:s3:::s3-storage-east"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east/*",
                "arn:aws:s3:::s3-storage-east/*"
            ]
        },
        {
            "Sid": "GetConnectorSecretValue",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:500655546075:secret:aws/transfer/sftp-connector1-6RandomCharacters"
        }
    ]
}

有关为 Transfer Family 创建角色的完整详细信息，请按照中的创建用户角色步骤创建角色。