本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立IAM角色和政策

本主題描述可與 搭配使用的政策和角色類型 AWS Transfer Family，並逐步解說建立使用者角色的程序。它還描述工作階段政策的運作方式，並提供範例使用者角色。

AWS Transfer Family 使用以下類型的角色：

除了這些角色之外，您也可以使用工作階段政策 。工作階段政策用於在必要時限制存取。請注意，這些政策是獨立的：也就是說，您不會將這些政策新增至角色。相反地，您可以將工作階段政策直接新增至 Transfer Family 使用者。

建立使用者角色

當您建立使用者時，您會針對使用者存取做出許多決策。這些決定包括使用者可以存取的 Amazon S3 儲存貯體或 Amazon EFS 檔案系統、每個 Amazon S3 儲存貯體的哪些部分，以及檔案系統中可存取哪些檔案，以及使用者擁有哪些許可 （例如 PUT或 GET）。

若要設定存取權，您可以建立身分型 AWS Identity and Access Management （IAM） 政策和角色，以提供該存取資訊。作為此程序的一部分，您可以為使用者提供 Amazon S3 儲存貯體或 Amazon EFS 檔案系統的存取權，這是檔案操作的目標或來源。若要執行此作業，請遵循下列高層級步驟，稍後會詳細進行說明：

下列程序說明如何建立IAM政策和角色。

接下來，您可以建立角色，並將新IAM政策連接至該IAM角色。

接下來，您可以在 AWS Transfer Family 和 之間建立信任關係 AWS。

您現在已建立允許 代表您 AWS Transfer Family 呼叫 AWS 服務IAM的角色。您已連接至您建立IAM的政策角色，以授予使用者存取權。在 AWS Transfer Family 伺服器端點入門區段中，此角色和政策會指派給您的使用者。

另請參閱

工作階段政策的運作方式

當管理員建立角色時，角色通常包含涵蓋多個使用案例或團隊成員的廣泛許可。如果管理員設定主控台 URL，則可以使用工作階段政策 來減少產生工作階段的許可。例如，如果您建立具有讀取/寫入存取權的角色，您可以設定 URL，限制使用者僅存取其主目錄。

當您以程式設計方式為角色或使用者建立臨時工作階段時，工作階段政策是作為 參數傳遞的進階政策。工作階段政策有助於鎖定使用者，以便他們只能存取包含其使用者名稱的物件字首的儲存貯體部分。下圖顯示工作階段政策的許可是工作階段政策與資源型政策的交集，以及工作階段政策和身分型政策的交集。

如需更多詳細資訊，請參閱 IAM 使用者指南 中的工作階段政策。

在 中 AWS Transfer Family，只有在您往返 Amazon S3 傳輸時，才支援工作階段政策。下列範例政策是工作階段政策，只會限制使用者對其home目錄的存取。注意下列事項：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::${transfer:HomeBucket}"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "${transfer:HomeFolder}/*",
                        "${transfer:HomeFolder}"
                    ]
                }
            }
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::${transfer:HomeDirectory}/*"
        }
    ]
}     

在先前的範例政策中，請注意 transfer:HomeFolder、 transfer:HomeBucket和 transfer:HomeDirectory政策參數的使用。這些參數是針對為使用者設定的 HomeDirectory 設定，如 HomeDirectory和 中所述實作API閘道方法。這些參數具有下列定義：

例如，假設為 Transfer Family 使用者設定的HomeDirectory參數為 /home/bob/amazon/stuff/。

第一個"Sid"允許使用者列出從 開始的所有目錄/home/bob/amazon/stuff/。

第二個"Sid"限制使用者對put相同路徑 的get存取/home/bob/amazon/stuff/。

讀取/寫入存取政策範例

授予對 Amazon S3 儲存貯體的讀取/寫入存取權

下列範例政策可 AWS Transfer Family 授予 Amazon S3 儲存貯體中物件的讀取/寫入存取權。

注意下列事項：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion", 
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

准許檔案系統存取 Amazon EFS 檔案系統中的檔案

下列範例政策會授予 Amazon 檔案系統中檔案的根EFS檔案系統存取權。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RootFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}

下列範例政策會授予使用者檔案系統存取 Amazon EFS 檔案系統中檔案的權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UserFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}