本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立 IAM 角色和政策

本主題說明可搭配使用的原則和角色類型 AWS Transfer Family，並逐步介紹建立使用者角色的程序。它也說明工作階段原則的運作方式，並提供範例使用者角色。

AWS Transfer Family 使用下列類型的角色：

除了這些角色之外，您也可以使用工作階段原則。會話策略用於在必要時限制訪問。請注意，這些原則是獨立的：也就是說，您不會將這些原則新增至角色。相反地，您可以直接將工作階段原則新增至「Transfer Family」使用者。

建立使用者角色

建立使用者時，您會做出一些關於使用者存取權的決定。這些決策包括使用者可以存取哪些 Amazon S3 儲存貯體或 Amazon EFS 檔案系統、每個 Amazon S3 儲存貯體的哪些部分以及檔案系統中的哪些檔案可以存取，以及使用者擁有的許可 (例如，PUT或GET)。

若要設定存取權，您可以建立以身分識別為基礎的 AWS Identity and Access Management (IAM) 政策和角色，以提供該存取資訊。在此程序中，您可以為使用者提供 Amazon S3 儲存貯體或 Amazon EFS 檔案系統的存取權，該系統是檔案操作的目標或來源。若要執行此作業，請遵循下列高層級步驟，稍後會詳細進行說明：

下列程序說明如何建立 IAM 政策和角色。

接下來，您會建立 IAM 角色並將新的 IAM 政策連接到它。

接下來，您在 AWS Transfer Family 和之間建立信任關係 AWS。

您現在已建立 IAM 角色， AWS Transfer Family 以便代表您呼叫 AWS 服務。您已將您建立的 IAM 政策附加至角色，以授予使用者存取權。在此開始使用 AWS Transfer Family 伺服器端點區段中，會將此角色和原則指派給您的一或多個使用者。

另請參閱

工作階段原則的運作

當管理員建立角色時，角色通常會包含涵蓋多個使用案例或專案團隊成員的廣泛權限。如果管理員設定主控台 URL，則可以使用工作階段原則來降低結果工作階段的權限。例如，如果您建立具有讀取/寫入存取權的角色，您可以設定 URL 來限制使用者只能存取其主目錄。

工作階段原則是當您以程式設計方式為角色或使用者建立暫時工作階段時，作為參數傳遞的進階原則。工作階段政策對於鎖定使用者非常有用，以便他們只能存取物件前置詞包含其使用者名稱的值區的某些部分。下圖顯示工作階段原則的權限是工作階段原則和以資源為基礎的原則的交集，以及工作階段原則和身分識別型原則的交集。

如需詳細資訊，請參閱 IAM 使用者指南中的工作階段政策。

在中 AWS Transfer Family，只有在您傳入 Amazon S3 或從 Amazon S3 傳輸時，才支援工作階段政策。下列範例原則是工作階段原則，僅限使用者存取其home目錄。注意下列事項：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::${transfer:HomeBucket}"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "${transfer:HomeFolder}/*",
                        "${transfer:HomeFolder}"
                    ]
                }
            }
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::${transfer:HomeDirectory}/*"
        }
    ]
}     

在上一個範例原則中，請注意transfer:HomeFoldertransfer:HomeBucket、和transfer:HomeDirectory原則參數的使用。這些參數是針對HomeDirectory為使用者設定的設定，如HomeDirectory和中所述實作您的 API Gateway 方法。這些參數具有下列定義：

例如，假設為「Transfer Family」使用者設定的HomeDirectory參數為/home/bob/amazon/stuff/。

第一個"Sid"允許用戶列出從開始的所有目錄/home/bob/amazon/stuff/。

第二個"Sid"限制了用戶put和get訪問相同的路徑，/home/bob/amazon/stuff/.

讀/寫存取政策範例

授與Amazon S3 儲存桶的讀取/寫入

下列範例政策 AWS Transfer Family 授與 Amazon S3 儲存貯體中物件的讀取/寫入存取權限。

注意下列事項：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion", 
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

授與檔案系統存取 Amazon EFS 檔案系統中檔案的權限

下列範例政策授與根檔案系統存取 Amazon EFS 檔案系統中檔案的權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RootFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}

下列範例政策授予使用者檔案系統存取 Amazon EFS 檔案系統中檔案的權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UserFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id"
        }
    ]
}