本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定和使用SFTP連接器

連接器的目的是在 AWS 儲存體與合作夥伴的SFTP伺服器之間建立關係。您可以將檔案從 Amazon S3 傳送至外部的合作夥伴擁有目的地。您也可以使用SFTP連接器從合作夥伴的SFTP伺服器擷取檔案。

本教學課程說明如何設定SFTP連接器，然後在 Amazon S3 儲存體和SFTP伺服器之間傳輸檔案。

SFTP 連接器會從 擷取SFTP憑證 AWS Secrets Manager ，以向遠端SFTP伺服器進行身分驗證並建立連線。連接器會將檔案傳送至遠端伺服器或從遠端伺服器擷取檔案，並將檔案存放在 Amazon S3 中。IAM 角色用於允許存取 Amazon S3 儲存貯體和儲存在 Secrets Manager 中的憑證。您也可以登入 Amazon CloudWatch。

步驟 1：建立必要的支援資源

您可以使用SFTP連接器在 Amazon S3 和任何遠端SFTP伺服器之間複製檔案。在此教學課程中，我們使用 AWS Transfer Family 伺服器作為遠端SFTP伺服器。我們需要建立和設定下列資源：

建立 Amazon S3 儲存貯體

如需建立 Amazon S3 儲存貯體的完整詳細資訊，請參閱 Amazon Simple Storage Service 使用者指南 中的如何建立 S3 儲存貯體？。

建立具有必要許可IAM的角色

針對存取角色，建立具有下列許可的政策。

下列範例授予必要許可，以存取 DOC-EXAMPLE-BUCKET 在 Amazon S3 中，以及存放在 Secrets Manager 中的指定秘密。

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

依下列方式取代項目：

您還必須確保此角色包含信任關係，允許連接器在服務使用者的傳輸請求時存取您的資源。如需建立信任關係的詳細資訊，請參閱 建立信任關係。

在 中建立和存放秘密 AWS Secrets Manager

我們需要在 Secrets Manager 中存放秘密，才能儲存SFTP連接器的使用者憑證。您可以使用密碼、SSH私有金鑰或兩者。針對教學課程，我們使用私有金鑰。

在開始儲存秘密的程序之前，請擷取並格式化您的私有金鑰。私有金鑰必須與遠端SFTP伺服器上為使用者設定的公有金鑰相對應。在我們的教學課程中，私有金鑰必須對應到為測試使用者儲存在用作遠端伺服器的 Transfer Family SFTP 伺服器上的公有金鑰。

若要執行此操作，請執行下列命令：

jq -sR . path-to-private-key-file

例如，如果您的私有金鑰檔案位於 中~/.ssh/sftp-testuser-privatekey，則命令如下所示。

jq -sR . ~/.ssh/sftp-testuser-privatekey

這會以正確的格式 （包含內嵌的新行字元） 將金鑰輸出至標準輸出。將此文字複製到某個位置，因為您需要在下列程序中貼上 （步驟 6）。

步驟 2：建立和測試SFTP連接器

在本節中，我們會建立使用先前建立的所有資源的SFTP連接器。如需詳細資訊，請參閱設定SFTP連接器。

建立SFTP連接器之後，建議您先測試連接器，然後再嘗試使用新連接器傳輸任何檔案。

Test a connector using the console

測試SFTP連接器

1. 在 開啟 AWS Transfer Family 主控台https://console.aws.amazon.com/transfer/。

2. 在左側導覽窗格中，選擇連接器 ，然後選擇連接器。

3. 從動作功能表中，選擇測試連線 。

   

系統會傳回訊息，指出測試是否通過或失敗。如果測試失敗，系統會根據測試失敗的原因提供錯誤訊息。

Test a connector using the CLI

若要使用 測試連接器 AWS Command Line Interface，請在命令提示 （取代 connector-id 使用實際連接器 ID）：

aws transfer test-connection --connector-id c-connector-id

如果測試成功，則會傳回下列行：

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

如果測試失敗，您會收到描述性錯誤訊息，例如：

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

步驟 3：使用SFTP連接器傳送和擷取檔案

為了簡化，我們假設您的 Amazon S3 儲存貯體中已有檔案。

首先，我們將檔案從 Amazon S3 儲存貯體傳送至遠端SFTP伺服器。從命令提示中，執行下列命令：

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/s3-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

您的sftp-server-storage-east儲存貯體現在看起來應該像這樣。

如果您未如預期看到檔案，請檢查您的 CloudWatch 日誌。

如果成功，日誌項目如下所示：

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/s3-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

如果檔案傳輸失敗，日誌項目會包含指定問題的錯誤訊息。錯誤的常見原因是IAM許可和不正確的檔案路徑發生問題。

接下來，我們將檔案從SFTP伺服器擷取到 Amazon S3 儲存貯體。從命令提示中，執行下列命令：

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/s3-storage-east/incoming"

如果傳輸成功，Amazon S3 儲存貯體會包含傳輸的檔案，如下所示。

如果成功，日誌項目如下所示：

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "500655546075",
    "connector-arn": "arn:aws:transfer:us-east-1:500655546075:connector/c-connector-id",
    "local-directory-path": "/s3-storage-east/incoming"
}

建立 Transfer Family 伺服器以用作遠端SFTP伺服器的程序

接下來，我們概述建立 Transfer Family 伺服器的步驟，該伺服器可做為本教學課程的遠端SFTP伺服器。注意下列事項：

建立 Transfer Family SFTP 伺服器和使用者

大多數使用者不需要建立 Transfer Family SFTP 伺服器和使用者，因為您已有具有使用者的SFTP伺服器，而且您可以使用此伺服器來來回傳輸檔案。不過，為了簡化本教學課程，我們使用 Transfer Family 伺服器作為遠端SFTP伺服器。

請遵循 中所述的程序來建立已啟用 SFTP的伺服器建立伺服器，以及步驟 3：新增服務受管使用者新增使用者。以下是我們在教學課程中使用的使用者詳細資訊：

合併使用者和存取角色

針對教學課程，我們使用單一的合併角色。我們對SFTP使用者以及連接器的存取都使用此角色。下列範例包含此角色的詳細資訊，以防您想要在教學課程中執行任務。

下列範例授予必要許可，以存取 Amazon S3 中的兩個儲存貯體，以及aws/transfer/sftp-connector1儲存在 Secrets Manager 中的名為 的秘密。對於教學課程，此角色名為 sftp-connector-role。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east",
                "arn:aws:s3:::s3-storage-east"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": [
                "arn:aws:s3:::sftp-server-storage-east/*",
                "arn:aws:s3:::s3-storage-east/*"
            ]
        },
        {
            "Sid": "GetConnectorSecretValue",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:500655546075:secret:aws/transfer/sftp-connector1-6RandomCharacters"
        }
    ]
}

如需為 Transfer Family 建立角色的完整詳細資訊，請遵循 中所述的程序建立使用者角色來建立角色。