Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Uso de proveedores de identidad personalizados AWS Transfer Family ofrece varias opciones para que los proveedores de identidad personalizados autentiquen y autoricen a los usuarios a transferir archivos de forma segura. Estos son los enfoques principales: + [Solución de proveedor de identidad personalizada](custom-idp-toolkit.md)—En este tema se describe la solución de proveedor de identidad personalizado Transfer Family, mediante un conjunto de herramientas alojado en. GitHub **nota** Para la mayoría de los casos de uso, esta es la opción recomendada. En concreto, si necesita admitir más de 100 grupos de Active Directory, la solución de proveedor de identidades personalizado ofrece una alternativa escalable sin limitaciones de grupo. Esta solución se describe en la entrada del blog titulada [Simplifique la autenticación de Active Directory con un proveedor de identidad personalizado para AWS Transfer Family](https://aws.amazon.com/blogs/storage/simplify-active-directory-authentication-with-a-custom-identity-provider-for-aws-transfer-family/). + [Uso de Amazon API Gateway para integrar su proveedor de identidad](authentication-api-gateway.md)—En este tema se describe cómo utilizar una AWS Lambda función para respaldar un método de Amazon API Gateway. Puede proporcionar una RESTful interfaz con un único método de Amazon API Gateway. Transfer Family utiliza este método para conectarse con su proveedor de identidad, que autentica y autoriza a los usuarios a acceder a Amazon S3 o Amazon EFS. Utilice esta opción si necesita una RESTful API para integrar su proveedor de identidad o si quiere utilizarla para aprovechar sus capacidades AWS WAF para bloquear geográficamente o limitar la velocidad de las solicitudes. Para obtener más información, consulte [Uso de Amazon API Gateway para integrar su proveedor de identidad](authentication-api-gateway.md). + [Enfoques de gestión dinámica de permisos](dynamic-permission-management.md)—En este tema se describen los enfoques para administrar los permisos de los usuarios de forma dinámica mediante políticas de sesión. Para autenticar a sus usuarios, puede utilizar su proveedor de identidades actual con AWS Transfer Family. El proveedor de identidad se integra mediante una función de AWS Lambda que autentica y autoriza a los usuarios a acceder a Amazon S3 o Amazon Elastic File System (Amazon EFS). Para obtener más información, consulte [Se utiliza AWS Lambda para integrar su proveedor de identidad](custom-lambda-idp.md). También puede acceder a los CloudWatch gráficos para obtener métricas como el número de archivos y bytes transferidos en la consola de AWS Transfer Family administración, lo que le ofrece un panel único para supervisar las transferencias de archivos mediante un panel centralizado. + Transfer Family ofrece una entrada de blog y un taller que lo guiarán a través de la creación de una solución de transferencia de archivos. Esta solución aprovecha los SFTP/FTPS puntos AWS Transfer Family de conexión gestionados y Amazon Cognito y DynamoDB para la gestión de usuarios. La entrada del blog está disponible en [Uso de Amazon Cognito como proveedor de identidad con Amazon AWS Transfer Family S3](https://aws.amazon.com/blogs/storage/using-amazon-cognito-as-an-identity-provider-with-aws-transfer-family-and-amazon-s3/). Puede ver los detalles del taller [aquí.](https://catalog.workshops.aws/transfer-family-sftp/en-US) **nota** En el caso de los proveedores de identidad personalizados, el nombre de usuario debe tener un mínimo de 3 y un máximo de 100 caracteres. Puede utilizar los siguientes caracteres en el nombre de usuario: a—z, A-Z, 0—9, guión bajo '\$1', guión '-', punto '.' y signo '@'. El nombre de usuario no puede empezar con un guión '-', punto '.' o con el signo '@'. Al implementar un proveedor de identidad personalizado, tenga en cuenta las siguientes prácticas recomendadas: + Implemente la solución en la misma región Cuenta de AWS y en la misma región que sus servidores Transfer Family. + Implemente el principio de privilegios mínimos al configurar las funciones y políticas de IAM. + Utilice funciones como la lista de direcciones IP permitidas y el registro estandarizado para mejorar la seguridad. + Pruebe minuciosamente su proveedor de identidad personalizado en un entorno que no sea de producción antes del despliegue. **Topics** + [ # Solución de proveedor de identidad personalizada ](custom-idp-toolkit.md) + [ # Se utiliza AWS Lambda para integrar su proveedor de identidad ](custom-lambda-idp.md) + [ # Uso de Amazon API Gateway para integrar su proveedor de identidad ](authentication-api-gateway.md) + [ # Uso de varios métodos de autenticación ](custom-idp-mfa.md) + [ # IPv6 soporte para proveedores de identidad personalizados ](custom-idp-ipv6.md) # Solución de proveedor de identidad personalizada La solución de proveedor de identidad AWS Transfer Family personalizado es una solución modular de proveedor de identidad personalizado que resuelve muchos casos de uso comunes de autenticación y autorización que tienen las empresas al implementar el servicio. Esta solución proporciona una base reutilizable para implementar proveedores de identidad personalizados con una configuración de sesión granular por usuario y separa la lógica de autenticación y autorización, lo que ofrece una easy-to-maintain base flexible para varios casos de uso. Con la solución de proveedor de identidad AWS Transfer Family personalizado, puede abordar los casos de uso más comunes de autenticación y autorización empresarial. Esta solución modular ofrece: + Una base reutilizable para implementar proveedores de identidad personalizados + Configuración granular de sesión por usuario + Lógica de autenticación y autorización separadas ## Detalles de implementación del kit de herramientas de identidad personalizado La solución proporciona una base flexible y fácil de mantener para varios casos de uso. Para empezar, consulte el kit de herramientas en [https://github.com/aws-samples/toolkit-for-aws-transfer-family](https://github.com/aws-samples/toolkit-for-aws-transfer-family) y, a continuación, siga las instrucciones de implementación de la sección [Primeros](https://github.com/aws-samples/toolkit-for-aws-transfer-family/tree/main/solutions/custom-idp#getting-started) pasos. ![\[Diagrama de arquitectura del kit de herramientas del proveedor de identidad personalizado disponible en. GitHub\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/custom-idp-solution-high-level-architecture.png) **nota** Si anteriormente ha utilizado plantillas y ejemplos de proveedores de identidad personalizados, considere la posibilidad de adoptar esta solución en su lugar. En el futuro, los módulos específicos del proveedor se estandarizarán en esta solución. El mantenimiento continuo y las mejoras en las funciones se aplicarán a esta solución. Esta solución contiene patrones estándar para implementar un proveedor personalizado que tenga en cuenta detalles como el registro y dónde almacenar los metadatos adicionales de la sesión necesarios AWS Transfer Family, como el `HomeDirectoryDetails` parámetro. Esta solución proporciona una base reutilizable para implementar proveedores de identidad personalizados con una configuración de sesión granular por usuario y desvincula la lógica de autenticación del proveedor de identidades de la lógica reutilizable que crea una configuración que se devuelve a Transfer Family para completar la autenticación y establecer los ajustes de la sesión. [El código y los recursos de apoyo de esta solución están disponibles en https://github.com/aws-samples/ toolkit-for-aws-transfer -family.](https://github.com/aws-samples/toolkit-for-aws-transfer-family) El kit de herramientas contiene las siguientes funciones: + Una [AWS Serverless Application Model](https://aws.amazon.com/serverless/sam)plantilla que proporciona los recursos necesarios. Si lo desea, implemente y configure Amazon API Gateway para incorporarlo AWS WAF, tal y como se describe en la entrada del blog [AWS Transfer Family Securing with AWS Web Application Firewall y Amazon API Gateway](https://aws.amazon.com/blogs/storage/securing-aws-transfer-family-with-aws-web-application-firewall-and-amazon-api-gateway/). + Un esquema de [Amazon DynamoDB](https://aws.amazon.com/dynamodb) para almacenar los metadatos de configuración sobre los proveedores de identidad, incluidos los ajustes de sesión de usuario, `HomeDirectoryDetails` como`Role`, y. `Policy` + Un enfoque modular que le permite añadir nuevos proveedores de identidad a la solución en el futuro, en forma de módulos. + Recuperación de atributos: si lo desea, recupere los atributos del rol de IAM y del perfil POSIX (UID y GID) de los proveedores de identidad compatibles, como AD, LDAP y Okta. + Soporte para varios proveedores de identidad conectados a un único servidor de Transfer Family y varios servidores de Transfer Family mediante la misma implementación de la solución. + Verificación integrada de las listas de direcciones IP permitidas, como las listas de direcciones IP permitidas, que se pueden configurar opcionalmente por usuario o por proveedor de identidad. + Registro detallado con nivel de registro configurable y soporte de rastreo para facilitar la resolución de problemas. Antes de empezar a implementar la solución de proveedor de identidad personalizado, debe disponer de los siguientes recursos. AWS + Una Amazon Virtual Private Cloud (VPC) con subredes privadas, con conectividad a Internet a través de una puerta de enlace NAT o un punto de enlace de puerta de enlace de DynamoDB. + Los permisos de IAM adecuados para realizar las siguientes tareas: + Implemente la `custom-idp.yaml` CloudFormation plantilla, + Crear AWS CodePipeline proyectos + Crea AWS CodeBuild proyectos + Cree funciones y políticas de IAM **importante** Debe implementar la solución en el mismo lugar Región de AWS que contiene Cuenta de AWS los servidores Transfer Family de destino. ## Proveedores de identidades compatibles La siguiente lista contiene detalles de los proveedores de identidad compatibles con la solución de proveedor de identidad personalizado. | Proveedor | Flujos de contraseñas | Flujos de claves públicas | Multifactor | Recuperación de atributos | Details | | --- | --- | --- | --- | --- | --- | | Active Directory y LDAP | Sí | Sí | No | Sí | La verificación del usuario se puede realizar como parte del flujo de autenticación de clave pública. | | Argon2 (hash local) | Sí | No | No | No | Los hashes de Argon2 se almacenan en el registro de usuario para los casos de uso de autenticación basada en contraseñas «locales». | | Amazon Cognito | Sí | No | Sí\$1 | No | Solo para la autenticación multifactorial basada en el tiempo y basada en una contraseña de un solo uso (TOTP). \$1No se admite el MFA basado en SMS. | | Ingresa ID (anteriormente Azure AD) | Sí | No | No | No | | | Okta | Sí | Sí | Sí\$1 | Sí | Solo MFA basado en TOTP. | | Clave pública | No | Sí | No | No | Las claves públicas se almacenan en el registro de usuario de DynamoDB. | | Secrets Manager  | Sí | Sí | No | No | | # Se utiliza AWS Lambda para integrar su proveedor de identidad En este tema se describe cómo crear una AWS Lambda función que se conecte a su proveedor de identidades personalizado. Puede usar cualquier proveedor de identidad personalizado, como Okta, Secrets Manager o un almacén de datos personalizado que incluya lógica de autorización y autenticación. OneLogin En la mayoría de los casos de uso, la forma recomendada de configurar un proveedor de identidades personalizado es utilizar el[Solución de proveedor de identidad personalizada](custom-idp-toolkit.md). **nota** Antes de crear un servidor de Transfer Family que utilice Lambda como proveedor de identidades, debe crear la función. Para ver una función de Lambda de ejemplo, consulte [Ejemplo de función de Lambda](#lambda-auth-examples). O bien, puede implementar una CloudFormation pila que utilice uno de los[Plantillas de función de Lambda](#lambda-idp-templates). Además, asegúrese de que la función de Lambda utilice una política basada en recursos que confíe en Transfer Family. Para ver una política de ejemplo, consulte [Política basada en recursos de Lambda](#lambda-resource-policy). 1. Abra la [consola de AWS Transfer Family](https://console.aws.amazon.com/transfer/). 1. Seleccione **Crear servidor** para abrir la página **Crear servidor**. En **Elegir un proveedor de identidad**, elija un **proveedor de identidad personalizado**, como se muestra en la siguiente captura de pantalla. ![\[La sección de la consola Elija un proveedor de identidad con el Proveedor de identidad personalizado seleccionado. También tiene seleccionado el valor predeterminado, que permite a los usuarios autenticarse con su contraseña o clave.\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/custom-lambda-console.png) **nota** La selección de métodos de autenticación solo está disponible si habilita SFTP como uno de los protocolos del servidor de Transfer Family. 1. Asegúrese de seleccionar el valor predeterminado, **Usar AWS Lambda para conectar su proveedor de identidad**. 1. Para la **AWS Lambda función**, seleccione el nombre de su Función de Lambda. 1. Rellene las casillas restantes y, a continuación, seleccione **Crear servidor**. Para obtener más información sobre los pasos restantes para crear un servidor, consulte [Configuración de un punto final de servidor SFTP, FTPS o FTP](tf-server-endpoint.md). ## Política basada en recursos de Lambda Debe tener una política que haga referencia al servidor Transfer Family y a Lambda ARNs. Por ejemplo, puede usar la siguiente política con la función de Lambda que se conecta a su proveedor de identidad. La política es un JSON de escape en forma de cadena. **** ``` "Policy": "{\"Version\":\"2012-10-17\", \"Id\":\"default\", \"Statement\":[ {\"Sid\":\"AllowTransferInvocation\", \"Effect\":\"Allow\", \"Principal\":{\"Service\":\"transfer.amazonaws.com\"}, \"Action\":\"lambda:InvokeFunction\", \"Resource\":\"arn:aws:lambda:region:123456789012:function:my-lambda-auth-function\", \"Condition\":{\"ArnLike\":{\"AWS:SourceArn\":\"arn:aws:transfer:region:123456789012:server/server-id\"}}} ]}" ``` **nota** En el ejemplo de política anterior, sustituya cada una *user input placeholder* por su propia información. ## Estructura de mensaje de evento La estructura de los mensajes de eventos del servidor SFTP enviados a la función de Lambda del autorizador para un IDP personalizado es la siguiente. ``` { "username": "value", "password": "value", "protocol": "SFTP", "serverId": "s-abcd123456", "sourceIp": "192.168.0.100" } ``` Siendo `username` y `password` los valores de las credenciales de inicio de sesión que se envían al servidor. Por ejemplo, introduzca el siguiente comando para la conexión: ``` sftp bobusa@server_hostname ``` Se le pedirá que escriba su contraseña: ``` Enter password: mysecretpassword ``` Puede comprobarlo desde la función de Lambda al imprimir el evento pasado desde la función de Lambda. Debería parecerse a lo que sigue. ``` { "username": "bobusa", "password": "mysecretpassword", "protocol": "SFTP", "serverId": "s-abcd123456", "sourceIp": "192.168.0.100" } ``` La estructura de eventos es similar para FTP y FTPS: la única diferencia es que esos valores se utilizan para el parámetro `protocol` y no para SFTP. ## funciones de Lambda para autenticación Para implementar diferentes estrategias de autenticación, edite la función de Lambda. Para ayudarte a satisfacer las necesidades de tu aplicación, puedes implementar una CloudFormation pila. Para obtener más información acerca de Lambda, consulte la [Guía para desarrolladores de AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) o [Crear funciones de Lambda con Node.js](https://docs.aws.amazon.com/lambda/latest/dg/lambda-nodejs.html). **Topics** + [ ### Valores de Lambda válidos ](#lambda-valid-values) + [ ### Ejemplo de función de Lambda ](#lambda-auth-examples) + [ ### Prueba de su configuración ](#authentication-test-configuration) + [ ### Plantillas de función de Lambda ](#lambda-idp-templates) ### Valores de Lambda válidos En la siguiente tabla se describen los detalles de los valores que Transfer Family acepta para las funciones de Lambda que se utilizan para los proveedores de identidades personalizados. | Valor | Description (Descripción) | Obligatorio | | --- | --- | --- | | `Role` | Especifica el nombre de recurso de Amazon (ARN) del rol de IAM que controla el acceso de sus usuarios a su bucket de Amazon S3 o al sistema de archivos EFS. Las políticas asociadas a este rol determinarán el nivel de acceso que quiere ofrecer a los usuarios cuando se transfieran archivos dentro y fuera de su bucket de Amazon S3 o del sistema de archivos de Amazon EFS. El rol de IAM también debe contener una relación de confianza que permita que el servidor pueda obtener acceso a los recursos cuando atienda las solicitudes de transferencia de los usuarios. Para obtener más información sobre cómo establecer una relación de confianza, consulte [Para establecer una relación de confianza](requirements-roles.md#establish-trust-transfer). | Obligatorio | | `PosixProfile` | La identidad POSIX completa, que incluye el ID de usuario (`Uid`), el ID de grupo (`Gid`) y cualquier grupo secundario IDs (`SecondaryGids`), que controla el acceso de los usuarios a los sistemas de archivos de Amazon EFS. Los permisos POSIX establecidos en los archivos y directorios del sistema de archivos determinan el nivel de acceso que obtienen los usuarios al transferir archivos dentro y fuera de los sistemas de archivos de Amazon EFS. | Se requiere para el almacenamiento de respaldo de Amazon EFS | | `PublicKeys` | Una lista de valores de clave pública de SSH que son válidos para este usuario. Una lista vacía implica que no se trata de un inicio de sesión válido. No debe devolverse durante la autenticación de la contraseña. | Opcional | | `Policy` | Una política de sesión para el usuario, de modo que pueda usar el mismo rol de IAM en varios usuarios. Esta política reduce el ámbito de acceso del usuario a partes de su bucket de Amazon S3. Para obtener más información sobre el uso de políticas de sesión con proveedores de identidad personalizados, consulte los ejemplos de políticas de sesión de este tema. | Opcional | | `HomeDirectoryType` | El tipo de directorio de destino (carpeta) que quiere utilizar como directorio de inicio de los usuarios cuando inicien sesión en el servidor. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/custom-lambda-idp.html) | Opcional | | `HomeDirectoryDetails` | Los mapeos de directorio lógico que especifican qué rutas de acceso y claves de Amazon S3 deben ser visibles para el usuario y cómo desea hacerlas visibles. Deberá especificar el par `Entry` y `Target`, donde `Entry` muestra cómo se hace visible la ruta y `Target` es la ruta de Amazon S3 o de Amazon EFS real. | Obligatorio si `HomeDirectoryType` tiene un valor de `LOGICAL` | | `HomeDirectory` | Directorio de destino de un usuario cuando inicia sesión en el servidor a través del cliente. El formato depende del backend de almacenamiento: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/custom-lambda-idp.html) El nombre del bucket o el ID del sistema de archivos Amazon EFS deben incluirse en la ruta. Si se omite esta información, se producirán errores de tipo «Archivo no encontrado» durante las transferencias de archivos. | Opcional | **nota** `HomeDirectoryDetails` es una representación de cadenas de un mapa de JSON. Esto contrasta con `PosixProfile`, que es un objeto de mapa JSON real, y `PublicKeys`, que es una matriz JSON de cadenas. Consulte los ejemplos de código para ver los detalles específicos del idioma. **HomeDirectory Requisitos de formato** Cuando utilice el `HomeDirectory` parámetro, asegúrese de incluir el formato de ruta completo: **Para el almacenamiento en Amazon S3:** incluya siempre el nombre del bucket en el formato `/bucket-name/path` **Para el almacenamiento en Amazon EFS:** incluya siempre el ID del sistema de archivos en el formato `/fs-12345/path` Una causa común de los errores de «Archivo no encontrado» es omitir el nombre del bucket o el ID del sistema de archivos EFS en la `HomeDirectory` ruta. Si `HomeDirectory` se establece solo `/` sin el identificador de almacenamiento, la autenticación se realizará correctamente, pero las operaciones con los archivos fallarán. ### Ejemplo de función de Lambda En esta sección se presentan algunos ejemplos de funciones de Lambda, tanto en Nodejs como en Python. **nota** En estos ejemplos, el usuario, el rol, el perfil POSIX, la contraseña y los detalles del directorio de inicio son todos ejemplos y deben reemplazarse por sus valores reales. ------ #### [ Logical home directory, NodeJS ] La siguiente función de ejemplo de Nodejs proporciona los detalles de un usuario que tiene un [directorio de inicio lógico](https://docs.aws.amazon.com/transfer/latest/userguide/logical-dir-mappings.html). ``` // GetUserConfig Lambda exports.handler = (event, context, callback) => { console.log("Username:", event.username, "ServerId: ", event.serverId); var response; // Check if the username presented for authentication is correct. This doesn't check the value of the server ID, only that it is provided. if (event.serverId !== "" && event.username == 'example-user') { var homeDirectoryDetails = [ { Entry: "/", Target: "/fs-faa1a123" } ]; response = { Role: 'arn:aws:iam::123456789012:role/transfer-access-role', // The user is authenticated if and only if the Role field is not blank PosixProfile: {"Gid": 65534, "Uid": 65534}, // Required for EFS access, but not needed for S3 HomeDirectoryDetails: JSON.stringify(homeDirectoryDetails), HomeDirectoryType: "LOGICAL", }; // Check if password is provided if (!event.password) { // If no password provided, return the user's SSH public key response['PublicKeys'] = [ "ssh-rsa abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789" ]; // Check if password is correct } else if (event.password !== 'Password1234') { // Return HTTP status 200 but with no role in the response to indicate authentication failure response = {}; } } else { // Return HTTP status 200 but with no role in the response to indicate authentication failure response = {}; } callback(null, response); }; ``` ------ #### [ Path-based home directory, NodeJS ] La siguiente función de ejemplo de Nodejs proporciona los detalles de un usuario que tiene un directorio de inicio basado en rutas. ``` // GetUserConfig Lambda exports.handler = (event, context, callback) => { console.log("Username:", event.username, "ServerId: ", event.serverId); var response; // Check if the username presented for authentication is correct. This doesn't check the value of the server ID, only that it is provided. // There is also event.protocol (one of "FTP", "FTPS", "SFTP") and event.sourceIp (e.g., "127.0.0.1") to further restrict logins. if (event.serverId !== "" && event.username == 'example-user') { response = { Role: 'arn:aws:iam::123456789012:role/transfer-access-role', // The user is authenticated if and only if the Role field is not blank Policy: '', // Optional, JSON stringified blob to further restrict this user's permissions // HomeDirectory format depends on your storage backend: // For S3: '/bucket-name/user-home-directory' (e.g., '/my-transfer-bucket/users/john') // For EFS: '/fs-12345/user-home-directory' (e.g., '/fs-faa1a123/users/john') HomeDirectory: '/my-transfer-bucket/users/example-user' // S3 example - replace with your bucket name // HomeDirectory: '/fs-faa1a123/users/example-user' // EFS example - uncomment for EFS }; // Check if password is provided if (!event.password) { // If no password provided, return the user's SSH public key response['PublicKeys'] = [ "ssh-rsa abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789" ]; // Check if password is correct } else if (event.password !== 'Password1234') { // Return HTTP status 200 but with no role in the response to indicate authentication failure response = {}; } } else { // Return HTTP status 200 but with no role in the response to indicate authentication failure response = {}; } callback(null, response); }; ``` ------ #### [ Logical home directory, Python ] La siguiente función de ejemplo de Python proporciona los detalles de un usuario que tiene un [directorio de inicio lógico](https://docs.aws.amazon.com/transfer/latest/userguide/logical-dir-mappings.html). ``` # GetUserConfig Python Lambda with LOGICAL HomeDirectoryDetails import json def lambda_handler(event, context): print("Username: {}, ServerId: {}".format(event['username'], event['serverId'])) response = {} # Check if the username presented for authentication is correct. This doesn't check the value of the server ID, only that it is provided. if event['serverId'] != '' and event['username'] == 'example-user': homeDirectoryDetails = [ { 'Entry': '/', 'Target': '/fs-faa1a123' } ] response = { 'Role': 'arn:aws:iam::123456789012:role/transfer-access-role', # The user will be authenticated if and only if the Role field is not blank 'PosixProfile': {"Gid": 65534, "Uid": 65534}, # Required for EFS access, but not needed for S3 'HomeDirectoryDetails': json.dumps(homeDirectoryDetails), 'HomeDirectoryType': "LOGICAL" } # Check if password is provided if event.get('password', '') == '': # If no password provided, return the user's SSH public key response['PublicKeys'] = [ "ssh-rsa abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789" ] # Check if password is correct elif event['password'] != 'Password1234': # Return HTTP status 200 but with no role in the response to indicate authentication failure response = {} else: # Return HTTP status 200 but with no role in the response to indicate authentication failure response = {} return response ``` ------ #### [ Path-based home directory, Python ] La siguiente función de ejemplo de Python proporciona los detalles de un usuario que tiene un directorio de inicio basado en rutas. ``` # GetUserConfig Python Lambda with PATH HomeDirectory def lambda_handler(event, context): print("Username: {}, ServerId: {}".format(event['username'], event['serverId'])) response = {} # Check if the username presented for authentication is correct. This doesn't check the value of the server ID, only that it is provided. # There is also event.protocol (one of "FTP", "FTPS", "SFTP") and event.sourceIp (e.g., "127.0.0.1") to further restrict logins. if event['serverId'] != '' and event['username'] == 'example-user': response = { 'Role': 'arn:aws:iam::123456789012:role/transfer-access-role', # The user will be authenticated if and only if the Role field is not blank 'Policy': '', # Optional, JSON stringified blob to further restrict this user's permissions # HomeDirectory format depends on your storage backend: # For S3: '/bucket-name/user-home-directory' (e.g., '/my-transfer-bucket/users/john') # For EFS: '/fs-12345/user-home-directory' (e.g., '/fs-faa1a123/users/john') 'HomeDirectory': '/my-transfer-bucket/users/example-user', # S3 example - replace with your bucket name # 'HomeDirectory': '/fs-faa1a123/users/example-user', # EFS example - uncomment for EFS 'HomeDirectoryType': "PATH" # Not strictly required, defaults to PATH } # Check if password is provided if event.get('password', '') == '': # If no password provided, return the user's SSH public key response['PublicKeys'] = [ "ssh-rsa abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789" ] # Check if password is correct elif event['password'] != 'Password1234': # Return HTTP status 200 but with no role in the response to indicate authentication failure response = {} else: # Return HTTP status 200 but with no role in the response to indicate authentication failure response = {} return response ``` ------ ### Prueba de su configuración Tras crear el proveedor de identidad personalizado, debe probar la configuración. ------ #### [ Console ] **Para probar la configuración mediante la AWS Transfer Family consola** 1. Abra la [consola de AWS Transfer Family](https://console.aws.amazon.com/transfer/). 1. En la página **Servidores**, elija su nuevo servidor, elija **Acciones** y, a continuación, elija **Probar**. 1. Introduzca el texto del **nombre de usuario** y la **contraseña** que estableció al implementar la CloudFormation pila. Si ha mantenido las opciones predeterminadas, el nombre de usuario es `myuser` y la contraseña es `MySuperSecretPassword`. 1. Elija el **protocolo del servidor** e introduzca la dirección IP de la **IP de origen**, si la configuró al implementar la CloudFormation pila. ------ #### [ CLI ] **Para probar la configuración mediante la AWS CLI** 1. Ejecute el comando [test-identity-provider](https://docs.aws.amazon.com/cli/latest/reference/transfer/test-identity-provider.html). Sustituya cada `user input placeholder` por su propia información, tal y como se describe en los pasos siguientes. ``` aws transfer test-identity-provider --server-id s-1234abcd5678efgh --user-name myuser --user-password MySuperSecretPassword --server-protocol FTP --source-ip 127.0.0.1 ``` 1. Introduzca el identificador del servidor. 1. Introduzca el nombre de usuario y la contraseña que estableció al implementar la CloudFormation pila. Si ha mantenido las opciones predeterminadas, el nombre de usuario es `myuser` y la contraseña es `MySuperSecretPassword`. 1. Introduzca el protocolo del servidor y la dirección IP de origen, si los configuró al implementar la CloudFormation pila. ------ Si la autenticación del usuario se realiza correctamente, la prueba devuelve una respuesta HTTP de `StatusCode: 200`, una cadena vacía de `Message: ""` (que, de lo contrario, contendría el motivo del error) y un campo `Response`. **nota** En el ejemplo de respuesta que aparece a continuación, el campo `Response` es un objeto JSON que se ha “encadenado” (convertido en una cadena JSON plana que se puede utilizar dentro de un programa) y contiene los detalles de los roles y permisos del usuario. ``` { "Response":"{\"Policy\":\"{\\\"Version\\\":\\\"2012-10-17\\\",\\\"Statement\\\":[{\\\"Sid\\\":\\\"ReadAndListAllBuckets\\\",\\\"Effect\\\":\\\"Allow\\\",\\\"Action\\\":[\\\"s3:ListAllMybuckets\\\",\\\"s3:GetBucketLocation\\\",\\\"s3:ListBucket\\\",\\\"s3:GetObjectVersion\\\",\\\"s3:GetObjectVersion\\\"],\\\"Resource\\\":\\\"*\\\"}]}\",\"Role\":\"arn:aws:iam::000000000000:role/MyUserS3AccessRole\",\"HomeDirectory\":\"/\"}", "StatusCode": 200, "Message": "" } ``` ### Plantillas de función de Lambda Puede implementar una CloudFormation pila que utilice una función Lambda para la autenticación. Proporcionamos varias plantillas que autentican y autorizan a sus usuarios mediante credenciales de inicio de sesión. Puede modificar estas plantillas o AWS Lambda códigos para personalizar aún más el acceso de los usuarios. **nota** Puede crear un AWS Transfer Family servidor compatible con FIPS CloudFormation especificando una política de seguridad con FIPS en la plantilla. Las políticas de seguridad disponibles se describen en [Políticas de seguridad para servidores AWS Transfer Family](security-policies.md) **Para crear una pila para utilizarla en la autenticación CloudFormation** 1. Abre la CloudFormation consola en [https://console.aws.amazon.com/cloudformation.](https://console.aws.amazon.com/cloudformation/) 1. Siga las instrucciones para implementar una CloudFormation pila a partir de una plantilla existente en [Seleccionar una plantilla de pila](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-using-console-create-stack-template.html) en la Guía del *AWS CloudFormation usuario*. 1. Utilice una de las siguientes plantillas para crear una función de Lambda que se utilizará para la autenticación en Transfer Family. + [Plantilla de pila clásica (Amazon Cognito)](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-basic-lambda-cognito-s3.template.yml) Una plantilla básica para crear una AWS Lambda para usarla como proveedor de identidad personalizado en AWS Transfer Family. Se autentica con Amazon Cognito para la autenticación basada en contraseñas y las claves públicas se devuelven desde un bucket de Amazon S3 si se utiliza la autenticación basada en claves públicas. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente. + [AWS Secrets Manager plantilla de pila](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-secrets-manager-lambda.template.yml) Una plantilla básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Secrets Manager como proveedor de identidad. Se autentica con una entrada AWS Secrets Manager de ese formato`aws/transfer/server-id/username`. Además, el secreto debe contener los pares clave-valor de todas las propiedades de usuario devueltas a Transfer Family. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente. + Plantilla de [pila Okta: plantilla](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-okta-lambda.template.yml) básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Okta como proveedor de identidad personalizado. + [Plantilla apilada Okta-MFA: plantilla](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-okta-mfa-lambda.template.yml) básica que se utiliza AWS Lambda con un AWS Transfer Family servidor para integrar Okta, con autenticación multifactor, como proveedor de identidad personalizado. + [Plantilla de Azure Active Directory](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-basic-lambda-azure-ad.template.yml): los detalles de esta pila se describen en la entrada del blog Cómo [autenticarse AWS Transfer Family con](https://aws.amazon.com/blogs/storage/authenticating-to-aws-transfer-family-with-azure-active-directory-and-aws-lambda/) Azure Active Directory y. AWS Lambda Una vez implementada la pila, puede ver sus detalles en la pestaña **Salidas** de la CloudFormation consola. Implementar una de estas pilas es la forma más sencilla de integrar un proveedor de identidades personalizado en el flujo de trabajo de Transfer Family. # Uso de Amazon API Gateway para integrar su proveedor de identidad En este tema se describe cómo utilizar una AWS Lambda función para respaldar un método de API Gateway. Utilice esta opción si necesita una RESTful API para integrar su proveedor de identidad o si quiere utilizarla para aprovechar sus capacidades AWS WAF para bloquear geográficamente o limitar la velocidad de las solicitudes. En la mayoría de los casos de uso, la forma recomendada de configurar un proveedor de identidades personalizado es utilizar el. [Solución de proveedor de identidad personalizada](custom-idp-toolkit.md) **Limitaciones si utiliza una API Gateway para integrar su proveedor de identidad** + Esta configuración no admite dominios personalizados. + Esta configuración no admite una URL de API Gateway privada. Si necesita alguna de estas opciones, puede usar Lambda como proveedor de identidades, sin API Gateway. Para obtener más información, consulte [Se utiliza AWS Lambda para integrar su proveedor de identidad](custom-lambda-idp.md). ## Autenticación mediante un método de API Gateway Puede crear un método API Gateway para usarlo como proveedor de identidad para Transfer Family. Este enfoque le proporciona una forma altamente segura de crear y proporcionar APIs. Con API Gateway, puede crear un punto final HTTPS para que todas las operaciones de API entrantes se transmitan con mayor seguridad. Para obtener más información sobre el servicio API Gateway, consulte la [Guía para desarrolladores de API Gateway](https://docs.aws.amazon.com/apigateway/latest/developerguide/welcome.html). API Gateway ofrece un método de autorización denominado`AWS_IAM`, que le proporciona la misma autenticación basada en AWS Identity and Access Management (IAM) que se AWS utiliza internamente. Si habilita la autenticación con `AWS_IAM`, solo las personas que llaman con permisos explícitos para llamar a una API pueden acceder al método API Gateway de esa API. Para usar su método API Gateway como proveedor de identidad personalizado para Transfer Family, habilita IAM para su método API Gateway. Como parte de este proceso, usted proporciona un rol de IAM con permisos para que Transfer Family utilice su puerta de enlace. **nota** Para mejorar la seguridad, puede configurar un firewall de aplicaciones web. AWS WAF es un firewall de aplicaciones web que permite monitorizar las solicitudes HTTP y HTTPS que se reenvían a una Amazon API Gateway. Para obtener más información, consulte [Agregue un cortafuegos de aplicaciones web](web-application-firewall.md). **No habilite el almacenamiento en caché de API Gateway** No habilites el almacenamiento en caché para tu método API Gateway cuando lo utilices como proveedor de identidad personalizado para Transfer Family. El almacenamiento en caché es inapropiado e inválido para las solicitudes de autenticación porque: Cada solicitud de autenticación es única y requiere una respuesta en tiempo real, no una respuesta en caché El almacenamiento en caché no ofrece ningún beneficio, ya que Transfer Family nunca envía solicitudes duplicadas o repetidas a la API Gateway. Si se habilita el almacenamiento en caché, la API Gateway responderá con datos no coincidentes, lo que provocará que las respuestas a las solicitudes de autenticación no sean válidas. **Uso del método API Gateway para la autenticación personalizada con Transfer Family** 1. Crea una CloudFormation pila. Para ello: **nota** Las plantillas de pila se han actualizado para usar contraseñas BASE64 codificadas: para obtener más información, consulte[Mejoras en las plantillas CloudFormation](#base64-templates). 1. Abre la CloudFormation consola en [https://console.aws.amazon.com/cloudformation.](https://console.aws.amazon.com/cloudformation/) 1. Siga las instrucciones para implementar una CloudFormation pila a partir de una plantilla existente en [Seleccionar una plantilla de pila](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-using-console-create-stack-template.html) en la Guía del *AWS CloudFormation usuario*. 1. Use una de las siguientes plantillas básicas para crear un método API Gateway respaldado por la API de AWS Lambda para usarlo como proveedor de identidad personalizado en Transfer Family. + [Plantilla de pila básica](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-basic-apig.template.yml) De forma predeterminada, el método API Gateway se utiliza como proveedor de identidad personalizado para autenticar a un único usuario en un único servidor mediante una clave o contraseña SSH (Secure Shell) codificada de forma rígida. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente. + [AWS Secrets Manager plantilla de pila](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-secrets-manager-apig.template.yml) De forma predeterminada, el método API Gateway se autentica con una entrada de este formato de `aws/transfer/server-id/username` en Secrets Manager. Además, el secreto debe contener los pares clave-valor de todas las propiedades de usuario devueltas a Transfer Family. Tras la implementación, puede modificar el código de la función de Lambda para hacer algo diferente. Para obtener más información, consulte la entrada del blog [Habilitar la autenticación por contraseña para su AWS Transfer Family uso AWS Secrets Manager](https://aws.amazon.com/blogs/storage/enable-password-authentication-for-aws-transfer-family-using-aws-secrets-manager-updated/). + [Plantilla de pila Okta](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-okta-apig.template.yml) Su método API Gateway se integra con Okta como proveedor de identidad personalizado en Transfer Family. Para obtener más información, consulte la publicación de blog sobre el [Uso de Okta como proveedor de identidad con AWS Transfer Family](https://aws.amazon.com/blogs/storage/using-okta-as-an-identity-provider-with-aws-transfer-for-sftp/). Implementar una de estas pilas es la forma más sencilla de integrar un proveedor de identidades personalizado en el flujo de trabajo de Transfer Family. Cada pila utiliza la función de Lambda para admitir su método de API basado en API Gateway. A continuación, puede usar su método de API como proveedor de identidad personalizado en Transfer Family. De forma predeterminada, la función de Lambda autentica a un único usuario llamado `myuser` con una contraseña de `MySuperSecretPassword`. Tras la implementación, puede editar estas credenciales o actualizar el código de la función de Lambda para hacer algo diferente. **importante** Le recomendamos que edite las credenciales de usuario y contraseña predeterminadas. Una vez desplegada la pila, puede ver sus detalles en la pestaña **Salidas** de la CloudFormation consola. Estos detalles incluyen el nombre de recurso de Amazon (ARN) de la pila, el ARN del rol de IAM que creó la pila y la URL de su nueva puerta de enlace. **nota** Si utiliza la opción de proveedor de identidad personalizado para habilitar la autenticación basada en contraseñas para sus usuarios y habilita el registro de solicitudes y respuestas que proporciona API Gateway, API Gateway registra las contraseñas de sus usuarios en sus Amazon Logs. CloudWatch No recomendamos utilizar este modo de inicio en entornos de producción. Para obtener más información, consulte [Configurar el registro de CloudWatch API en API Gateway](https://docs.aws.amazon.com/apigateway/latest/developerguide/set-up-logging.html) en la *Guía para desarrolladores de API Gateway*. 1. Compruebe la configuración del método API Gateway para su servidor. Para ello: 1. Abra la consola de API Gateway en [https://console.aws.amazon.com/apigateway/](https://console.aws.amazon.com/apigateway/). 1. Elija la **API de plantilla básica Transfer Custom Identity Provider** que generó la CloudFormation plantilla. Puede que tengas que seleccionar tu región para ver las pasarelas. 1. En el panel **Recursos**, selecciona **GET**. La siguiente captura de pantalla muestra la configuración correcta del método. ![\[Detalles de la configuración de la API, que muestran los parámetros de configuración del método para las rutas de solicitud y para la cadena de consulta URL.\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/apig-config-method-fields.png) En este punto, su API Gateway está lista para ser implementada. 1. Para **Acciones**, elija **Implementar API**. Para la **Etapa de implementación**, elija **prod** y, a continuación, elija **Implementar**. Una vez que el método API Gateway se haya implementado correctamente, consulta su rendimiento en **Stages** > **Stage details**, como se muestra en la siguiente captura de pantalla. **nota** Copie la dirección **URL de invocación** que aparece en la parte superior de la pantalla. Puede que lo necesites para el siguiente paso. ![\[Detalles del escenario con la URL de invocación resaltada.\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/apig-config-method-invoke.png) 1. Abra la AWS Transfer Family consola en. [https://console.aws.amazon.com/transfer/](https://console.aws.amazon.com/transfer/) 1. Se debería haber creado una Transfer Family para ti cuando creaste la pila. Si no es así, configure el servidor siguiendo estos pasos. 1. Seleccione **Crear servidor** para abrir la página **Crear servidor**. En **Elija un proveedor de identidad**, seleccione **Personalizado** y, a continuación, seleccione **Usar Amazon API Gateway para conectarse con su proveedor de identidad**, como se muestra en la siguiente captura de pantalla. ![\[La pantalla del proveedor de identidad con el proveedor de identidad personalizado seleccionado y la API Gateway elegida para conectarse a su proveedor de identidad.\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/create-server-choose-idp-custom.png) 1. En el cuadro de texto **Proporcionar una URL de Amazon API Gateway**, pegue la dirección **URL de invocación** del punto de conexión de API Gateway que creó en el paso 3 de este procedimiento. 1. En **Función**, elige la función de IAM que creó la CloudFormation plantilla. Este rol permite a Transfer Family invocar su método de puerta de enlace de API. El rol de invocación contiene el nombre de la CloudFormation pila que seleccionó para la pila que creó en el paso 1. Tiene el formato siguiente: `CloudFormation-stack-name-TransferIdentityProviderRole-ABC123DEF456GHI`. 1. Rellene las casillas restantes y, a continuación, seleccione **Crear servidor**. Para obtener más información sobre los pasos restantes para crear un servidor, consulte [Configuración de un punto final de servidor SFTP, FTPS o FTP](tf-server-endpoint.md). ## Implementación de su método de API Gateway Para crear un proveedor de identidades personalizado para Transfer Family, el método API Gateway debe implementar un único método que tenga una ruta de recursos de `/servers/serverId/users/username/config`. Los `username` valores `serverId` y provienen de la ruta del RESTful recurso. Además, añada `sourceIp` y `protocol` como **Parámetros de cadena de consulta de URL** en la **Solicitud de método**, como se muestra en la imagen siguiente. ![\[La pantalla de recursos de la API Gateway que muestra los detalles del GET método.\]](http://docs.aws.amazon.com/es_es/transfer/latest/userguide/images/apig-config-method-request.png) **nota** El nombre de usuario debe tener un mínimo de 3 y un máximo de 100 caracteres. Puede utilizar los siguientes caracteres en el nombre de usuario: a—z, A-Z, 0—9, subrayado '\$1', guión '-', punto '.' y signo '@'. El nombre de usuario no puede empezar con un guión '-', punto '.' o con el signo '@'. Si Transfer Family intenta autenticar una contraseña en nombre de un usuario, el servicio proporciona un campo de encabezado `Password:`. En ausencia de un encabezado de `Password:`, Transfer Family intenta la autenticación con clave pública para autenticar al usuario. Si utiliza un proveedor de identidad para autenticar y autorizar a los usuarios finales, además de validar sus credenciales, puede permitir o denegar las solicitudes de acceso en función de las direcciones IP de los clientes utilizados por los usuarios finales. Puede usar esta característica para asegurarse de que solo se pueda acceder a los datos almacenados en sus buckets de S3 o en su sistema de archivos Amazon EFS a través de los protocolos compatibles desde las direcciones IP que haya especificado como confiables. Para habilitar esta característica, debe incluir `sourceIp` en la cadena de consulta. Si tiene varios protocolos habilitados para su servidor y desea proporcionar acceso con el mismo nombre de usuario a través de varios protocolos, puede hacerlo siempre que las credenciales específicas de cada protocolo estén configuradas en su proveedor de identidad. Para habilitar esta función, debe incluir el `protocol` valor en la ruta del recurso. RESTful El método API Gateway siempre debe devolver el código de estado HTTP `200`. Cualquier otro código de estado HTTP significa que se ha producido un error en el acceso a la API. **Ejemplo de respuesta de Amazon S3** El cuerpo de la respuesta de ejemplo es un documento JSON del siguiente formato para Amazon S3. ``` { "Role": "IAM role with configured S3 permissions", "PublicKeys": [ "ssh-rsa public-key1", "ssh-rsa public-key2" ], "Policy": "STS Assume role session policy", "HomeDirectory": "/amzn-s3-demo-bucket/path/to/home/directory" } ``` **nota** La política es un JSON de escape en forma de cadena. Por ejemplo: **** ``` "Policy": "{ \"Version\": \"2012-10-17\", \"Statement\": [ {\"Condition\": {\"StringLike\": {\"s3:prefix\": [\"user/*\", \"user/\"]}}, \"Resource\": \"arn:aws:s3:::amzn-s3-demo-bucket\", \"Action\": \"s3:ListBucket\", \"Effect\": \"Allow\", \"Sid\": \"ListHomeDir\"}, {\"Resource\": \"arn:aws:s3:::*\", \"Action\": [\"s3:PutObject\", \"s3:GetObject\", \"s3:DeleteObjectVersion\", \"s3:DeleteObject\", \"s3:GetObjectVersion\", \"s3:GetObjectACL\", \"s3:PutObjectACL\"], \"Effect\": \"Allow\", \"Sid\": \"HomeDirObjectAccess\"}] }" ``` El siguiente ejemplo de respuesta muestra que un usuario tiene un tipo de directorio de inicio lógico. ``` { "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3", "HomeDirectoryType":"LOGICAL", "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/amzn-s3-demo-bucket1\"}]", "PublicKeys":[""] } ``` **Ejemplo de respuesta de Amazon EFS** El cuerpo de la respuesta de ejemplo es un documento JSON del siguiente formato para Amazon EFS. ``` { "Role": "IAM role with configured EFS permissions", "PublicKeys": [ "ssh-rsa public-key1", "ssh-rsa public-key2" ], "PosixProfile": { "Uid": "POSIX user ID", "Gid": "POSIX group ID", "SecondaryGids": [Optional list of secondary Group IDs], }, "HomeDirectory": "/fs-id/path/to/home/directory" } ``` El campo `Role` indica que la autenticación ha tenido éxito. Al realizar la autenticación con contraseña (cuando se proporciona un encabezado de `Password:`), no es necesario que proporcione las claves públicas de SSH. Si un usuario no se puede autenticar, por ejemplo, si la contraseña es incorrecta, su método debería devolver una respuesta de `Role` sin configurar. Un ejemplo de esta respuesta es un objeto JSON vacío. El siguiente ejemplo de respuesta muestra un usuario que tiene un tipo de directorio de inicio lógico. ``` { "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs", "HomeDirectoryType": "LOGICAL", "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]", "PublicKeys":[""], "PosixProfile":{"Uid":65534,"Gid":65534} } ``` Puede incluir políticas de usuario en la función de Lambda en formato JSON. Para obtener más información acerca de la configuración de usuario en Transfer Family, consulte [Administrar los controles de acceso](users-policies.md). ## Función de Lambda por defecto Para implementar diferentes estrategias de autenticación, edite la función de Lambda que utiliza su puerta de enlace. Para ayudarle a satisfacer las necesidades de su aplicación, puede utilizar las siguientes funciones de Lambda de ejemplo en Node.js. Para obtener más información acerca de Lambda, consulte la [Guía para desarrolladores de AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) o [Crear funciones de Lambda con Node.js](https://docs.aws.amazon.com/lambda/latest/dg/lambda-nodejs.html). El siguiente ejemplo de función de Lambda toma el nombre de usuario, la contraseña (si está realizando la autenticación con contraseña), el identificador del servidor, el protocolo y la dirección IP del cliente. Puede usar una combinación de estas entradas para buscar su proveedor de identidad y determinar si se debe aceptar el inicio de sesión. **nota** Si tiene varios protocolos habilitados para su servidor y desea proporcionar acceso con el mismo nombre de usuario a través de varios protocolos, puede hacerlo siempre que las credenciales específicas del protocolo se hayan configurado en su proveedor de identidad. Para el Protocolo de File Transfer (FTP), se recomienda mantener credenciales separadas del Protocolo de File Transfer (SFTP) de Secure Shell (SSH) y el Protocolo de File Transfer a través de SSL (FTPS). Recomendamos mantener credenciales separadas para el FTP porque, a diferencia del SFTP y el FTPS, el FTP transmite las credenciales en texto no cifrado. Al aislar las credenciales de FTP de las de SFTP o FTPS, si las credenciales de FTP se comparten o están expuestas, las cargas de trabajo que utilizan SFTP o FTPS permanecen seguras. Este rol de ejemplo devuelve el rol y los detalles del directorio de inicio lógico, junto con las claves públicas (si realiza la autenticación de clave pública). Al crear usuarios administrados por el servicio, se establece su directorio de inicio, ya sea lógico o físico. Del mismo modo, necesitamos que los resultados de la función de Lambda transmitan la estructura de directorios física o lógica deseada por el usuario. Los parámetros que defina dependen del valor del campo de [https://docs.aws.amazon.com//transfer/latest/APIReference/API_CreateUser.html#TransferFamily-CreateUser-request-HomeDirectoryType](https://docs.aws.amazon.com//transfer/latest/APIReference/API_CreateUser.html#TransferFamily-CreateUser-request-HomeDirectoryType). + `HomeDirectoryType` establecido como `PATH`: el campo `HomeDirectory` debe ser un prefijo absoluto de bucket de Amazon S3 o una ruta absoluta de Amazon EFS visible para los usuarios. + `HomeDirectoryType` establecido como `LOGICAL`: *no* defina un campo `HomeDirectory`. En su lugar, configuramos un `HomeDirectoryDetails` campo que proporciona las Entry/Target asignaciones deseadas, similares a los valores descritos en el [https://docs.aws.amazon.com//transfer/latest/APIReference/API_CreateUser.html#TransferFamily-CreateUser-request-HomeDirectoryMappings](https://docs.aws.amazon.com//transfer/latest/APIReference/API_CreateUser.html#TransferFamily-CreateUser-request-HomeDirectoryMappings)parámetro para los usuarios gestionados por el servicio. Las funciones de ejemplo se muestran en [Ejemplo de función de Lambda](custom-lambda-idp.md#lambda-auth-examples). ## Función Lambda para usar con AWS Secrets Manager Para AWS Secrets Manager utilizarla como proveedor de identidad, puede trabajar con la función Lambda de la plantilla de ejemplo CloudFormation . La función de Lambda consulta el servicio Secrets Manager con sus credenciales y, si se ejecuta correctamente, devuelve un secreto designado. Para obtener más información acerca de Secrets Manager, consulte la [Guía del usuario de AWS Secrets Manager](https://docs.aws.amazon.com/secretsmanager/latest/userguide/intro.html). Para descargar una CloudFormation plantilla de ejemplo que utilice esta función Lambda, vaya al [bucket de Amazon S3 proporcionado por](https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-secrets-manager-apig.template.yml). AWS Transfer Family ## Mejoras en las plantillas CloudFormation Se han realizado mejoras en la interfaz de API Gateway en las CloudFormation plantillas publicadas. Las plantillas ahora utilizan contraseñas BASE64 codificadas con la API Gateway. Sus implementaciones actuales siguen funcionando sin esta mejora, pero no permiten contraseñas con caracteres que no estén incluidos en el conjunto básico de caracteres US-ASCII. Los cambios en la plantilla que permiten esta capacidad son los siguientes: + El `GetUserConfigRequest AWS::ApiGateway::Method` recurso debe tener este `RequestTemplates` código (la línea en cursiva es la línea actualizada) ``` RequestTemplates: application/json: | { "username": "$util.urlDecode($input.params('username'))", "password": "$util.escapeJavaScript($util.base64Decode($input.params('PasswordBase64'))).replaceAll("\\'","'")", "protocol": "$input.params('protocol')", "serverId": "$input.params('serverId')", "sourceIp": "$input.params('sourceIp')" } ``` + El `RequestParameters` campo correspondiente al `GetUserConfig` recurso debe cambiar para poder utilizar el `PasswordBase64` encabezado (la línea en cursiva es la línea actualizada): ``` RequestParameters: method.request.header.PasswordBase64: false method.request.querystring.protocol: false method.request.querystring.sourceIp: false ``` **Para comprobar si la plantilla de tu pila es la más reciente** 1. Abre la CloudFormation consola en [https://console.aws.amazon.com/cloudformation.](https://console.aws.amazon.com/cloudformation/) 1. De la lista de pilas, elige la tuya. 1. En el panel de detalles, selecciona la pestaña **Plantilla**. 1. Busque lo siguiente: + Busca `RequestTemplates` y asegúrate de tener esta línea: ``` "password": "$util.escapeJavaScript($util.base64Decode($input.params('PasswordBase64'))).replaceAll("\\'","'")", ``` + Busca `RequestParameters` y asegúrate de tener esta línea: ``` method.request.header.PasswordBase64: false ``` Si no ves las líneas actualizadas, edita tu pila. Para obtener más información sobre cómo actualizar la CloudFormation pila, consulta [Modificación de una plantilla de pila](https://docs.aws.amazon.com//AWSCloudFormation/latest/UserGuide/using-cfn-updating-stacks-get-template.html) en la *AWS CloudFormation Guía del usuario*. # Uso de varios métodos de autenticación El servidor Transfer Family controla la lógica AND cuando se utilizan varios métodos de autenticación. Transfer Family trata esto como dos solicitudes independientes a tu proveedor de identidad personalizado; sin embargo, su efecto es combinado. Ambas solicitudes deben devolverse correctamente con la respuesta correcta para permitir que se complete la autenticación. Transfer Family requiere que las dos respuestas estén completas, lo que significa que contienen todos los elementos necesarios (función, directorio principal, política y perfil POSIX si utiliza Amazon EFS para el almacenamiento). Transfer Family también exige que la respuesta de la contraseña no incluya claves públicas. La solicitud de clave pública debe tener una respuesta independiente de la del proveedor de identidad. Ese comportamiento no cambia cuando se utiliza **Contraseña O Clave** o **Contraseña Y Clave**. El protocolo SSH/SFTP desafía al cliente de software primero con una autenticación de clave pública y, a continuación, solicita una autenticación con contraseña. Esta operación exige que ambas se realicen correctamente antes de que el usuario pueda completar la autenticación. Para las opciones de proveedores de identidad personalizados, puede especificar cualquiera de las siguientes opciones sobre cómo autenticarse. + **Contraseña o clave**: los usuarios pueden autenticarse con su contraseña o su clave. Este es el valor predeterminado. + **SOLO con contraseña**: los usuarios deben proporcionar su contraseña para conectarse. + **SOLO clave**: los usuarios deben proporcionar su clave privada para conectarse. + **Contraseña y clave**: los usuarios deben proporcionar su clave privada y su contraseña para conectarse. El servidor comprueba primero la clave y, después, si la clave es válida, el sistema solicita una contraseña. Si la clave privada proporcionada no coincide con la clave pública que se encuentra almacenada, se produce un error en la autenticación. # IPv6 soporte para proveedores de identidad personalizados AWS Transfer Family los proveedores de identidad personalizados admiten totalmente IPv6 las conexiones. Al implementar un proveedor de identidades personalizado, la función Lambda puede recibir y procesar solicitudes de autenticación tanto de clientes como IPv4 de IPv6 clientes sin necesidad de configuración adicional. La función Lambda recibe la dirección IP del cliente en el `sourceIp` campo de la solicitud, que puede ser una IPv4 dirección (por ejemplo`203.0.113.42`) o una IPv6 dirección (por ejemplo,`2001:db8:85a3:8d3:1319:8a2e:370:7348`). La implementación de su proveedor de identidad personalizado debe gestionar ambos formatos de dirección de forma adecuada. **importante** Si su proveedor de identidad personalizado realiza la validación o el registro basados en IP, asegúrese de que su implementación gestione correctamente los formatos de IPv6 dirección. IPv6 las direcciones son más largas que IPv4 las direcciones y utilizan un formato de notación diferente. **nota** Cuando gestione IPv6 las direcciones en su proveedor de identidad personalizado, asegúrese de utilizar las funciones de análisis de IPv6 direcciones adecuadas en lugar de simples comparaciones de cadenas. IPv6las direcciones se pueden representar en varios formatos canónicos (por ejemplo`fd00:b600::ec2`, o). `fd00:b600:0:0:0:0:0:ec2` Utilice las bibliotecas de IPv6 direcciones o funciones adecuadas en su lenguaje de implementación para validar y comparar IPv6 direcciones correctamente. **Example Gestionar ambas IPv6 direcciones IPv4 y las direcciones en un proveedor de identidad personalizado** ``` def lambda_handler(event, context): # Extract the source IP address from the request source_ip = event.get('sourceIp', '') # Log the client IP address (works for both IPv4 and IPv6) print(f"Authentication request from: {source_ip}") # Example of IP-based validation that works with both IPv4 and IPv6 if is_ip_allowed(source_ip): # Continue with authentication # ... else: # Reject the authentication request return { "Role": "", "HomeDirectory": "", "Status": "DENIED" } ``` Para obtener más información sobre la implementación de proveedores de identidad personalizados, consulte[Se utiliza AWS Lambda para integrar su proveedor de identidad](custom-lambda-idp.md).