Création d'un connecteur SFTP avec sortie basée sur VPC

Pour créer un connecteur SFTP compatible avec VPC_Lattice

1. Ouvrez la AWS Transfer Family console à l'adresse https://console.aws.amazon.com/transfer/.

2. Dans le volet de navigation de gauche, choisissez SFTP Connectors, puis Create SFTP connector.

3. Dans la section Configuration du connecteur, pour le type de sortie, choisissez VPC Lattice.

   Cette option achemine le trafic via votre VPC à l'aide d'Amazon VPC Lattice pour l'accès aux ressources entre VPC. Vous pouvez utiliser cette option pour vous connecter à des points de terminaison de serveurs hébergés en privé, acheminer le trafic via les contrôles de sécurité de votre VPC ou utiliser vos propres passerelles NAT et adresses IP élastiques. L'adresse du serveur SFTP distant est représentée sous forme de configuration de ressources dans votre VPC. Pour plus d'informations sur les configurations des ressources, consultez la section Configurations des ressources pour les ressources VPC dans le guide de l'utilisateur Amazon VPC Lattice.

4. Terminez la configuration du connecteur :

   • Pour le rôle Access, choisissez le nom de ressource Amazon (ARN) du rôle AWS Identity and Access Management (IAM) à utiliser.

     • Assurez-vous que ce rôle fournit un accès en lecture et en écriture au répertoire parent de l'emplacement du fichier utilisé dans la StartFileTransfer demande.

     • Assurez-vous que ce rôle autorise l'secretsmanager:GetSecretValueaccès au secret.

       Note

       Dans la politique, vous devez spécifier l'ARN du secret. L'ARN contient le nom secret, mais y ajoute six caractères alphanumériques aléatoires. L'ARN d'un secret a le format suivant.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Assurez-vous que ce rôle contient une relation de confiance qui permet au connecteur d'accéder à vos ressources lorsqu'il répond aux demandes de transfert de vos utilisateurs. Pour plus de détails sur l'établissement d'une relation de confiance, voirÉtape 1 : Établir une relation d'approbation.

     {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     Note

     Pour le rôle d'accès, l'exemple accorde l'accès à un secret unique. Vous pouvez toutefois utiliser un caractère générique, ce qui peut vous faire économiser du travail si vous souhaitez réutiliser le même rôle IAM pour plusieurs utilisateurs et plusieurs secrets. Par exemple, l'instruction de ressource suivante accorde des autorisations pour tous les secrets dont le nom commence paraws/transfer.

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     Vous pouvez également stocker des secrets contenant vos informations d'identification SFTP dans un autre Compte AWS. Pour plus de détails sur l'activation de l'accès secret entre comptes, voir Autorisations relatives aux AWS Secrets Manager secrets pour les utilisateurs d'un autre compte.

   • Pour l'ARN de configuration des ressources, entrez l'ARN de la configuration des ressources en treillis VPC qui pointe vers votre serveur SFTP :

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • (Facultatif) Pour le rôle de journalisation, choisissez le rôle IAM que le connecteur doit utiliser pour transférer des événements vers vos CloudWatch journaux.

     {
         "Version":"2012-10-17",		 	 	 
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. Dans la section Configuration SFTP, fournissez les informations suivantes :

   • Pour les informations d'identification du connecteur, choisissez le nom d'un secret AWS Secrets Manager contenant la clé privée ou le mot de passe de l'utilisateur SFTP.

   • Pour les clés d'hôte fiables, collez la partie publique de la clé d'hôte utilisée pour identifier le serveur externe, ou laissez le champ vide pour le configurer ultérieurement à l'aide de la TestConnection commande.

     Comme cette clé d'hôte est destinée à un connecteur VPC_LATTICE, supprimez le nom d'hôte dans la clé

   • (Facultatif) Pour Nombre maximal de connexions simultanées, choisissez le nombre de connexions simultanées que votre connecteur crée avec le serveur distant (la valeur par défaut est 5).

6. Dans la section Options de l'algorithme cryptographique, choisissez une politique de sécurité dans la liste déroulante.

7. (Facultatif) Dans la section Balises, ajoutez des balises sous forme de paires clé-valeur.

8. Choisissez Create SFTP connector pour créer le connecteur SFTP compatible VPC_Lattice.