Crea un connettore SFTP con uscita basata su VPC

Per creare un connettore SFTP compatibile con VPC_Lattice

1. Apri AWS Transfer Family la console all'https://console.aws.amazon.com/transfer/indirizzo.

2. Nel riquadro di navigazione a sinistra, scegli Connettori SFTP, quindi scegli Crea connettore SFTP.

3. Nella sezione Configurazione del connettore, per il tipo di uscita, scegli VPC Lattice.

   Questa opzione indirizza il traffico attraverso il tuo VPC utilizzando Amazon VPC Lattice per l'accesso alle risorse tra VPC. Puoi utilizzare questa opzione per connetterti a endpoint server ospitati privatamente, instradare il traffico attraverso i controlli di sicurezza del tuo VPC o utilizzare i tuoi gateway NAT e indirizzi IP elastici. L'indirizzo del server SFTP remoto è rappresentato come configurazione delle risorse nel tuo VPC. Per ulteriori informazioni sulle configurazioni delle risorse, consulta Configurazioni delle risorse per le risorse VPC nella Amazon VPC Lattice User Guide.

4. Completa la configurazione del connettore:

   • Per il ruolo Access, scegli l'Amazon Resource Name (ARN) del ruolo AWS Identity and Access Management (IAM) da utilizzare.

     • Assicurati che questo ruolo fornisca l'accesso in lettura e scrittura alla directory principale della posizione del file utilizzata nella StartFileTransfer richiesta.

     • Assicurati che questo ruolo fornisca l'autorizzazione secretsmanager:GetSecretValue per accedere al segreto.

       Nota

       Nella policy, è necessario specificare l'ARN per il segreto. L'ARN contiene il nome segreto, ma aggiunge al nome sei caratteri alfanumerici casuali. Un ARN per un segreto ha il seguente formato.

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • Assicurati che questo ruolo contenga una relazione di fiducia che consenta al connettore di accedere alle tue risorse per soddisfare le richieste di trasferimento degli utenti. Per i dettagli su come stabilire una relazione di fiducia, consulta. Per stabilire una relazione di trust

     {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     Nota

     Per il ruolo di accesso, l'esempio concede l'accesso a un singolo segreto. Tuttavia, puoi utilizzare un carattere jolly, che può far risparmiare lavoro se desideri riutilizzare lo stesso ruolo IAM per più utenti e segreti. Ad esempio, la seguente dichiarazione di risorsa concede le autorizzazioni per tutti i segreti il cui nome inizia con. aws/transfer

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     È inoltre possibile archiviare i segreti contenenti le credenziali SFTP in un altro. Account AWS Per i dettagli sull'abilitazione dell'accesso segreto tra account, consulta Autorizzazioni ai Gestione dei segreti AWS segreti per gli utenti di un altro account.

   • Per Resource Configuration ARN, inserisci l'ARN della VPC Lattice Resource Configuration che punta al tuo server SFTP:

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • (Facoltativo) Per il ruolo Logging, scegli il ruolo IAM per il connettore da utilizzare per inviare eventi ai tuoi log. CloudWatch

     {
         "Version":"2012-10-17",		 	 	 
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. Nella sezione Configurazione SFTP, fornisci le seguenti informazioni:

   • Per le credenziali del connettore, scegliete il nome di un segreto Gestione dei segreti AWS che contiene la chiave privata o la password dell'utente SFTP.

   • Per le chiavi host affidabili, incollate la parte pubblica della chiave host utilizzata per identificare il server esterno oppure lasciatela vuota per configurarla in un secondo momento utilizzando il TestConnection comando.

     Poiché questa chiave host è per un connettore VPC_LATTICE, rimuovi il nome host nella chiave

   • (Facoltativo) Per il numero massimo di connessioni simultanee, scegliete il numero di connessioni simultanee che il connettore crea al server remoto (l'impostazione predefinita è 5).

6. Nella sezione Opzioni dell'algoritmo di crittografia, scegli una politica di sicurezza dall'elenco a discesa.

7. (Facoltativo) Nella sezione Tag, aggiungi i tag come coppie chiave-valore.

8. Scegli Crea connettore SFTP per creare il connettore SFTP abilitato a VPC_Lattice.