VPC ベースの出力で SFTP コネクタを作成する

VPC_LATTICE 対応 SFTP コネクタを作成するには

1. https://console.aws.amazon.com/transfer/ で AWS Transfer Family コンソールを開きます。

2. 左側のナビゲーションペインで、SFTP コネクタを選択し、SFTP コネクタの作成を選択します。

3. コネクタ設定セクションの Egress type で、VPC Lattice を選択します。

   このオプションは、クロス VPC リソースアクセスに Amazon VPC Lattice を使用して VPC 経由でトラフィックをルーティングします。このオプションを使用して、プライベートにホストされたサーバーエンドポイントに接続したり、VPC のセキュリティコントロールを介してトラフィックをルーティングしたり、独自の NAT ゲートウェイと Elastic IP アドレスを使用したりできます。リモート SFTP サーバーのアドレスは、VPC のリソース設定として表されます。リソース設定の詳細については、「Amazon VPC Lattice ユーザーガイド」の「VPC リソースのリソース設定」を参照してください。

4. コネクタ設定を完了します。

   • アクセスロールで、使用する (IAM) ロールの Amazon リソースネーム AWS Identity and Access Management (ARN) を選択します。

     • StartFileTransfer リクエストで使用されるファイルロケーションの親ディレクトリに対して、このロールが読み取りと書き込みのアクセスを提供することを確認します。

     • secretsmanager:GetSecretValue このロールがシークレットへのアクセス許可を提供していることを確認してください。

       注記

       ポリシーでは、シークレットの ARN を指定する必要があります。ARN にはシークレット名が含まれていますが、名前に 6 つのランダムな英数字を追加します。シークレットの ARN の形式は次のとおりです。

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • 「このロールに信頼関係が含まれていることを確認する」ことで、ユーザーの転送要求に対応する際に、コネクタがリソースにアクセスできません。信頼関係の確立の詳細については、信頼関係を確立するには を参照してください。

     {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     注記

     アクセス ロールの場合、この例では 1 つのシークレットへのアクセスを許可します。ただし、ワイルドカード文字を使用すると、複数のユーザーとシークレットに対して同じ IAM ロールを再利用する場合に作業を節約できます。例えば、次のリソース ステートメントは、aws/transfer で始まる名前を持つすべてのシークレットに対するアクセス許可を付与します。

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     SFTP 認証情報を含むシークレットを別の AWS アカウントに保存することもできます。クロスアカウントシークレットアクセスの有効化の詳細については、「別のアカウントのユーザーの AWS Secrets Manager シークレットへのアクセス許可」を参照してください。

   • リソース設定 ARN には、SFTP サーバーを指す VPC Lattice リソース設定の ARN を入力します。

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • (オプション) [Logging ロールでは]、CloudWatch ログにイベントをプッシュするために使用するコネクタの IAM ロールを選択します。

     {
         "Version":"2012-10-17",		 	 	 
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. 「SFTPの設定」セクションで、以下の情報を入力する：

   • Connector 認証情報で、SFTP ユーザーのプライベートキーまたはパスワード AWS Secrets Manager を含む のシークレットの名前を選択します。

   • 信頼できるホストキーの場合は、外部サーバーを識別するために使用されるホストキーのパブリック部分に貼り付けるか、空のままにして後で TestConnection コマンドを使用して を設定します。

     このホストキーは VPC_LATTICE コネクタ用であるため、キー内のホスト名を削除します。

   • (オプション) 最大同時接続数で、コネクタがリモートサーバーに作成する同時接続の数を選択します (デフォルトは 5)。

6. 暗号化アルゴリズムオプションセクションで、ドロップダウンリストからセキュリティポリシーを選択します。

7. (オプション) タグセクションで、キーと値のペアとしてタグを追加します。

8. SFTP コネクタの作成 を選択して、VPC_LATTICE 対応 SFTP コネクタを作成します。