翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

SFTP コネクタのセットアップと使用

コネクタの目的は、 AWS ストレージとパートナーの SFTP サーバーとの関係を確立することです。Amazon S3 からパートナーが所有する外部の宛先にファイルを送信できます。SFTP コネクタを使用して、パートナーの SFTP サーバーからファイルを取得することもできます。

このチュートリアルでは、サービスマネージド型と VPC_LATTICE 出力タイプの両方を使用して SFTP コネクタをセットアップし、Amazon S3 ストレージと SFTP サーバー間でファイルを転送する方法について説明します。

SFTP コネクタは から SFTP 認証情報を取得 AWS Secrets Manager してリモート SFTP サーバーに認証し、接続を確立します。コネクタは、リモートサーバーとの間でファイルを送信または取得し、Amazon S3 にファイルを保存します。サービスマネージドエグレス ( AWS マネージドインフラストラクチャを使用) または VPC エグレス (クロス VPC リソースアクセスを使用した VPC 経由のルーティング) を選択できます。IAM ロールは、Amazon S3 バケットと Secrets Manager に保存されている認証情報へのアクセスを許可するために使用されます。また、Amazon CloudWatch にログインすることもできます。

次のブログ記事では、SFTP コネクタを使用して MFT ワークフローを構築するためのリファレンスアーキテクチャを提供します。これには、SFTP コネクタを使用してリモート SFTP サーバーに送信する前に PGP を使用してファイルを暗号化する、SFTP コネクタと PGP AWS Transfer Family 暗号化を使用した安全で準拠のマネージドファイル転送の設計が含まれます。

コネクタ出力タイプ

SFTP コネクタは、コネクタがトラフィックをリモート SFTP サーバーにルーティングする方法を決定する 2 つの出力タイプをサポートしています。

このチュートリアルでは、両方の出力タイプについて説明します。次の必要がある場合は、VPC 出力タイプを選択します。

ステップ 1: 必要なサポートリソースを作成する

SFTP コネクタを使用して、Amazon S3 と任意のリモート SFTP サーバー間でファイルをコピーできます。このチュートリアルでは、リモート SFTP AWS Transfer Family サーバーとして サーバーを使用しています。次のリソースを作成して設定する必要があります。

VPC 出力タイプコネクタの場合、以下も必要です。

Amazon S3 バケットを作成する

Amazon S3 バケットの作成の詳細については、Amazon Simple Storage Service ユーザーガイドのS3 バケットの作成方法」を参照してください。

必要なアクセス許可を持つ IAM ロールを作成する

アクセスロールには、次のアクセス許可を持つポリシーを作成します。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

次のように項目を置き換えます。

また、このロールに、ユーザーの転送リクエストを処理するときにコネクタがリソースにアクセスできるようにする信頼関係が含まれていることを確認する必要があります。信頼関係の確立の詳細については、信頼関係を確立するには を参照してください。

シークレットを作成して に保存する AWS Secrets Manager

SFTP コネクタのユーザー認証情報を保存するには、Secrets Manager にシークレットを保存する必要があります。パスワード、SSH プライベートキー、またはその両方を使用できます。チュートリアルでは、プライベートキーを使用しています。

シークレットを保存する手順を開始する前に、プライベートキーを取得してフォーマットします。プライベートキーは、リモート SFTP サーバーのユーザー用に設定されたパブリックキーに対応する必要があります。このチュートリアルでは、プライベートキーは、リモートサーバーとして使用している Transfer Family SFTP サーバーにテストユーザー用に保存されているパブリックキーに対応している必要があります。

これを行うには、次のコマンドを実行します。

jq -sR . path-to-private-key-file

たとえば、プライベートキーファイルが にある場合~/.ssh/sftp-testuser-privatekey、 コマンドは次のようになります。

jq -sR . ~/.ssh/sftp-testuser-privatekey

これにより、キーが正しい形式 (改行文字が埋め込まれている) で標準出力に出力されます。このテキストは、次の手順 (ステップ 6) で貼り付ける必要があるため、どこかにコピーします。

リソースゲートウェイを作成する (VPC 出力タイプのみ)

VPC 出力タイプのコネクタの場合は、VPC に Resource Gateway を作成する必要があります。Resource Gateway は、クロス VPC リソースアクセスのエントリポイントとして機能します。

リソース設定を作成する (VPC 出力タイプのみ)

SFTP サーバーを指すリソース設定を作成します。これは、VPC 内のサーバーのプライベート IP アドレスでも、外部サーバーのパブリック DNS 名でもかまいません。リソース設定の詳細については、「Amazon VPC Lattice ユーザーガイド」の「リソース設定」を参照してください。

ステップ 2: SFTP コネクタを作成してテストする

このセクションでは、前に作成したすべてのリソースを使用する SFTP コネクタを作成します。詳細については、SFTP コネクタの作成を参照してください。

を使用してコネクタを作成することもできます AWS Command Line Interface。

SFTP コネクタを作成した後、新しいコネクタを使用してファイルを転送する前にテストすることをお勧めします。

Test a connector using the console

SFTP コネクタをテストするには

1. https://console.aws.amazon.com/transfer/ で AWS Transfer Family コンソールを開きます。

2. 左側のナビゲーションペインで、SFTP コネクタを選択し、コネクタを選択します。

3. [アクション] メニューから[テスト接続] を選択します。

   

システムはテストが合格したかどうかを示すメッセージを返します。テストに失敗した場合、システムは失敗の理由に基づいたエラーメッセージを提供します。

Test a connector using the CLI

を使用してコネクタをテストするには AWS Command Line Interface、コマンドプロンプトで次のコマンドを実行します (connector-id を実際のコネクタ ID に置き換えます）。

aws transfer test-connection --connector-id c-connector-id

テストが成功すると、次の行が返されます。

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

テストが失敗した場合は、次のような説明的なエラーメッセージが表示されます。

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

VPC 出力タイプコネクタを記述すると、レスポンスに新しいフィールドが含まれます。

{
   "Connector": { 
      "AccessRole": "arn:aws:iam::219573224423:role/sftp-connector-role",
      "Arn": "arn:aws:transfer:us-east-1:219573224423:connector/c-5dfa309ccabf40759",
      "ConnectorId": "c-5dfa309ccabf40759",
      "Status": "ACTIVE",
      "EgressConfig": {
        "ResourceConfigurationArn": "arn:aws:vpc-lattice:us-east-1:025066256552:resourceconfiguration/rcfg-079259b27a357a190"
      },
      "EgressType": "VPC",
      "ServiceManagedEgressIpAddresses": null,
      "SftpConfig": { 
         "TrustedHostKeys": [ "ssh-rsa AAAAB3NzaC..." ],
         "UserSecretId": "aws/transfer/sftp-connector1"
      },
      "Url": "sftp://my.sftp.server.com:22"
   }
}

トラフィックServiceManagedEgressIpAddressesは AWS マネージドインフラストラクチャではなく VPC を通過するため、VPC 出力タイプコネクタでは は null です。

ステップ 3: SFTP コネクタを使用してファイルを送信および取得する

わかりやすくするために、Amazon S3 バケットにファイルがすでにあることを前提としています。

まず、Amazon S3 バケットからリモート SFTP サーバーにファイルを送信します。コマンドプロンプトから、次のコマンドを実行します。

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/sftp-server-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

これで、sftp-server-storage-eastバケットは次のようになります。

ファイルが正常に表示されない場合は、CloudWatch ログを確認してください。

成功すると、ログエントリは次のようになります。

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

ファイル転送が失敗した場合、ログエントリには問題を指定するエラーメッセージが含まれます。エラーの一般的な原因は、IAM アクセス許可の問題と誤ったファイルパスです。

次に、SFTP サーバーから Amazon S3 バケットにファイルを取得します。コマンドプロンプトから、次のコマンドを実行します。

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/sftp-server-storage-east/incoming"

転送が成功すると、Amazon S3 バケットには、次に示すように転送されたファイルが含まれます。

成功すると、ログエントリは次のようになります。

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/c-connector-id",
    "local-directory-path": "/sftp-server-storage-east/incoming"
}

VPC 出力タイプコネクタのトラブルシューティング

VPC 出力タイプコネクタで問題が発生した場合は、以下を確認してください。

VPC 出力タイプのコストに関する考慮事項:

リモート SFTP サーバーとして使用する Transfer Family サーバーを作成する手順

以下に、このチュートリアルのリモート SFTP サーバーとして機能する Transfer Family サーバーを作成する手順の概要を示します。次の点に注意してください。

Transfer Family SFTP サーバーとユーザーを作成する

ユーザーを持つ SFTP サーバーがすでにあり、このサーバーを使用してファイルを送受信できるため、ほとんどのユーザーは Transfer Family SFTP サーバーとユーザーを作成する必要はありません。ただし、このチュートリアルでは、簡単にするために、Transfer Family サーバーを使用してリモート SFTP サーバーとして機能します。

「」で説明されている手順に従ってサーバーSFTP 対応サーバーの作成を作成し、ユーザーステップ 3: サービスマネージドユーザーを追加するを追加します。チュートリアルで使用しているユーザーの詳細は次のとおりです。

ユーザーロールとアクセスロールの組み合わせ

このチュートリアルでは、単一の結合ロールを使用しています。このロールは、SFTP ユーザーとコネクタへのアクセスの両方に使用されます。次の例には、チュートリアルのタスクを実行する場合に備えて、このロールの詳細が含まれています。

次の例では、Amazon S3 の 2 つのバケットと、Secrets Manager に保存aws/transfer/sftp-connector1されている という名前のシークレットにアクセスするために必要なアクセス許可を付与します。このチュートリアルでは、このロールの名前は ですsftp-connector-role。

Transfer Family のロールの作成の詳細については、「」で説明されている手順に従ってロールユーザーロールの作成を作成します。