As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurando e usando conectores SFTP

O objetivo de um conector é estabelecer uma relação entre seu AWS armazenamento e o servidor SFTP de um parceiro. É possível enviar arquivos do Amazon S3 para um destino externo de propriedade do parceiro. É possível também usar um conector SFTP para recuperar arquivos do servidor SFTP de um parceiro.

Este tutorial ilustra como configurar um conector SFTP com os tipos de saída gerenciado e VPC_LATTICE e, em seguida, transferir arquivos entre o armazenamento do Amazon S3 e um servidor SFTP.

Um conector SFTP recupera as credenciais do SFTP AWS Secrets Manager para se autenticar em um servidor SFTP remoto e estabelecer uma conexão. O conector envia ou recupera arquivos do servidor remoto e armazena os arquivos no Amazon S3. Você pode escolher entre saída gerenciada por serviço (usando infraestrutura AWS gerenciada) ou saída de VPC (roteamento por sua VPC usando acesso a recursos entre VPCs). Uma função do IAM é usada para permitir acesso ao bucket do Amazon S3 e às credenciais armazenadas no Secrets Manager. E você pode fazer login na Amazon CloudWatch.

A postagem de blog a seguir fornece uma arquitetura de referência para criar um fluxo de trabalho de MFT usando conectores SFTP, incluindo criptografia de arquivos usando PGP antes de enviá-los para um servidor SFTP remoto usando conectores SFTP: Arquitetando transferências de arquivos gerenciadas seguras e compatíveis com conectores SFTP e criptografia PGP. AWS Transfer Family

Tipos de saída do conector

Os conectores SFTP oferecem suporte a dois tipos de saída que determinam como seu conector roteia o tráfego para servidores SFTP remotos:

Este tutorial aborda os dois tipos de saída. Escolha o tipo de saída de VPC quando precisar:

Etapa 1: criar os recursos de suporte necessários

Você pode usar conectores SFTP para copiar arquivos entre o Amazon S3 e qualquer servidor SFTP remoto. Para este tutorial, estamos usando um AWS Transfer Family servidor como nosso servidor SFTP remoto. Precisamos criar e configurar os seguintes recursos:

Para conectores do tipo de saída VPC, você também precisa de:

Crie buckets do Amazon S3

Para obter detalhes completos sobre a criação de buckets do Amazon S3, consulte Como faço para criar um bucket S3? no Guia do usuário do Amazon Simple Storage Service.

Crie uma função do IAM com as permissões necessárias

Para a função de acesso, crie uma política com as seguintes permissões.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

Substitua os itens da seguinte forma:

Você também deve garantir que essa função contenha uma relação de confiança que permita que o conector acesse seus recursos ao atender às solicitações de transferência de seus usuários. Para obter informações sobre como estabelecer um relacionamento de confiança, consulte Estabelecer um relacionamento de confiança.

Crie e armazene um segredo em AWS Secrets Manager

Precisamos armazenar um segredo no Secrets Manager para armazenar as credenciais do usuário para seu conector SFTP. Você pode usar uma senha, chave privada SSH ou ambas. Para o tutorial, estamos usando uma chave privada.

Antes de iniciar o procedimento para armazenar o segredo, recupere e formate sua chave privada. A chave privada deve corresponder à chave pública configurada para o usuário no servidor SFTP remoto. Para nosso tutorial, a chave privada deve corresponder à chave pública armazenada para nosso usuário de teste no servidor SFTP Transfer Family que estamos usando como servidor remoto.

Para fazer isso, execute o seguinte comando:

jq -sR . path-to-private-key-file

Por exemplo, se seu arquivo de chave privada estiver localizado em~/.ssh/sftp-testuser-privatekey, o comando será o seguinte.

jq -sR . ~/.ssh/sftp-testuser-privatekey

Isso gera a chave no formato correto (com caracteres de nova linha incorporados) na saída padrão. Copie esse texto em algum lugar, pois você precisa colá-lo no procedimento a seguir (na etapa 6).

Crie um gateway de recursos (somente tipo de saída de VPC)

Para conectores do tipo de saída VPC, você precisa criar um Resource Gateway em sua VPC. O Resource Gateway serve como ponto de entrada para o acesso a recursos entre VPCs.

Crie uma configuração de recursos (somente tipo de saída de VPC)

Crie uma configuração de recursos que aponte para seu servidor SFTP. Isso pode ser um endereço IP privado para servidores em sua VPC ou um nome DNS público para servidores externos. Para obter mais informações sobre configurações de recursos, consulte Configurações de recursos no Guia do usuário do Amazon VPC Lattice.

Etapa 2: criar e testar um conector SFTP

Nesta seção, criamos um conector SFTP que usa todos os recursos que criamos anteriormente. Consulte mais detalhes em Criação de conectores SFTP.

Você também pode criar conectores usando o. AWS Command Line Interface

Depois de criar um conector SFTP, recomendamos que você o teste antes de tentar transferir qualquer arquivo usando o novo conector.

Test a connector using the console

Para testar um conector SFTP

1. Abra o AWS Transfer Family console em https://console.aws.amazon.com/transfer/.

2. No painel de navegação esquerdo, escolha Conectores SFTP e selecione um conector.

3. No menu Ações, selecione Testar conexões.

   

O sistema retorna uma mensagem indicando se o teste foi aprovado ou reprovado. Se o teste falhar, o sistema enviará uma mensagem de erro com base no motivo pelo qual o teste falhou.

Test a connector using the CLI

Para testar um conector usando o AWS Command Line Interface, execute o seguinte comando em um prompt de comando (connector-idsubstitua pelo ID real do conector):

aws transfer test-connection --connector-id c-connector-id

Se o teste for bem-sucedido, as seguintes linhas serão retornadas:

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

Se o teste não for bem-sucedido, você receberá uma mensagem de erro descritiva, por exemplo:

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

Quando você descreve um conector do tipo de saída VPC, a resposta inclui os novos campos:

{
   "Connector": { 
      "AccessRole": "arn:aws:iam::219573224423:role/sftp-connector-role",
      "Arn": "arn:aws:transfer:us-east-1:219573224423:connector/c-5dfa309ccabf40759",
      "ConnectorId": "c-5dfa309ccabf40759",
      "Status": "ACTIVE",
      "EgressConfig": {
        "ResourceConfigurationArn": "arn:aws:vpc-lattice:us-east-1:025066256552:resourceconfiguration/rcfg-079259b27a357a190"
      },
      "EgressType": "VPC",
      "ServiceManagedEgressIpAddresses": null,
      "SftpConfig": { 
         "TrustedHostKeys": [ "ssh-rsa AAAAB3NzaC..." ],
         "UserSecretId": "aws/transfer/sftp-connector1"
      },
      "Url": "sftp://my.sftp.server.com:22"
   }
}

Observe que isso ServiceManagedEgressIpAddresses é nulo para conectores do tipo de saída de VPC, pois o tráfego é roteado por sua VPC em vez da infraestrutura gerenciada. AWS

Etapa 3: Enviar e recuperar arquivos usando o conector SFTP

Para simplificar, presumimos que você já tenha arquivos em seu bucket do Amazon S3.

Primeiro, enviamos um arquivo do nosso bucket Amazon S3 para o servidor SFTP remoto. Em um prompt de comando, execute o seguinte comando:

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/sftp-server-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

Seu sftp-server-storage-east balde agora deve ficar assim.

Se você não vê o arquivo conforme o esperado, verifique seus CloudWatch registros.

Se for bem-sucedida, a entrada do registro terá a seguinte aparência:

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

Se a transferência do arquivo falhar, a entrada do registro conterá uma mensagem de erro que especifica o problema. As causas comuns de erros são problemas com as permissões do IAM e caminhos de arquivo incorretos.

Em seguida, recuperamos um arquivo do servidor SFTP em um bucket do Amazon S3. Em um prompt de comando, execute o seguinte comando:

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/sftp-server-storage-east/incoming"

Se a transferência for bem-sucedida, seu bucket do Amazon S3 conterá o arquivo transferido, conforme mostrado aqui.

Se for bem-sucedida, a entrada do registro terá a seguinte aparência:

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/c-connector-id",
    "local-directory-path": "/sftp-server-storage-east/incoming"
}

Solução de problemas de conectores do tipo de saída VPC

Se você estiver enfrentando problemas com conectores do tipo de saída VPC, verifique o seguinte:

Considerações de custo para o tipo de saída de VPC:

Procedimentos para criar um servidor Transfer Family para usar como seu servidor SFTP remoto

A seguir, descrevemos as etapas para criar um servidor Transfer Family que sirva como seu servidor SFTP remoto para este tutorial. Observe o seguinte:

Crie um servidor SFTP Transfer Family e um usuário

A maioria dos usuários não precisará criar um servidor SFTP Transfer Family e um usuário, pois você já tem um servidor SFTP com usuários e pode usar esse servidor para transferir arquivos de e para. No entanto, para este tutorial, para simplificar, estamos usando um servidor Transfer Family para funcionar como o servidor SFTP remoto.

Siga o procedimento descrito em Criar um servidor habilitado para SFTP para criar um servidor e Etapa 3: Adicionar um usuário gerenciado de serviço adicionar um usuário. Estes são os detalhes do usuário que estamos usando para o tutorial:

Função combinada de usuário e acesso

Para o tutorial, estamos usando uma única função combinada. Usamos essa função tanto para nosso usuário de SFTP quanto para acessar o conector. O exemplo a seguir contém os detalhes dessa função, caso você queira realizar as tarefas do tutorial.

O exemplo a seguir concede as permissões necessárias para acessar nossos dois buckets no Amazon S3 e o segredo aws/transfer/sftp-connector1 chamado armazenado no Secrets Manager. Para o tutorial, essa função é nomeadasftp-connector-role.

Para obter detalhes completos sobre a criação de funções para Transfer Family, siga o procedimento descrito em Criação de um perfil de usuário Para criar uma função.