本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Transfer Family 访问 FSx 适用于 NetApp ONTAP 的文件系统

概述

Transfer Family 通过 S3 接入点支持 Amaz FSx on for NetApp ONTAP。Amazon FSx f NetApp or ONTAP 是一项完全托管的服务，它基于广受欢迎的 ONTAP 文件系统提供高度可靠、可扩展、高性能和功能丰富的文件存储。 NetApp在使用 FSx 文件系统配置 Transfer Family 时，您的用户将使用标准文件传输客户端连接到 Transfer Family 端点。Transfer Family 通过连接到您的 FSx 卷的 S3 接入点路由文件操作，而您的数据则保留在 FSx 文件系统上。要了解有关 NetApp ONTAP FSx 的更多信息，请参阅 NetApp ONTAP FSx 的亚马逊是什么？

此集成使您能够：

先决条件

在使用亚马逊配置 Transfer Family 之前 FSx，您必须满足以下要求。

FSx 针对 NetApp ONTAP 的要求

要使用带有 T FSx ransfer Family 的 NetApp ONTAP，您需要：

要了解更多信息，请参阅亚马逊 FSx NetApp ONTAP 版入门。

所需的 IAM 权限

您可以为每个 S3 接入点配置不同的权限和网络控制，S3 适用于使用该接入点发出的任何请求。S3 接入点支持 IAM 资源策略，您可以使用这些策略按资源、用户或其他条件控制接入点的使用。要使应用程序或用户通过接入点访问文件，接入点和底层卷都必须允许该请求。有关更多信息，请参阅 IAM 接入点策略。

Amazon S3 接入点 FSx 使用双层授权模型，将 IAM 权限与文件系统级权限相结合。这种方法可确保在 AWS 服务级别和底层文件系统级别对数据访问请求进行适当授权。

要使应用程序或用户成功地通过接入点访问数据，S3 接入点策略和底层 FSx 卷都必须允许该请求。

要创建和配置此集成，您需要以下权限：

Trans FSx fer Family 如何使用存储空间

在使用 FSx 文件系统配置 Transfer Family 时，以下组件协同工作以启用文件传输：

要使文件操作成功，两个授权层都必须允许该请求。

文件系统用户身份

每个接入点都使用您在创建接入点时指定的文件系统用户身份。此身份授权通过该接入点发出的所有文件访问请求。文件系统用户是底层 Amazon FSx 文件系统上的用户账户。如果文件系统用户具有只读访问权限，则只有使用访问点发出的读取请求才会获得授权，写入请求会被阻止。如果文件系统用户具有读写访问权限，则使用访问点对连接的卷发出的读取和写入请求都将获得授权。

为创建 S3 接入点 FSx

在配置 Transfer Family 之前，必须创建连接到 FSx 卷的 S3 接入点。S3 接入点被命名为连接到数据源（例如存储桶或 Amazon for ONTAP 卷） FSx 的网络终端节点。您可以使用亚马逊 FSx 控制台、CLI 或 AP AWS I 创建接入 NetApp 点并将其附加到 for ONTAP。 FSx 附加后，您可以使用 S3 对象 APIs 访问您的文件数据。您的数据将继续存储在 Amazon FSx 文件系统中，并且可以继续直接访问您的现有工作负载。您可以继续使用所有 FSx 适用于 NetApp ONTAP 的存储管理功能来管理存储，包括备份、快照、用户和组配额以及压缩。

有关更多信息，请参阅创建接入点。

接入点命名

命名接入点时，请遵循以下准则：

有关命名规则的完整列表，请参阅接入点命名规则、限制和限制。

为 NetApp ONTAP 创建接入点 FSx

使用以下步骤为适用于 NetApp ONTAP 的卷创建 S3 接入点。 FSx

配置文件系统权限

您指定的文件系统用户决定了 Transfer Family 用户可以执行的操作。您必须在 FSx 卷上配置适当的权限。

UNIX 示例：

# Create a directory for Transfer Family users
mkdir -p /vol1/transfer-users

# Set ownership to match the access point user
chown 1001:1001 /vol1/transfer-users

# Set permissions
chmod 755 /vol1/transfer-users

Windows 示例：

# Create a directory for Transfer Family users
New-Item -Path "D:\vol1\transfer-users" -ItemType Directory

# Set permissions for the file system user associated with the access point
# Replace DOMAIN\TransferUser with your Windows user identity
icacls "D:\vol1\transfer-users" /grant "DOMAIN\TransferUser:(OI)(CI)M" /T

# Verify permissions
icacls "D:\vol1\transfer-users"

将 S3 接入点别名与 FSx

在 Transfer Family 中使用 FSx 文件系统时，必须使用 S3 接入点别名。Transfer Family 不支持使用接入点 ARNs 或其他参考方法进行 FSx 存储。

关于接入点别名

当您创建连接到 FSx 卷的 S3 接入点时，Amazon S3 会自动生成接入点别名。此别名是一个唯一标识符，您可以在任何使用 S3 存储桶名称的地方使用该标识符。

对于连接到 FSx 卷的接入点，别名使用以下格式：

access-point-name-metadata-ext-s3alias

别名示例：

my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias

查找您的接入点别名

您可以在创建接入点后找到接入点别名。

查找接入点别名 (CLI)

使用 describe-s3-access-point-attachments 命令。

aws fsx describe-s3-access-point-attachments \
    --filters Name=file-system-id,Values=fs-0123456789abcdef0

响应中包含别名：

{
    "S3AccessPointAttachments": [
        {
            "S3AccessPoint": {
                "ResourceARN": "arn:aws:s3:us-east-1:111122223333:accesspoint/my-fsx-ap",
                "Alias": "my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias"
            }
        }
    ]
}

配置 Transfer Family 用户时，请在主目录映射中使用接入点别名。

主目录格式：

/access-point-alias/path/to/directory

示例：

/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith

配置 Transfer Family 以进行 FSx 存储

创建 S3 接入点后，将 Transfer Family 服务器配置为使用该接入点。

创建 IAM 角色

您必须创建一个 IAM 角色来授予 Transfer Family 对 S3 接入点的访问权限。

IAM 策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowFileOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectTagging",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:us-east-2:111122223333:accesspoint/my-fsx-ap/object/*"
        },
        {
            "Sid": "AllowDirectoryOperations",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:us-east-2:111122223333:accesspoint/my-fsx-ap"
        }
    ]
}

管理用户以进行 FSx 存储

使用使用 S3 接入点别名的主目录映射创建 Transfer Family 用户。

创建用户

创建 FSx 存储用户时，请在主目录映射中使用接入点别名。

创建用户 (CLI)

使用 create-user 命令。用您的别名替换接入点别名。

aws transfer create-user \
    --server-id s-0123456789abcdef0 \
    --user-name jsmith \
    --role arn:aws:iam::111122223333:role/TransferFamilyFSxRole \
    --home-directory-type LOGICAL \
    --home-directory-mappings '[
        {
            "Entry": "/",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith"
        }
    ]'

配置多个目录映射

您可以将多个虚拟目录映射到 FSx 卷上的不同路径。

示例：单独的上传和下载目录

aws transfer create-user \
    --server-id s-0123456789abcdef0 \
    --user-name jsmith \
    --role arn:aws:iam::111122223333:role/TransferFamilyFSxRole \
    --home-directory-type LOGICAL \
    --home-directory-mappings '[
        {
            "Entry": "/inbox",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith/inbox"
        },
        {
            "Entry": "/outbox",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith/outbox"
        }
    ]'

配置文件传输客户端

在 Transfer Family 中使用 FSx 文件系统时，必须将文件传输客户端配置为禁用不支持的功能。

WinSCP 配置

WinSCP 默认使用临时重命名功能，S3 接入点不支持该功能。 FSx

或者，您可以为现有会话禁用此设置：

其他 SFTP 客户端

对于其他 SFTP 客户端，请禁用以下功能（如果有）：

有关具体的配置步骤，请查阅您的客户端文档。

FSx 存储疑难解答

本节介绍如何识别和解决在 FSx 文件系统中使用 Transfer Family 时的常见问题。

文件操作问题

权限被拒绝

如果您收到权限被拒绝的错误：

使用 WinSCP 上传失败

如果使用 WinSCP 上传文件失败，请禁用临时重命名：

有关更多信息，请参阅 配置文件传输客户端。

文件上传失败

如果文件上传失败：