本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定和使用 SFTP 連接器

連接器的目的是在 AWS 儲存體與合作夥伴的 SFTP 伺服器之間建立關係。您可以將檔案從 Amazon S3 傳送至外部、合作夥伴擁有的目的地。您也可以使用 SFTP 連接器從合作夥伴的 SFTP 伺服器擷取檔案。

本教學課程說明如何設定具有服務受管和 VPC_LATTICE 輸出類型的 SFTP 連接器，然後在 Amazon S3 儲存體和 SFTP 伺服器之間傳輸檔案。

SFTP 連接器會從 擷取 SFTP 登入資料 AWS Secrets Manager ，以向遠端 SFTP 伺服器進行身分驗證並建立連線。連接器會將檔案傳送至遠端伺服器或從遠端伺服器擷取檔案，並將檔案存放在 Amazon S3 中。您可以選擇服務受管輸出 （使用 AWS 受管基礎設施） 或 VPC 輸出 （使用跨 VPC 資源存取透過 VPC 路由）。IAM 角色用於允許存取 Amazon S3 儲存貯體和存放在 Secrets Manager 中的登入資料。您也可以登入 Amazon CloudWatch。

下列部落格文章提供使用 SFTP 連接器建置 MFT 工作流程的參考架構，包括在使用 SFTP 連接器將檔案傳送到遠端 SFTP 伺服器之前，先使用 PGP 加密檔案：使用 AWS Transfer Family SFTP 連接器和 PGP 加密來建構安全且合規的受管檔案傳輸。

連接器輸出類型

SFTP 連接器支援兩種輸出類型，可決定連接器將流量路由到遠端 SFTP 伺服器的方式：

本教學課程涵蓋這兩種輸出類型。當您需要以下項目時，請選擇 VPC 輸出類型：

步驟 1：建立必要的支援資源

您可以使用 SFTP 連接器在 Amazon S3 和任何遠端 SFTP 伺服器之間複製檔案。在本教學課程中，我們使用 AWS Transfer Family 伺服器做為遠端 SFTP 伺服器。我們需要建立和設定下列資源：

對於 VPC 輸出類型連接器，您也需要：

建立 Amazon S3 儲存貯體

如需建立 Amazon S3 儲存貯體的完整詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》中的如何建立 S3 儲存貯體？。

建立具有必要許可的 IAM 角色

針對存取角色，建立具有下列許可的政策。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

取代項目，如下所示：

您也必須確保此角色包含信任關係，允許連接器在服務使用者的傳輸請求時存取您的資源。如需建立信任關係的詳細資訊，請參閱 建立信任關係。

在 中建立和存放秘密 AWS Secrets Manager

我們需要將秘密存放在 Secrets Manager 中，以存放 SFTP 連接器的使用者登入資料。您可以使用密碼、SSH 私有金鑰或兩者。針對教學課程，我們使用私有金鑰。

開始存放秘密的程序之前，請擷取私有金鑰並將其格式化。私有金鑰必須對應至遠端 SFTP 伺服器上為使用者設定的公有金鑰。在我們的教學課程中，私有金鑰必須對應到為測試使用者儲存在用作遠端伺服器的 Transfer Family SFTP 伺服器上的公有金鑰。

若要執行此操作，請執行下列命令：

jq -sR . path-to-private-key-file

例如，如果您的私有金鑰檔案位於 中~/.ssh/sftp-testuser-privatekey，則命令如下。

jq -sR . ~/.ssh/sftp-testuser-privatekey

這會以正確的格式 （含內嵌換行字元） 將金鑰輸出至標準輸出。將此文字複製到某個位置，因為您需要在下列程序中貼上 （步驟 6)。

建立資源閘道 （僅限 VPC 輸出類型）

對於 VPC 輸出類型連接器，您需要在 VPC 中建立資源閘道。資源閘道可做為跨 VPC 資源存取的進入點。

建立資源組態 （僅限 VPC 輸出類型）

建立指向 SFTP 伺服器的資源組態。這可以是 VPC 中伺服器的私有 IP 地址，或外部伺服器的公有 DNS 名稱。如需資源組態的詳細資訊，請參閱《Amazon VPC Lattice 使用者指南》中的資源組態。

步驟 2：建立和測試 SFTP 連接器

在本節中，我們會建立使用先前建立的所有資源的 SFTP 連接器。如需詳細資訊，請參閱建立 SFTP 連接器。

您也可以使用 建立連接器 AWS Command Line Interface。

建立 SFTP 連接器之後，建議您在嘗試使用新連接器傳輸任何檔案之前進行測試。

Test a connector using the console

測試 SFTP 連接器

1. 在 https：//https://console.aws.amazon.com/transfer/ 開啟 AWS Transfer Family 主控台。

2. 在左側導覽窗格中，選擇 SFTP 連接器，然後選取連接器。

3. 從動作功能表中，選擇測試連線。

   

系統會傳回訊息，指出測試通過或失敗。如果測試失敗，系統會根據測試失敗的原因提供錯誤訊息。

Test a connector using the CLI

若要使用 測試連接器 AWS Command Line Interface，請在命令提示字元中執行下列命令 （以實際連接器 ID 取代 連接器 ID)：

aws transfer test-connection --connector-id c-connector-id

如果測試成功，則會傳回下列行：

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

如果測試失敗，您會收到描述性錯誤訊息，例如：

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

當您描述 VPC 輸出類型連接器時，回應會包含新欄位：

{
   "Connector": { 
      "AccessRole": "arn:aws:iam::219573224423:role/sftp-connector-role",
      "Arn": "arn:aws:transfer:us-east-1:219573224423:connector/c-5dfa309ccabf40759",
      "ConnectorId": "c-5dfa309ccabf40759",
      "Status": "ACTIVE",
      "EgressConfig": {
        "ResourceConfigurationArn": "arn:aws:vpc-lattice:us-east-1:025066256552:resourceconfiguration/rcfg-079259b27a357a190"
      },
      "EgressType": "VPC",
      "ServiceManagedEgressIpAddresses": null,
      "SftpConfig": { 
         "TrustedHostKeys": [ "ssh-rsa AAAAB3NzaC..." ],
         "UserSecretId": "aws/transfer/sftp-connector1"
      },
      "Url": "sftp://my.sftp.server.com:22"
   }
}

請注意，VPC 輸出類型連接器為 ServiceManagedEgressIpAddresses null，因為流量會透過您的 VPC 路由，而非 AWS 受管基礎設施。

步驟 3：使用 SFTP 連接器傳送和擷取檔案

為了簡化，我們假設您的 Amazon S3 儲存貯體中已有檔案。

首先，我們會將檔案從 Amazon S3 儲存貯體傳送至遠端 SFTP 伺服器。從命令提示字元中，執行下列命令：

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/sftp-server-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

您的儲存sftp-server-storage-east貯體現在看起來應該像這樣。

如果您未如預期看到檔案，請檢查您的 CloudWatch 日誌。

如果成功，日誌項目如下所示：

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

如果檔案傳輸失敗，日誌項目會包含指定問題的錯誤訊息。錯誤的常見原因是 IAM 許可和不正確的檔案路徑發生問題。

接著，我們將檔案從 SFTP 伺服器擷取到 Amazon S3 儲存貯體。從命令提示字元中，執行下列命令：

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/sftp-server-storage-east/incoming"

如果傳輸成功，Amazon S3 儲存貯體會包含傳輸的檔案，如下所示。

如果成功，日誌項目如下所示：

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/c-connector-id",
    "local-directory-path": "/sftp-server-storage-east/incoming"
}

故障診斷 VPC 輸出類型連接器

如果您遇到 VPC 輸出類型連接器的問題，請檢查下列項目：

VPC 輸出類型的成本考量：

建立 Transfer Family 伺服器以用作遠端 SFTP 伺服器的程序

接下來，我們概述建立 Transfer Family 伺服器的步驟，該伺服器可做為本教學課程的遠端 SFTP 伺服器。注意下列事項：

建立 Transfer Family SFTP 伺服器和使用者

大多數使用者不需要建立 Transfer Family SFTP 伺服器和使用者，因為您已有 SFTP 伺服器與使用者，而且您可以使用此伺服器往返傳輸檔案。不過，為了簡化本教學課程，我們使用 Transfer Family 伺服器做為遠端 SFTP 伺服器。

遵循中所述的程序來建立啟用 SFTP 的伺服器建立伺服器，並步驟 3：新增服務受管使用者新增使用者。以下是我們用於教學課程的使用者詳細資訊：

合併使用者和存取角色

針對教學課程，我們使用單一的合併角色。我們同時將此角色用於 SFTP 使用者，以及連接器的存取。下列範例包含此角色的詳細資訊，以防您想要在教學課程中執行任務。

下列範例授予必要的許可，以存取 Amazon S3 中的兩個儲存貯體，以及aws/transfer/sftp-connector1存放在 Secrets Manager 中的名為 的秘密。針對教學課程，此角色名為 sftp-connector-role。

如需為 Transfer Family 建立角色的完整詳細資訊，請遵循中所述的程序建立使用者角色來建立角色。