使用 Amazon API Gateway 整合您的身份提供商

本主题介绍如何使用 Amazon Lambda 函数来支持 API Gateway 方法。如果您需要集成身份提供商，RESTfulAPI或者想要利用其功能来处理地理封锁或 Amazon WAF 速率限制请求，请使用此选项。

使用API网关集成身份提供商时的限制

如果您需要其中任何一个，则可以使用 Lambda 作为身份提供商，无需API网关。有关详细信息，请参阅Amazon Lambda 用于集成您的身份提供商。

使用API网关方法进行身份验证

你可以创建一个API网关方法，用作 Transfer Family 的身份提供者。这种方法为您提供了一种高度安全的创建和提供方式APIs。使用 API Gateway，您可以创建HTTPS终端节点，以便以更高的安全性传输所有来API电。有关API网关服务的更多详细信息，请参阅API网关开发者指南。

APIGateway 提供了一种名为的授权方法AWS_IAM，该方法基于内部 Amazon 使用的 Amazon Identity and Access Management (IAM) 为您提供相同的身份验证。如果您启用身份验证AWS_IAM，则只有具有明确调用权限的呼叫者API才能访问API该API网关方法。

要将您的API网关方法用作 Transfer Family 的自定义身份提供者，请启用IAM您的API网关方法。在此过程中，您需要为IAM角色提供 Transfer Family 使用您的网关的权限。

实现你的API网关方法

要为 Transfer Family 创建自定义身份提供者，您的API网关方法必须实现资源路径为的单个方法/servers/serverId/users/username/config。serverId和username值来自RESTful资源路径。此外，在方法请求中添加sourceIp和protocol作为URL查询字符串参数，如下图所示。

如果 Transfer Family 代表您的用户尝试进行密码身份验证，则该服务会提供 Password: 标头字段。在没有 Password: 标头的情况下，Transfer Family 会尝试通过公钥身份验证来验证您的用户。

当您使用身份提供商对最终用户进行身份验证和授权时，除了验证他们的凭据外，您还可以根据最终用户使用的客户端 IP 地址来允许或拒绝访问请求。您可以使用此功能来确保存储在 S3 存储桶或 Amazon EFS 文件系统中的数据只能通过支持的协议从您指定为可信的 IP 地址进行访问。要启用此功能，必须在查询字符串中包含 sourceIp。

如果您为服务器启用了多个协议，并且想要通过多个协议使用相同的用户名提供访问权限，则只要在身份提供程序中设置了每个协议的特定凭据，就可以这样做。要启用此功能，您必须在RESTful资源路径中包含该protocol值。

您的API网关方法应始终返回HTTP状态码200。任何其他HTTP状态码都表示访问时出错API。

Amazon S3 示例响应

示例响应正JSON文是以下格式的 Amazon S3 文档。

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/bucketName/path/to/home/directory"
}

"Policy":
"{
  \"Version\": \"2012-10-17\",
  \"Statement\":
     [
     {\"Condition\":
        {\"StringLike\":
            {\"s3:prefix\":
               [\"user/*\", \"user/\"]}},
     \"Resource\": \"arn:aws:s3:::bucket\",
     \"Action\": \"s3:ListBucket\",
     \"Effect\": \"Allow\",
     \"Sid\": \"ListHomeDir\"},
     {\"Resource\": \"arn:aws:s3:::*\",
        \"Action\": [\"s3:PutObject\",
        \"s3:GetObject\",
        \"s3:DeleteObjectVersion\",
        \"s3:DeleteObject\",
        \"s3:GetObjectVersion\",
        \"s3:GetObjectACL\",
        \"s3:PutObjectACL\"],
     \"Effect\": \"Allow\",
     \"Sid\": \"HomeDirObjectAccess\"}]
}"

以下示例响应会显示用户具有逻辑主目录类型。

{
   "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3",
   "HomeDirectoryType":"LOGICAL",
   "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/MY-HOME-BUCKET\"}]",
   "PublicKeys":[""]
}

亚马逊回复EFS示例

示例响应正文是 Amazon 的以下格式的JSON文档EFS。

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

Role 字段表示身份验证成功。在进行密码身份验证时（当您提供Password:标头时），您无需提供SSH公钥。如果无法对用户进行身份验证，例如，如果密码不正确，则您的方法应返回未设置 Role 的响应。此类响应的一个例子是空JSON对象。

以下示例响应显示了具有逻辑主目录类型的用户。

{
    "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs",
    "HomeDirectoryType": "LOGICAL",
    "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]",
    "PublicKeys":[""],
    "PosixProfile":{"Uid":65534,"Gid":65534}
}

您可以在 Lambda 函数中JSON以格式包含用户策略。有关在 Transfer Family 中配置用户策略的更多信息，请参阅 管理访问控制。

默认 Lambda 函数

要实施不同的身份验证策略，请编辑您的网关使用的 Lambda 函数。为了帮助您满足应用程序的需求，您可以在 Node.js 中使用以下示例 Lambda 函数。有关更多信息，请参见 Amazon Lambda 开发人员指南 或 通过 Node.js 构建 Lambda 函数。

以下示例 Lambda 函数使用您的用户名、密码（如果您正在执行密码身份验证）、服务器 ID、协议和客户端 IP 地址。您可以使用这些输入的组合来查找您的身份提供程序并确定是否应接受登录。

此示例函数会返回角色和逻辑主目录详细信息以及公钥（如果它执行公钥身份验证）。

创建服务托管用户时，可以设置他们的主目录，无论是逻辑目录还是物理目录均是如此。同样，我们需要 Lambda 函数的结果来传达所需的用户物理或逻辑目录结构。您设置的参数取决于的值 HomeDirectoryType字段。

Lambda 函数示例 中列出了示例函数。

用于的 Lambda 函数 Amazon Secrets Manager

要 Amazon Secrets Manager 用作您的身份提供商，您可以使用示例 Amazon CloudFormation 模板中的 Lambda 函数。Lambda 函数使用您的凭证查询 Secrets Manager 服务，如果成功，则会返回指定的密钥。有关 Secrets Manager 的更多信息，请参阅《Amazon Secrets Manager 用户指南》https://docs.amazonaws.cn/secretsmanager/latest/userguide/intro.html。

要下载使用此 Lambda 函数的示例 Amazon CloudFormation 模板，请访问提供的 Amazon S3 存储桶。 Amazon Transfer Family

对 Amazon CloudFormation 模板的改进

已对已发布 CloudFormation模板的API网关界面进行了改进。现在，模板在网BASE64关上使用编码的API密码。如果没有此增强功能，您的现有部署将继续运行，但不允许使用基本美国字符集之外的ASCII字符的密码。

启用此功能的模板更改如下：

如果您没有看到更新的行，请编辑您的堆栈。有关如何更新 Amazon CloudFormation 堆栈的详细信息，请参阅《用户指南》中的Amazon CloudFormation修改堆栈模板。