使用基于 VPC 的出口创建一个 SFTP 连接器

创建支持 vpc_lattice 的 SFTP 连接器

1. 打开 Amazon Transfer Family 控制台，网址为https://console.aws.amazon.com/transfer/。

2. 在左侧导航窗格中，选择 SFTP 连接器，然后选择创建 SFTP 连接器。

3. 在连接器配置部分中，对于出口类型，选择 VPC Lat t ice。

   此选项使用 Amazon VPC Lattice 通过您的 VPC 路由流量，以实现跨虚拟私有云资源访问。您可以使用此选项连接到私有托管的服务器终端节点、通过 VPC 的安全控制来路由流量，或者使用自己的 NAT 网关和弹性 IP 地址。远程 SFTP 服务器的地址以您的 VPC 中的资源配置表示。有关资源配置的更多信息，请参阅 Amazon VPC Lattice 用户指南中的 VPC 资源的资源配置。

4. 完成连接器配置：

   • 对于访问角色，请选择要使用的 (IAM) 角色的 Amazon 资源名称 Amazon Identity and Access Management (ARN)。

     • 确保此角色提供对 StartFileTransfer 请求中所使用文件位置父目录提供读取和写入权限。

     • 请确保此角色为 secretsmanager:GetSecretValue 提供访问密钥的权限。

       注意

       在策略中，您必须为密钥指定 ARN。ARN 包含机密名称，但在名称后面附加了六个随机的字母数字字符。密钥的 ARN 格式如下。

       arn:aws:secretsmanager:region:account-id:secret:aws/transfer/SecretName-6RandomCharacters

     • 此角色还应包含一个信任关系，从而允许服务器在为用户的传输请求提供服务时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

     {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
             "Sid": "AllowListingOfUserFolder",
             "Action": [
                 "s3:ListBucket",
                 "s3:GetBucketLocation"
             ],
             "Effect": "Allow",
             "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket"
             ]
         },
         {
             "Sid": "HomeDirObjectAccess",
             "Effect": "Allow",
             "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion",
                 "s3:GetObjectVersion",
                 "s3:GetObjectACL",
                 "s3:PutObjectACL"
             ],
             "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
         },
         {
             "Sid": "GetConnectorSecretValue",
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
         }
       ]
     }
     

     注意

     对于访问角色，该示例授予对单个密钥的访问权限。但是，您可以使用通配符，如果您想为多个用户和密钥重复使用相同的 IAM 角色，这样可以节省工作量。例如，以下资源语句为名称以 aws/transfer 开头的所有密钥授予权限。

     "Resource": "arn:aws:secretsmanager:region:account-id:secret:aws/transfer/*"

     您也可以将包含您的 SFTP 凭据的密钥存储在另一个 Amazon Web Services 账户中。有关启用跨账户秘密访问的详细信息，请参阅其他账户中用户的 Amazon Secrets Manager 密钥权限。

   • 对于资源配置 ARN，请输入指向您的 SFTP 服务器的 VPC Lattice 资源配置的 ARN：

     arn:aws:vpc-lattice:region:account-id:resourceconfiguration/rcfg-12345678

   • （可选）对于日志记录角色，选择连接器用于将事件推送到 CloudWatch 日志的 IAM 角色。

     {
         "Version":"2012-10-17",		 	 	 
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "logs:CreateLogStream",
                     "logs:DescribeLogStreams",
                     "logs:CreateLogGroup",
                     "logs:PutLogEvents"
                 ],
                 "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
             }
         ]
     }
     

5. 在 SFTP 配置面板中提供以下信息：

   • 对于连接器凭据，请选择中 Amazon Secrets Manager 包含 SFTP 用户私钥或密码的密钥的名称。

   • 对于受信任的主机密钥，请粘贴用于标识外部服务器的主机密钥的公共部分，或者将其留空，以便以后使用TestConnection命令进行配置。

     由于此主机密钥用于 VPC_LATTICE 连接器，因此请删除密钥中的主机名

   • （可选）在 “最大并发连接数” 中，选择您的连接器创建到远程服务器的并发连接数（默认为 5）。

6. 在加密算法选项部分，从下拉列表中选择一个安全策略。

7. （可选）在 “标签” 部分中，将标签添加为键值对。

8. 选择创建 SFTP 连接器以创建支持 vpc_Lattice 的 SFTP 连接器。