与自定义身份提供者合作

要对用户进行身份验证，可以将现有的身份提供者与结合使用Amazon Transfer Family。您可以使用一个Amazon Lambda函数集成您的身份提供商，该函数对您的用户进行身份验证和授权，使其能够访问 Amazon S3 或 AmazAmazon Elastic File System (Amazon EFS)。有关详细信息，请参阅Amazon Lambda用于集成您的身份提供商。您还可以访问Amazon Transfer Family管理控制台中传输的文件数和字节数等指标的 CloudWatch 图表，从而使您可以使用集中式仪表板监控文件传输。

或者，您可以使用单个 Amazon API Gateway 方法提供 RESTful 接口。Transfer Family 调用此方法连接到您的身份提供商，该提供商对您的用户进行身份验证和授权，以访问 Amazon S3 或 Amazon EFS。如果您需要 RESTful API 来集成您的身份提供商，或者您想利用其功能Amazon WAF来执行地理封锁或速率限制请求，请使用此选项。有关详细信息，请参阅使用Amazon API Gateway 集成您的身份提供商。

无论哪种情况，您都可以使用Amazon Transfer Family控制台或 CreateServerAPI 操作创建新服务器。

Amazon Lambda用于集成您的身份提供商

创建连接到您的自定义身份提供商的Amazon Lambda函数。您可以使用任何自定义身份提供商，例如 Okta、Secrets Manager 或包含授权和身份验证逻辑的自定义数据存储。 OneLogin

Lambda 基于资源的策略

您必须拥有引用 Transfer Family 服务器和 Lambda ARN 的策略。例如，您可以将以下策略用于连接到您的身份提供商的 Lambda 函数。

{
  "Version": "2012-10-17",
  "Id": "default",
  "Statement": [
    {
      "Sid": "AllowTransferInvocation",
      "Effect": "Allow",
      "Principal": {
        "Service": "transfer.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "$lambda_arn",
      "Condition": {
        "ArnLike": {
          "AWS:SourceArn": "$server_arn"
        }
      }
    }
  ]
}

事件消息结构

自定义 IDP 从 SFTP 服务器发送到授权方 Lambda 函数的事件消息结构如下所示。

{
    'username': 'value',
    'password': 'value',
    'protocol': 'SFTP',
    'serverId': 's-abcd123456',
    'sourceIp': '192.168.0.100'
}

其中username和password是发送到服务器的用户名和密码的值。

例如，输入以下命令进行连接：

sftp bobusa@server_hostname

然后系统会提示您输入密码：

Enter password:
    mysecretpassword

您可以通过在 Lambda 函数中打印传递的事件来从 Lambda 函数中检查这一点。它看上去类似于以下文本块。

{
    'username': 'bobusa',
    'password': 'mysecretpassword',
    'protocol': 'SFTP',
    'serverId': 's-abcd123456',
    'sourceIp': '192.168.0.100'
}

FTP 和 FTPS 的事件结构类似：唯一的区别是这些值用于protocol参数，而不是 SFTP。

用于身份验证的 Lambda 函数

要实施不同的身份验证策略，请编辑 Lambda 函数。为了帮助您满足应用程序的需求，您可以部署堆 CloudFormation 栈。有关 Lambda 的更多信息，请参阅Amazon Lambda开发者指南或使用 Node.js 构建 Lambda 函数。

Lambda 函数模板

您可以部署使用 Lambda 函数进行身份验证的Amazon CloudFormation堆栈。我们提供多个模板，使用用户名和密码对您的用户进行身份验证和授权。您可以修改这些模板或Amazon Lambda代码以进一步自定义用户访问权限。

有效的 Lambda 值

下表介绍了 Transfer Family 为用于自定义身份提供商的 Lambda 函数接受的值的详细信息。

测试您的配置

创建自定义身份提供商后，应测试您的配置。

如果用户身份验证成功，则测试将返回StatusCode: 200 HTTP 响应和一个包含用户角色和权限详细信息的 JSON 对象，如以下示例所示。

{
    "Response": "{\"Policy\": \"{\n \"Version\": \"2012-10-17\",\n \"Statement\": [\n{\n \"Sid\": \"ReadAndListAllBuckets\",\n 
    \"Effect\": \"Allow\",\n \"Action\": [\n \"s3:ListAllMybuckets\",\n \"s3:GetBucketLocation\",\n \"s3:ListBucket\",\n 
    \"s3:GetObjectVersion\",\n \"s3:GetObjectVersion\"\n],\n \"Resource\":\"*\"\n}\n]\n}\",\"Role\": 
    \"arn:aws:iam::000000000000:role/MyUserS3AccessRole\",\"HomeDirectory\": \"/\"}",
    "StatusCode": 200,
    "Message": "",
    "Url": "https://abcde1234.execute-api.us-east-2.amazonaws.com/prod/servers/s-123a4567bcd891e23/users/myuser/config"
}

使用Amazon API Gateway 集成您的身份提供商

本节介绍如何使用Amazon Lambda函数支持 API Gateway 方法。如果您需要 RESTful API 来集成您的身份提供商，或者您想利用其功能Amazon WAF来执行地理封锁或速率限制请求，请使用此选项。

使用 API Gateway 集成身份提供商时的限制

如果您需要其中任何一个，则可以将 Lambda 用作身份提供商，而无需使用 API Gateway。有关详细信息，请参阅Amazon Lambda用于集成您的身份提供商。

使用 API Gateway 方法进行身份验证

您可以创建 API Gateway 方法，用作 Transfer Family 的身份提供商。这种方法为您创建和提供 API 提供了一种高度安全的方式。使用 API Gateway，您可以创建 HTTPS 终端节点，以便以更高的安全性传输所有传入的 API 调用。有关 API Gateway 服务的更多详细信息，请参阅 API Gateway 开发者指南。

API Gateway 提供名AWS_IAM为的身份验证方法，该方法基于Amazon Identity and Access Management (IAM) 为您提供与内部Amazon使用的相同身份验证。如果您启用身份验证AWS_IAM，则只有具有调用 API 的明确权限的调用者才能访问该 API 的 API Gateway 方法。

要使用您的 API Gateway 方法作为 Transfer Family 的自定义身份提供商，请为您的 API Gateway 方法启用 IAM。作为此流程的一部分，您需要为一个 IAM 角色提供 Transfer Family 使用您的网关的权限。

实现 API Gateway 方法

要为 Transfer Family 创建自定义身份提供商，您的 API Gateway 方法必须实现资源路径为的单一方法/servers/serverId/users/username/config。serverId和username值来自 RESTful 资源路径。此外，在方法请求中添加sourceIp和protocol作为 URL 查询字符串参数，如下图所示。

如果 Transfer Family 尝试对您的用户进行密码身份验证，则服务会提供Password:标题字段。在没有Password:标头的情况下，Transfer Family 会尝试使用公钥身份验证来对您的用户进行身份验证。

当您使用身份提供商对最终用户进行身份验证和授权时，除了验证其凭证外，您还可以根据最终用户使用的客户端 IP 地址允许或拒绝访问请求。您可以使用此功能确保存储在 S3 存储桶或 Amazon EFS 文件系统中的数据只能通过支持的协议从您指定为可信的 IP 地址进行访问。要启用此功能，必须在查询字符串sourceIp中包含。

如果您为服务器启用了多个协议，并希望使用相同的用户名通过多个协议提供访问权限，则只要在身份提供商中设置了每种协议的特定凭证，您就可以这样做。要启用此功能，必须在 RESTful 资源路径中包含该protocol值。

您的 API Gateway 方法应始终返回 HTTP 状态码200。任何其他 HTTP 状态代码都表示访问该 API 时出错。

Amazon S3 示例响应

示例响应正文是 Amazon S3 的以下格式的 JSON 文档。

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/bucketName/path/to/home/directory"
}

"Policy":
"{
  \"Version\": \"2012-10-17\",
  \"Statement\":
     [
     {\"Condition\":
        {\"StringLike\":
            {\"s3:prefix\":
               [\"user/*\", \"user/\"]}},
     \"Resource\": \"arn:aws:s3:::bucket\",
     \"Action\": \"s3:ListBucket\",
     \"Effect\": \"Allow\",
     \"Sid\": \"ListHomeDir\"},
     {\"Resource\": \"arn:aws:s3:::*\",
        \"Action\": [\"s3:PutObject\",
        \"s3:GetObject\",
        \"s3:DeleteObjectVersion\",
        \"s3:DeleteObject\",
        \"s3:GetObjectVersion\",
        \"s3:GetObjectACL\",
        \"s3:PutObjectACL\"],
     \"Effect\": \"Allow\",
     \"Sid\": \"HomeDirObjectAccess\"}]
}"

以下示例响应显示用户具有逻辑主目录类型。

{
   \"Role\": \"arn:aws:iam::123456789012:role/role-api-gateway-s3\",
   \"HomeDirectoryType\":\"LOGICAL\",
   \"HomeDirectoryDetails\":\"[{\\\"Entry\\\":\\\"/\\\",\\\"Target\\\":\\\"/my-home-bucket\\\"}]\",
   \"PublicKeys\":[\"\"]
}

Amazon EFS 的示例

示例响应正文是 Amazon EFS 的以下格式的 JSON 文档。

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

该Role字段显示成功进行了身份验证。在进行密码身份验证（提供标Password:头时）时，无需提供 SSH 公钥。如果无法对用户进行身份验证，例如，如果密码不正确，则您的方法应返回未Role设置的响应。此类响应的一个示例是空的 JSON 对象。

以下示例响应显示了具有逻辑主目录类型的用户。

{
    \"Role\": \"arn:aws:iam::123456789012:role/role-api-gateway-efs\",
    \"HomeDirectoryType\": \"LOGICAL\",
    \"HomeDirectoryDetails\":\"[{\\\"Entry\\\":\\\"/\\\",\\\"Target\\\":\\\"/faa1a123\\\"}]\",
    \"PublicKeys\":[\"\"],
    \"PosixProfile\":{\"Uid\":65534,\"Gid\":65534}
}

您可以在 Lambda 函数中以 JSON 格式在 Lambda 函数中包含用户策略。有关在 Transfer Family 中配置用户策略的更多信息，请参阅管理访问控制。

默认 Lambda 函数

要实施不同的身份验证策略，请编辑您的网关使用的 Lambda 函数。为了帮助您满足应用程序的需求，您可以在 Node.js 中使用以下示例 Lambda 函数。有关 Lambda 的更多信息，请参阅Amazon Lambda开发者指南或使用 Node.js 构建 Lambda 函数。

以下示例 Lambda 函数采用您的用户名、密码（如果您正在执行密码身份验证）、服务器 ID、协议和客户端 IP 地址。您可以组合使用这些输入来查找您的身份提供商并确定是否应接受登录。

此示例函数仅适用于 Amazon S3。此示例函数返回角色和逻辑主目录详细信息以及公钥（如果它执行公钥身份验证）。

HomeDirectoryType参数指定您希望用户在登录服务器时主目录的登录目录（文件夹）的类型。如果您将此参数设置为PATH，则用户将在其文件传输协议客户端中原样看到 Amazon S3 桶或 Amazon EFS 的绝对路径。如果您将此参数设置为LOGICAL，则必须在参数中提供映射，说明您希望如何使 Amazon S3 或 Amazon EFS 路径对用户可见，在HomeDirectoryMappings参数中提供映射。

Lambda 函数可与一起使用Amazon Secrets Manager

要Amazon Secrets Manager用作您的身份提供商，您可以在示例Amazon CloudFormation模板中使用 Lambda 函数。Lambda 函数使用您的证书查询 Secrets Manager 服务，如果成功，则返回指定的密钥。有关 Secrets Manager 的更多信息，请参阅《Amazon Secrets Manager 用户指南》https://docs.amazonaws.cn/secretsmanager/latest/userguide/intro.html。

要下载使用此 Lambda 函数的示例Amazon CloudFormation模板，请访问提供的 Amazon S3 存储桶Amazon Transfer Family。