Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

监控 Transfer Family 使用

您可以使用亚马逊 CloudWatch 和监控服务器中的活动Amazon CloudTrail。为了进一步分析，您还可以将服务器活动记录为可读的、近乎实时的指标。要查看特定于启用了 AS2 协议的 Transfer Family 服务器的指标，请参阅监控 AS2 的使用情况。

启用Amazon CloudTrail日志记录

您可使用 Amazon CloudTrail 监控 Amazon Transfer Family API 调用。通过监控 API 调用，您可以获取有用的安全性和操作信息。有关如何使用 CloudTrail 和的更多信息Amazon Transfer Family，请参阅Amazon Transfer Family 中的日志记录和监控。

如果您启用了 Amazon S3 对象级日志记录，RoleSessionName则包含在 “请求者[AWS:Role Unique Identifier]/username.sessionid@server-id” 字段中。有关 Amazon Identity and Access Management (IAM) 角色唯一标识符的更多信息，请参阅Amazon Identity and Access Management用户指南中的唯一标识符。

创建亚马逊 CloudWatch 警报

以下示例展示了如何使用Amazon Transfer Family指标创建亚马逊 CloudWatch 警报FilesIn。

CDK

new cloudwatch.Metric({
  namespace: "AWS/Transfer",
  metricName: "FilesIn",
  dimensionsMap: { ServerId: "s-00000000000000000" },
  statistic: "Average",
  period: cdk.Duration.minutes(1),
}).createAlarm(this, "AWS/Transfer FilesIn", {
  threshold: 1000,
  evaluationPeriods: 10,
  datapointsToAlarm: 5,
  comparisonOperator: cloudwatch.ComparisonOperator.GREATER_THAN_OR_EQUAL_TO_THRESHOLD,
});

Amazon CloudFormation

Type: AWS::CloudWatch::Alarm
Properties:
  Namespace: AWS/Transfer
  MetricName: FilesIn
  Dimensions:
    - Name: ServerId
      Value: s-00000000000000000
  Statistic: Average
  Period: 60
  Threshold: 1000
  EvaluationPeriods: 10
  DatapointsToAlarm: 5
  ComparisonOperator: GreaterThanOrEqualToThreshold

记录对 S3 访问日志的 Amazon S3 API 调用

如果您使用 Amazon S3 访问日志来识别代表您的文件传输用户提出的 S3 请求，RoleSessionName则会使用该日志来显示担任哪个 IAM 角色来为文件传输提供服务。它还会显示其他信息，例如用于传输的用户名、会话 ID 和服务器 ID。格式现在[AWS:Role Unique Identifier]/username.sessionid@server-id和现在都包含在 “请求者” 字段中。例如，以下是复制到 S3 存储桶的文件的 S3 访问日志中的示例请求者字段的内容。

arn:aws:sts::AWS-Account-ID:assumed-role/IamRoleName/username.sessionid@server-id

在上面的请求者字段中，它显示了名IamRoleName为的 IAM 角色。有关 IAM 角色唯一标识符的更多信息，请参阅Amazon Identity and Access Management用户指南中的唯一标识符。

使用记录活动 CloudWatch

要设置访问权限，您需要创建一个基于资源的 IAM 策略和一个提供该访问信息的 IAM 角色。

要启用 Amazon CloudWatch 日志记录，首先要创建启用 CloudWatch日志记录的 IAM 策略。然后，您创建一个 IAM 角色并将该策略附加到该角色。您可以在创建服务器或编辑现有服务器时执行此操作。有关的更多信息 CloudWatch，请参阅什么是亚马逊 CloudWatch？ 以及什么是亚马逊 CloudWatch日志？ 在《亚马逊 CloudWatch 用户指南》中。

使用以下 IAM 策略示例来允许 CloudWatch 日志记录。

Use a logging role

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:CreateLogGroup",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/transfer/*"
        }
    ]
}

Use structured logging

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
            "logs:CreateLogDelivery",
                "logs:GetLogDelivery",
                "logs:UpdateLogDelivery",
                "logs:DeleteLogDelivery",
                "logs:ListLogDeliveries",
                "logs:PutResourcePolicy",
                "logs:DescribeResourcePolicies",
                "logs:DescribeLogGroups"
            ],
            "Resource": "arn:aws:logs:region-id:Amazon Web Services 账户:log-group:/aws/transfer/*"
        }
    ]
}

在前面的示例策略中，对于，将 Resource re gion-id 和Amazon Web Services 账户替换为您的值。例如，"Resource": "arn:aws::logs:us-east-1:111122223333:log-group:/aws/transfer/*"

然后，您可以创建一个角色并附加您创建的 CloudWatch 日志策略。

在服务器 CloudWatch 页面上，您可以看到用户身份验证（成功和失败）、数据上传（PUT操作）和数据下载（GET操作）的记录。

限制混乱的副手问题的示例

混淆代理问题是一个安全性问题，即不具有操作执行权限的实体可能会迫使具有更高权限的实体执行该操作。在 Amazon 中，跨服务模拟可能会导致混淆代理问题。有关更多信息，请参阅 防止跨服务混淆代理。

以下示例日志/调用策略允许账户中的任何服务器代入该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllServers",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:server/*"
                }
            }
        }
    ]
}

以下示例日志/调用策略允许特定的服务器代入该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificServer",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:server/server-id"
                }
            }
        }
    ]
}

CloudWatch 日志条目示例

下表包含各种 Transfer Family 操作的示例日志条目。

使用 T CloudWatch ransfer Family 的指标

您可以使用 CloudWatch 指标获取有关服务器的信息。指标表示发布到的一组按时间顺序排列的数据点。 CloudWatch使用指标时，必须指定 Transfer Family 命名空间、指标名称和维度。有关指标的更多信息，请参阅亚马逊 CloudWatch 用户指南中的指标。

下表描述了 Transfer Family 的 CloudWatch 指标。

Transfer Family 尺寸

维度是一个名称/值对，它是指标标识的一部分。有关尺寸的更多信息，请参阅亚马逊 CloudWatch 用户指南中的尺寸。

下表描述了 Transfer Family 的 CloudWatch 维度。

将Amazon用户通知与 Amazon Transfer Family

要获得有关Amazon Transfer Family事件的通知，您可以使用Amazon用户通知来设置各种交付渠道。当事件与您指定的规则相匹配时，您会收到通知。

您可以通过多个渠道接收事件通知，包括电子邮件、Amazon Chatbot 聊天通知或 Amazon Console Mobile Application 推送通知。您还可以在控制台通知中心中查看通知。用户通知支持聚合，这可以减少您在特定事件期间收到的通知数量。

有关更多信息，请参阅什么是Amazon用户通知？ 在《Amazon用户通知用户指南》中。