Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置和使用 SFTP 连接器

连接器的目的是在您的 Amazon 存储设备和合作伙伴的 SFTP 服务器之间建立关系。您可以将文件从 Amazon S3 发送到合作伙伴拥有的外部目的地。您也可以使用 SFTP 连接器从合作伙伴的 SFTP 服务器检索文件。

本教程演示了如何使用服务托管和 VPC_LATTICE 出口类型设置 SFTP 连接器，然后在 Amazon S3 存储和 SFTP 服务器之间传输文件。

SFTP 连接器从中检索 SFTP 凭据 Amazon Secrets Manager ，以便对远程 SFTP 服务器进行身份验证并建立连接。连接器向远程服务器发送文件或从远程服务器检索文件，并将文件存储在 Amazon S3 中。您可以在服务托管出口（使用托 Amazon 管基础设施）或 VPC 出口（使用跨VPC资源访问通过您的 VPC 路由）之间进行选择。IAM 角色用于允许访问 Amazon S3 存储桶和存储在 Secrets Manager 中的证书。而且你可以登录到亚马逊 CloudWatch。

以下博客文章提供了使用 SFTP 连接器构建 MFT 工作流程的参考架构，包括在使用 SFTP 连接器将文件发送到远程 SFTP 服务器之前使用 PGP 加密文件：使用 SFTP 连接器和 PGP 加密架构安全且合规的托管文件传输。 Amazon Transfer Family

连接器出口类型

SFTP 连接器支持两种输出类型，它们决定了您的连接器如何将流量路由到远程 SFTP 服务器：

本教程涵盖了两种出口类型。需要时，选择 VPC 出口类型：

步骤 1：创建必要的支持资源

您可以使用 SFTP 连接器在 Amazon S3 和任何远程 SFTP 服务器之间复制文件。在本教程中，我们使用 Amazon Transfer Family 服务器作为远程 SFTP 服务器。我们需要创建和配置以下资源：

对于 VPC 出口类型连接器，您还需要：

创建 Amazon S3 存储桶

有关创建 Amazon S3 存储桶的完整详细信息，请参阅如何创建 S3 存储桶？ 在 Amazon 简单存储服务用户指南中。

创建具有必要权限的 IAM 角色

对于访问角色，创建具有以下权限的策略。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

按如下方式替换项目：

您还必须确保此角色包含信任关系，允许连接器在处理用户的转移请求时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

创建密钥并将其存储在 Amazon Secrets Manager

我们需要在 Secrets Manager 中存储一个密钥来存储你的 SFTP 连接器的用户凭证。您可以使用密码、SSH 私钥或两者兼而有之。在本教程中，我们使用的是私钥。

在开始存储密钥的过程之前，请检索并格式化您的私钥。私钥必须与在远程 SFTP 服务器上为用户配置的公钥相对应。在本教程中，私钥必须对应于我们用作远程服务器的 Transfer Family SFTP 服务器上为测试用户存储的公钥。

为此，请运行以下命令：

jq -sR . path-to-private-key-file

例如，如果您的私钥文件位于中~/.ssh/sftp-testuser-privatekey，则命令如下所示。

jq -sR . ~/.ssh/sftp-testuser-privatekey

这会将正确格式的密钥（带有嵌入的换行符）输出到标准输出。将此文本复制到某个地方，因为您需要将其粘贴到以下步骤中（在步骤 6 中）。

创建资源网关（仅限 VPC 出口类型）

对于 VPC 出口类型连接器，您需要在 VPC 中创建资源网关。资源网关充当跨VPC资源访问的入口点。

创建资源配置（仅限 VPC 出口类型）

创建指向您的 SFTP 服务器的资源配置。这可以是您的 VPC 中服务器的私有 IP 地址，也可以是外部服务器的公有 DNS 名称。有关资源配置的更多信息，请参阅 Amazon VPC Lattice 用户指南中的资源配置。

步骤 2：创建和测试 SFTP 连接器

在本节中，我们将创建一个使用我们之前创建的所有资源的 SFTP 连接器。有关更多详细信息，请参阅 创建 SFTP 连接器。

您也可以使用创建连接器 Amazon Command Line Interface。

创建 SFTP 连接器后，我们建议您在尝试使用新连接器传输任何文件之前对其进行测试。

Test a connector using the console

若要测试 SFTP 连接器

1. 打开 Amazon Transfer Family 控制台，网址为https://console.aws.amazon.com/transfer/。

2. 在左侧导航窗格中，选择 SFTP 连接器，然后选择一个连接器。

3. 从操作菜单中选择测试连接。

   

系统会返回一条消息，指示测试是通过还是失败。如果测试失败，系统会根据测试失败的原因提供错误消息。

Test a connector using the CLI

要使用测试连接器 Amazon Command Line Interface，请在命令提示符下运行以下命令（connector-id替换为实际的连接器 ID）：

aws transfer test-connection --connector-id c-connector-id

如果测试成功，则返回以下几行：

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

如果测试失败，您会收到一条描述性错误消息，例如：

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

当您描述 VPC 出口类型连接器时，响应将包含新字段：

{
   "Connector": { 
      "AccessRole": "arn:aws:iam::219573224423:role/sftp-connector-role",
      "Arn": "arn:aws:transfer:us-east-1:219573224423:connector/c-5dfa309ccabf40759",
      "ConnectorId": "c-5dfa309ccabf40759",
      "Status": "ACTIVE",
      "EgressConfig": {
        "ResourceConfigurationArn": "arn:aws:vpc-lattice:us-east-1:025066256552:resourceconfiguration/rcfg-079259b27a357a190"
      },
      "EgressType": "VPC",
      "ServiceManagedEgressIpAddresses": null,
      "SftpConfig": { 
         "TrustedHostKeys": [ "ssh-rsa AAAAB3NzaC..." ],
         "UserSecretId": "aws/transfer/sftp-connector1"
      },
      "Url": "sftp://my.sftp.server.com:22"
   }
}

请注意，ServiceManagedEgressIpAddresses对于 VPC 出口类型连接器，该值为空，因为流量通过您的 VPC 而不是 Amazon 托管基础设施路由。

步骤 3：使用 SFTP 连接器发送和检索文件

为简单起见，我们假设您的 Amazon S3 存储桶中已经有文件。

首先，我们将文件从 Amazon S3 存储桶发送到远程 SFTP 服务器。在命令提示符下，运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/sftp-server-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

你的sftp-server-storage-east存储桶现在应该是这样的。

如果您没有按预期看到该文件，请检查您的 CloudWatch 日志。

如果成功，则日志条目如下所示：

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

如果文件传输失败，则日志条目将包含一条指明问题的错误消息。常见的错误原因是 IAM 权限问题和文件路径不正确。

接下来，我们将文件从 SFTP 服务器检索到 Amazon S3 存储桶中。在命令提示符下，运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/sftp-server-storage-east/incoming"

如果传输成功，则您的 Amazon S3 存储桶将包含传输的文件，如下所示。

如果成功，则日志条目如下所示：

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/c-connector-id",
    "local-directory-path": "/sftp-server-storage-east/incoming"
}

VPC 出口类型连接器故障排除

如果您在使用 VPC 出口类型连接器时遇到问题，请检查以下内容：

VPC 出口类型的成本注意事项：

创建用作远程 SFTP 服务器的 Transfer Family 服务器的步骤

接下来，我们将概述创建用作本教程远程 SFTP 服务器的 Transfer Family 服务器的步骤。注意以下几点：

创建 Transfer Family SFTP 服务器和一个用户

大多数用户不需要创建 Transfer Family SFTP 服务器和用户，因为您已经有一台包含用户的 SFTP 服务器，并且您可以使用此服务器来往传输文件。但是，在本教程中，为了简单起见，我们使用 Transfer Family 服务器来充当远程 SFTP 服务器。

按照中所述创建启用 SFTP 的服务器的步骤创建服务器和步骤 3：添加服务托管用户添加用户。以下是我们在本教程中使用的用户详细信息：

用户和访问角色的组合

在本教程中，我们使用的是单一的组合角色。我们既对 SFTP 用户使用此角色，也用于访问连接器。以下示例包含此角色的详细信息，以备您要执行本教程中的任务时使用。

以下示例授予访问我们在 Amazon S3 中的两个存储桶以及存储在 Secrets Manager 中的名为aws/transfer/sftp-connector1的密钥所需的权限。在本教程中，这个角色被命名为sftp-connector-role。

有关为 Transfer Family 创建角色的完整详细信息，请按照中的创建用户角色步骤创建角色。