Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置和使用 SFTP 连接器

连接器的目的是在您的 Amazon 存储和合作伙伴的 SFTP 服务器之间建立关系。您可以将文件从 Amazon S3 发送到合作伙伴拥有的外部目的地。您也可以使用 SFTP 连接器从合作伙伴的 SFTP 服务器检索文件。

本教程说明如何使用服务托管和 VPC_LATTICE 出口类型设置一个 SFTP 连接器，然后在 Amazon S3 存储和 SFTP 服务器之间传输文件。

SFTP 连接器从中检索 SFTP 凭据 Amazon Secrets Manager ，以对远程 SFTP 服务器进行身份验证并建立连接。连接器向远程服务器发送文件或从远程服务器检索文件，并将文件存储在 Amazon S3 中。您可以选择服务管理出口（使用托 Amazon 管基础设施）或 VPC 出口（使用 Cross-VPC 资源访问通过您的 VPC 进行路由）。IAM 角色用于允许访问 Amazon S3 存储桶和存储在密钥管理器中的证书。而且你可以登录亚马逊 CloudWatch。

以下博客文章提供了使用 SFTP 连接器构建 MFT 工作流程的参考架构，包括在使用 SFTP 连接器将文件发送到远程 SFTP 服务器之前使用 PGP 对文件进行加密：使用 SFTP 连接器和 PGP 加密架构安全且合规的托管文件传输。 Amazon Transfer Family

连接器出口类型

SFTP 连接器支持两种出口类型，它们决定您的连接器如何将流量路由到远程 SFTP 服务器：

本教程涵盖了两种出口类型。当您需要时，请选择 VPC 出口类型：

第 1 步：创建必要的支持资源

您可以使用 SFTP 连接器在 Amazon S3 和任何远程 SFTP 服务器之间复制文件。在本教程中，我们使用 Amazon Transfer Family 服务器作为远程 SFTP 服务器。我们需要创建和配置以下资源：

对于 VPC 出口类型连接器，您还需要：

创建 Amazon S3 存储桶

有关创建 Amazon S3 存储桶的完整详细信息，请参阅如何创建 S3 存储桶？在《亚马逊简单存储服务用户指南》中。

创建具有必要权限的 IAM 角色

对于访问角色，创建具有以下权限的策略。

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
        "Sid": "AllowListingOfUserFolder",
        "Action": [
            "s3:ListBucket",
            "s3:GetBucketLocation"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
        ]
    },
    {
        "Sid": "HomeDirObjectAccess",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion",
            "s3:GetObjectVersion",
            "s3:GetObjectACL",
            "s3:PutObjectACL"
        ],
        "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
    },
    {
        "Sid": "GetConnectorSecretValue",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": "arn:aws:secretsmanager:us-west-2:111122223333:secret:aws/transfer/SecretName-6RandomCharacters"
    }
  ]
}

按如下方式替换物品：

您还必须确保此角色包含信任关系，允许连接器在处理用户的传输请求时访问您的资源。有关建立信任关系的详细信息，请参阅 建立信任关系。

在中创建和存储密钥 Amazon Secrets Manager

我们需要在密钥管理器中存储一个密钥来存储您的 SFTP 连接器的用户凭证。您可以使用密码、SSH 私钥或两者。在本教程中，我们使用的是私钥。

在开始存储密钥的过程之前，请检索和格式化您的私钥。私钥必须与在远程 SFTP 服务器上为用户配置的公钥相对应。在我们的教程中，私钥必须对应于为我们的测试用户存储在我们用作远程服务器的 Transfer Family SFTP 服务器上的公钥。

为此，请运行以下命令：

jq -sR . path-to-private-key-file

例如，如果您的私钥文件位于中~/.ssh/sftp-testuser-privatekey，则命令如下所示。

jq -sR . ~/.ssh/sftp-testuser-privatekey

这会将正确格式（带有嵌入式换行符）的密钥输出到标准输出。将此文本复制到某个地方，因为您需要将其粘贴到以下过程中（在步骤 6 中）。

创建资源网关（仅限 VPC 出口类型）

对于 VPC 出口类型连接器，您需要在 VPC 中创建资源网关。资源网关用作 Cross-VPC 资源访问的入口点。

创建资源配置（仅限 VPC 出口类型）

创建指向您的 SFTP 服务器的资源配置。这可以是您的 VPC 中服务器的私有 IP 地址，也可以是外部服务器的公有 DNS 名称。有关资源配置的更多信息，请参阅 Amazon VPC Lattice 用户指南中的资源配置。

步骤 2：创建和测试 SFTP 连接器

在本节中，我们将创建一个 SFTP 连接器，该连接器使用我们之前创建的所有资源。有关更多详细信息，请参阅创建 SFTP 连接器。

您也可以使用创建连接器 Amazon Command Line Interface。

创建 SFTP 连接器后，我们建议您在尝试使用新连接器传输任何文件之前对其进行测试。

Test a connector using the console

若要测试 SFTP 连接器

1. 在处打开 Amazon Transfer Family 控制台https://console.aws.amazon.com/transfer/。

2. 在左侧导航窗格中，选择 SFTP 连接器，然后选择一个连接器。

3. 从操作菜单中选择测试连接。

   

系统会返回一条消息，指示测试是通过还是失败。如果测试失败，系统会根据测试失败的原因提供错误消息。

Test a connector using the CLI

要使用测试连接器 Amazon Command Line Interface，请在命令提示符下运行以下命令（connector-id替换为您的实际连接器 ID）：

aws transfer test-connection --connector-id c-connector-id

如果测试成功，则返回以下行：

{
   "Status": "OK",
   "StatusMessage": "Connection succeeded"
}

如果测试不成功，您将收到一条描述性错误消息，例如：

{
   "Status": "ERROR",
   "StatusMessage": "Unable to assume the configured access role"
}

当您描述 VPC 出口类型连接器时，响应包含新字段：

{
   "Connector": { 
      "AccessRole": "arn:aws:iam::219573224423:role/sftp-connector-role",
      "Arn": "arn:aws:transfer:us-east-1:219573224423:connector/c-5dfa309ccabf40759",
      "ConnectorId": "c-5dfa309ccabf40759",
      "Status": "ACTIVE",
      "EgressConfig": {
        "ResourceConfigurationArn": "arn:aws:vpc-lattice:us-east-1:025066256552:resourceconfiguration/rcfg-079259b27a357a190"
      },
      "EgressType": "VPC",
      "ServiceManagedEgressIpAddresses": null,
      "SftpConfig": { 
         "TrustedHostKeys": [ "ssh-rsa AAAAB3NzaC..." ],
         "UserSecretId": "aws/transfer/sftp-connector1"
      },
      "Url": "sftp://my.sftp.server.com:22"
   }
}

请注意，对于 VPC 出口类型连接器，该值为空，因为流量ServiceManagedEgressIpAddresses是通过您的 VPC 而不是 Amazon 托管基础设施进行路由。

第 3 步：使用 SFTP 连接器发送和检索文件

为简单起见，我们假设您的 Amazon S3 存储桶中已经有文件。

首先，我们将文件从 Amazon S3 存储桶发送到远程 SFTP 服务器。在命令提示符下运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --send-file-paths "/sftp-server-storage-east/SEND-to-SERVER.txt" /
   --remote-directory-path "/sftp-server-storage-east/incoming"

你的sftp-server-storage-east存储桶现在应该看起来像这样。

如果您未按预期看到该文件，请检查您的 CloudWatch 日志。

如果成功，日志条目如下所示：

{
    "operation": "SEND",
    "timestamp": "2023-12-18T15:26:57.346283Z",
    "connector-id": "connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/SEND-to-SERVER.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:26:56.915864Z",
    "end-time": "2023-12-18T15:26:57.298122Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/connector-id",
    "remote-directory-path": "/sftp-server-storage-east/incoming"
}

如果文件传输失败，则日志条目包含一条错误消息，指明了问题。错误的常见原因是 IAM 权限问题和文件路径不正确。

接下来，我们将文件从 SFTP 服务器检索到亚马逊 S3 存储桶中。在命令提示符下运行以下命令：

aws transfer start-file-transfer --connector-id c-connector-id --retrieve-file-paths "/sftp-server-storage-east/RETRIEVE-to-S3.txt" --local-directory-path "/sftp-server-storage-east/incoming"

如果传输成功，您的 Amazon S3 存储桶将包含传输的文件，如下所示。

如果成功，日志条目如下所示：

{
    "operation": "RETRIEVE",
    "timestamp": "2023-12-18T15:36:40.017800Z",
    "connector-id": "c-connector-id",
    "transfer-id": "transfer-id",
    "file-transfer-id": "transfer-id/file-transfer-id",
    "url": "sftp://s-server-id.server.transfer.us-east-1.amazonaws.com",
    "file-path": "/sftp-server-storage-east/RETRIEVE-to-S3.txt",
    "status-code": "COMPLETED",
    "start-time": "2023-12-18T15:36:39.727626Z",
    "end-time": "2023-12-18T15:36:39.895726Z",
    "account-id": "account-id",
    "connector-arn": "arn:aws:transfer:us-east-1:account-id:connector/c-connector-id",
    "local-directory-path": "/sftp-server-storage-east/incoming"
}

排除 VPC 出口类型连接器故障

如果您在使用 VPC 出口类型连接器时遇到问题，请检查以下内容：

VPC 出口类型的成本注意事项：

创建 Transfer Family 服务器以用作远程 SFTP 服务器的过程

下面，我们将概述创建用作本教程远程 SFTP 服务器的 Transfer Family 服务器的步骤。注意以下几点：

创建 Transft Family SFTP 服务器和用户

大多数用户无需创建 Transfer Family SFTP 服务器和用户，因为您已经拥有一台包含用户的 SFTP 服务器，并且您可以使用此服务器来回传输文件。但是，在本教程中，为简单起见，我们使用 Transfer Family 服务器作为远程 SFTP 服务器。

按照中所述创建 SFTP-enabled 服务器的步骤创建服务器和步骤 3：添加服务托管用户添加用户。以下是我们在本教程中使用的用户详细信息：

用户和访问权限的组合角色

在本教程中，我们使用的是单一的组合角色。我们将此角色既用于我们的 SFTP 用户，也用于访问连接器。如果您要执行教程中的任务，以下示例包含此角色的详细信息。

以下示例授予访问我们在 Amazon S3 中的两个存储桶以及存储在 Secrets Manager 中的名为aws/transfer/sftp-connector1的密钥所需的权限。在本教程中，这个角色被命名为sftp-connector-role。

有关为 Transfer Family 创建角色的完整详细信息，请按照中创建用户角色描述的步骤创建角色。