AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた

初心者向けの入門として、プロトコルやユーザー管理、エンドポイントタイプ、ドメインなどの内容を1つ１つ解説します

#AWS Transfer Family

#AWS Transfer for SFTP

#AWS

平井裕二

2023.07.26

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

AWS Transfer Familyは、Amazon S3 やAmazon EFS に対してファイルを送受信できる転送サービスです。

Transfer Family の設計や導入検討する際、以下のように設定項目の選択肢が多いため、構成例を含めて抑えておくべきポイントをまとめました。

プロトコル（SFTP,FTPS,FTP）
ドメイン（S3,EFS）
ユーザー管理（サービスマネージド,Directory Service,カスタムIDプロバイダー）
エンドポイントタイプ(パブリック、VPC内部向け、VPCインターネット向け)

AWS Transfer Familyの概要を知りたい方は、以下の動画参考になります。

前提条件

FTPSとFTPは、パッシプモードのみ対応。アクティブモードは利用できません
FTPとFTPSは、STREAM モードのみ対応。
FTPとFTPSは、データ型はイメージ/バイナリモードのみ対応
FTPSは、Explicit（明示的な）モードのみ対応。Implicit（暗黙的な）モードは利用できません
ファイル転送にはSFTP、AS2、FTPS、FTPを使用できます。SCPやHTTPSは使用できません。

利用コマンドにも制限があります。他の詳細な前提条件は下記を一読下さい。

プロトコル

利用できるプロトコルは、４つあります

FTP
- ファイルを平文で転送するプロトコル
- ユーザー名とパスワードを明示的に送信して認証を行う
FTPS
- FTPにSSL/TLSを利用して暗号化して転送するプロトコル
- クライアントとサーバー間で証明書を交換する
SFTP
- FTPにSSHを使用して暗号化するプロトコル
- ユーザー認証にSSH鍵を使用する
A2S (Applicability Statement 2)
- ビジネス間データ交換用のメッセージングプロトコル

A2Sは、今回解説しません。

セキュリティ上暗号化されたファイル転送がよいので、まずSFTPの利用検討を行いましょう。

プロトコルの利用制限

ユーザー管理やエンドポイントタイプごとに利用できるプロトコルが異なります。

ユーザー管理とエンドポイントタイプについては、後で説明します。

ユーザー管理	SFTP	FTPS	FTP
サービスマネージド	○	✕	✕
Directory Service	○	○	○
カスタム ID プロバイダー	○	○	○

下記はエンドポイントタイプごとに利用できるプロトコルです。

エンドポイントタイプ	SFTP	FTPS	FTP
パブリック	○	✕	✕
VPC（内部向け）	○	○	○
VPC（インターネット向け）	○	○	✕

プロトコルの複数選択

プロトコルは複数選択可能です。

ただし、複数プロトコルを選択すると、その分利用できるユーザー管理やエンドポイントタイプが狭まります。

例として、SFTP+FTPS+FTPとSFTP+FTPSとFTPS+FTPの場合、利用できるユーザー管理は以下の通りです。

ユーザー管理	SFTP+FTPS+FTP	SFTP+FTPS	FTPS+FTP
サービスマネージド	✕	✕	✕
Directory Service	○	○	○
カスタム ID プロバイダー	○	○	○

利用できるエンドポイントタイプ管理は以下の通りです。

エンドポイントタイプ	SFTP+FTPS+FTP	SFTP+FTPS	FTPS+FTP
パブリック	✕	✕	✕
VPC（内部向け）	○	○	○
VPC（インターネット向け）	✕	○	✕

ドメイン

選択したプロトコル経由でデータを保存し、アクセス可能なAWSサービスは、以下の２つです

Amazon S3
- 耐久性があるストレージサービスであり、データを保存することで、処理、分析、レポート、監査などに利用できます。
Amazon EFS
- EC2やオンプレミスサーバーが利用できるファイル共有ストレージサービスです。

ユーザー管理

認証と承認によって、ユーザーのアクセスを管理します。

ユーザー管理方法は、以下の３種類あります。

サービスマネージド
- Transfer Familyサービス内でユーザーを作成および管理します
- 認証方法は、SSHキー認証のみ
AWS Directory Service
- AWS Managed Microsoft Active Directory（以降、Managed Microsoft AD）またはオンプレミス環境のAD、EC2インスタンス上に構築したAD（以降、AD on EC2）が利用できます
- 認証方法は、パスワードのみ
カスタムIDプロバイダー
- Lambdaのみを利用するパターンとAPI Gatewayを利用する2パターンがあります
- 任意のIDプロバイダーもしくは、Secrets Managerにユーザーデータを保存し、ユーザーを管理します
- 認証方法は、パスワードもしくはSSHキー

ユーザー管理方法別にサポートされる機能は、以下の通りです

機能	サービスマネージド	Managed Microsoft AD	カスタムIDプロバイダー(API Gateway)	カスタムIDプロバイダー(Lambda)
プロトコル	SFTP	SFTP FTPS FTP	SFTP FTPS FTP	SFTP FTPS FTP
SAMLベースの認証	○	✕	○	○
パスワード認証	✕	○	○	○
SSHキー認証	○	✕	○	○
アクセス制御（IAMとPOSIX）*1	○	○	○	○
論理ホームディレクトリ	○	○	○	○
AWS WAF	✕	✕	✕	○

*1 アクセスを制御するために使用され、IAM は S3、POSIX は EFS で使用されます。

WAFを利用するなら、API Gateway一択です。

Directory Serviceでは、SSHキーでの認証はできません。

サービスマネージドは、SFTPのみ利用可能なプロトコルのため、パスワード認証は不可です。

1. サービスマネージド

AWSマネジメントコンソール上でユーザーを作成および管理ができます。

ただし、プロトコルのうちFTPSとFTPは、利用できません。SFTPのみが利用できます。

構成例

実際の構築は、下記の記事が参考になります。

2. Directory Service

Transfer Familyでは、Active Directoryによるユーザー認証が可能です。

AWSでは、Microsoft Windowsの「Active Directory」をマネージドサービスとして提供するAWS Directory Serviceがあります。

Directory Serviceには、３つのディレクトリタイプがあります。

Managed Microsoft AD
Simple AD
AD Connector

このうち、Simple ADは、Transfer Familyではサポートされておりません。

また、Transfer Family サーバーと同じリージョンにあるActive Directory統合のみをサポートしています。

ADとして、Managed Microsoft ADを利用したい場合、そのままManaged Microsoft ADを選択します。

オンプレミスのADやAD on EC2を利用したい場合、Managed Microsoft ADと信頼関係を設定するか、AD Connectorと連携する必要があります。

構成例

Managed Microsoft ADを利用する場合

実際の構築は、下記の記事が参考になります。

オンプレミスのADやAD on EC2をAD Connectorで接続する場合

オンプレミスのADやAD on EC2とManaged Microsoft ADで信頼関係を設定する場合

3. カスタムIDプロバイダー（Lambda）

カスタムIDプロバイダーでは、AWS Lambdaを認証に使用します。

ログイン認証情報を使用してユーザーを認証および承認する構成は、以下の CloudFormationテンプレートが用意されています。

Secrets Manager テンプレート
- Secrets Managerにユーザー名やパスワード、SFTPの場合、SSHキーのログイン認証情報を保存します。
oktaテンプレート
- oktaを利用したSAML認証です
okta-MFAテンプレート
- 多要素認証を加えたoktaを利用したSAML認証です
Azure Active Directoryテンプレート
- Azure ADを利用した認証方法です

各テンプレートは、ドキュメントからダウンロードできます

oktaやAzure ADを利用していない場合、Secrets Managerの利用がおすすめです。

Secrets Manager テンプレートの注意点としては、Secrets Managerに保存するユーザー名とパスワードは、１つのみであり、1つのログイン情報しか保存できない点です。

複数のログイン情報を保存して利用するには、Lambdaのコードを修正する必要があります。

また、実際に利用する場合パスワード認証は、安易なパスワードを作成できないようにしたり、ログインの失敗回数を制限することが望ましいです

構成例

Secrets Managerを利用したパスワード認証やSSHキー認証

実際の構築は、下記の記事が参考になります。

Lambdaのみでパスワード認証

実際の構築は、下記の記事が参考になります。

Azure ADを利用する場合

実際の構築は、下記の記事が参考になります。

4. カスタムIDプロバイダー（API Gateway）

カスタムIDプロバイダーでは、Lambdaに加えてAPI Gatewayを使用した認証が可能です。

Lambdaのみと比較し、AWS WAF を使用して地域ブロックまたはレート制限リクエストの機能を活用できます。

ただし、制限事項として以下の２点はサポートされておりません

カスタムドメインはサポートされません
プライベート APIはサポートされません。

構成例

Secrets Managerを利用したパスワード認証やSSHキー認証の場合

API Gateway にWAFの導入が可能です。

oktaを利用したSAML認証の場合

実際の構築は、下記の記事が参考になります。

エンドポイントタイプ

クライアントからTransfer Familyエンドポイントにアクセスするには、３つタイプがあります

パブリック
- クライアントがインターネット経由でアクセスできます
VPCでホスト（内部向け）
- エンドポイントのプライベート IP アドレスを使用して、アクセスします
VPCでホスト（インターネット向け）
- 各ENIにElastic IP アドレスを割り当ててアクセスします。

エンドポイントタイプごとの特徴は、下記の通りです。

項目	パブリック	VPC（内部向け）	VPC（インターネット向け）
プロトコル	SFTP	SFTP FTP FTPS	SFTP FTPS
アクセス	インターネット経由	VPC経由。オンプレからDirect ConnectやVPN経由でVPCに接続。	インターネット経由。 VPC経由。オンプレからDirect ConnectやVPN経由でVPCに接続。
固定 IP アドレス	✕	✕	○（Elastic IP）
送信元IP制限	✕	VPCエンドポイントのセキュリティグループやNACLで制限可能	ENIのセキュリティグループやNACLで制限可能
クライアント側のファイアウォール	サーバーのDNS名を許可	サーバーのDNS名やエンドポイントのプライベートIPアドレス許可	サーバーのDNS名やElastic IPアドレスを許可

VPC（インターネット向け）は、FTPプロトコルが利用できません

1. パブリック

パブリックな環境からS3やEFSファイル転送が可能です。

AWSからエンドポイントが払い出されるため、以下のSFTPコマンドでTransfer サーバーに接続できます。

	
$ sftp -i 秘密鍵 ユーザー名@エンドポイント名

エンドポイント名は、Route 53などのDNSでCNAMEにすることもできます。

ちなみに、EFSのマウントターゲットのセキュリティグループは、不要です。

構成例

パブリックの構成で、EFSにファイル転送する実際の構築は、下記の記事が参考になります。

2. VPC（内部向け）

サブネット上で、VPCエンドポイントが自動生成され、設定したセキュリティグループがアタッチされます。

VPCエンドポイントのセキュリティグループのインバウンドルールは、EC2からのアクセスを許可する必要があります。

Transferサーバーに接続する方法は、下記の通りです。

VPCエンドポイントのプライベートIP
VPCエンドポイントのDNS
Route53のパブリックホストゾーンやプライベートホストゾーンで上記２つのいずれかを名前解決

構成例

VPCエンドポイントと同じVPCに存在するEC2がファイル転送する場合

オンプレサーバーから、Direct ConnectやVPN経由でVPCエンドポイントを利用する場合

オンプレサーバーからVPCエンドポイント経由でファイル転送するためには、エンドポイントの固有のURL(例: vpce-xxx.ap-northeast-1.vpce.amazonaws.com)をターゲットに指定します。

下記の記事が参考になります

3. VPC（インターネット向け）

パブリックサブネット上で、VPCエンドポイントが自動生成され、設定したセキュリティグループがアタッチされます。

ENIにアタッチされたセキュリティグループのインバウンドルールによって、ファイル転送するユーザーのIP制限が可能です。

Transferサーバーに接続する方法は、下記の通りです。VPC（インターネット向け）は、VPC（内部向け）としても利用できます。

インターネット向け
- Transfer Familyエンドポイント
- VPCエンドポイントのENIのElastic IP
- Route53のパブリックホストゾーンで、上記２つのいずれかを名前解決
  - カスタムホスト名を指定すると、Route53のパブリックホストゾーンに自動追加されます。
内部向け
- VPCエンドポイントのプライベートIP
- VPCエンドポイントのDNS
- Route53のパブリックホストゾーンやプライベートホストゾーンで上記２つのいずれかを名前解決