Transfer Family を使用して SFTP 経由でファイルを EFS に直接アップロードしてみた（VPCインターネット向け-鍵認証のみ編）

Transfer Family を使用して SFTP 経由でファイルを EFS に直接アップロードしてみました。本記事ではID プロバイダーに「サービスマネージド」、エンドポイントに「VPC（インターネット）」を選択した手順をご紹介します。

#AWS

#AWS Transfer Family

#AWS Transfer for SFTP

#Amazon EFS

おつまみ

2022.12.22

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは！AWS事業本部のおつまみです。

皆さん、Transfer Family を使用して SFTP 経由でファイルを EFS に直接アップロードしたいなぁと思ったことはありますか？私はあります。

Transfer Family は、AWS ストレージサービスとの間でファイルを送受信できる安全な転送サービスです。主にこれら4つの要素を選択し、構築します。

プロトコル
- SFTP (SSH ファイル転送プロトコル) - Secure Shell 経由のファイル転送
- AS2 (Applicability Statement 2) - ビジネス間データ交換用のメッセージングプロトコル情報
- FTPS (File Transfer Protocol Secure) - TLS 暗号化を使用したファイル転送プロトコル
- FTP (File Transfer Protocol) - 暗号化されていないファイル転送プロトコル
ID プロバイダー
- サービスマネージド - サービス内でユーザーを作成および管理
- AWS Directory Service情報 - AWS Managed AD でユーザーを有効にする、またはオンプレミス環境または AWS で独自のセルフマネージド AD を使用する
- カスタム ID プロバイダー - 情報任意の ID プロバイダーとの統合によりユーザーを管理する
エンドポイント
- パブリックアクセス - インターネット経由でアクセス可能
- VPC（内部） - セキュリティグループを使用したアクセスコントロール可能、VPC内のリソースからのみアクセスする場合
- VPC（インターネット） - セキュリティグループを使用したアクセスコントロール可能、VPC外からアクセスする場合
ドメイン
- Amazon S3
- Amazon EFS

今回は以下を選択した構築方法の作業手順をご紹介します。

プロトコル
- SFTP (SSH ファイル転送プロトコル) - Secure Shell 経由のファイル転送
ID プロバイダー
- サービスマネージド - サービス内でユーザーを作成および管理
エンドポイント
- VPC（インターネット） - セキュリティグループを使用したアクセスコントロール可能、VPC外からアクセスする場合
ドメイン
- Amazon EFS

構成図

今回構築するアーキテクチャの構成図です。

ID管理はサービスマネージドを選択しているため、Transfer Familyでユーザーを作成および管理をします。また不正にアクセスされないようセキュリティグループでIP制限を行います。

作業手順

0. 事前準備鍵の作成

今回、SFTPプロトコルを使用してTransfer Familyと通信するため、あらかじめSSHキーを作成しておきます。

SSH キーを生成する

お使いのPCに合わせて作成して下さい。
私はMacを使用しているため、ssh-keygenコマンドでSSHキーペアを作成しました。

o2mami% ssh-keygen -t rsa -b 4096 -N "" -f test_transferfamily-key
Generating public/private rsa key pair.
Your identification has been saved in test_transferfamily-key
Your public key has been saved in test_transferfamily-key.pub
The key fingerprint is:
SHA256:Gf32lItve2epdtEKyhjBHLg9poppse+Dg9RcfLUNQ48 o2mami
The key's randomart image is:
+---[RSA 4096]----+
|       ...       |
|      . .=o      |
|    .  =oE*.     |
|     o..B+ o   . |
|  o . .oSo  o o .|
| ..o  . .  ..+ o.|
|.. * .   + ...o.o|
|. B o   . o  ooo+|
| . +o.      .o=+.|
+----[SHA256]-----+

1. VPCの作成

まずはじめにVPCを作成します。VPCサービスから[VPCを作成]を選択します。

[VPCなど]を選択し、任意のVPC名とIPv4 CIDRブロックを割り当てます。　　

名前: test-transferfamily-vpc(任意の名前)
IPv4 CIDRブロック: 10.0.0.0/28(任意)

パブリックサブネットのみ必要であるため、[パブリックサブネットの数]は1、その他はなしで作成します。

2. EIPの作成

次にTransfer Familyのエンドポイントに割り当てるEIPを作成します。EC2サービスから左側のナビゲーションペインの[Elastic IP]を選択します。

[Elastic IP アドレスを割り当てる]を選択します。

以下を選択し、[割り当て]を押下します。　　

ネットワークボーダーグループ: ap-northeast-1　　
パブリックIPv4アドレスプール: AmazonのIPv4アドレスプール　　
タグ:Name: test-transferfamily-eip(任意の名前)

下記画面のように｢Elastic IPアドレス｣が発行されていれば､OKです｡

3. セキュリティグループの作成

次にTransfer Familyのエンドポイントに割り当てるセキュリティグループを作成します。

セキュリティグループ名: test-transferfamily-sg(任意の名前)
説明: test-transferfamily-sg(任意の名前)
インバウンドルール: プロトコルタイプSSH、ソースMy　IP　
ソースはお使いする環境に併せて設定して下さい。ただし安易に0.0.0.0/0を許可するのはやめましょう。

設定後任意でタグを追加します。追加後、[セキュリティグループを作成]を選択します。　　

タグ:Name: test-transferfamily-sg(任意の名前)

4. EFSの作成

次にEFSを作成します。EFSサービスから、[ファイルシステムの作成]を選択します。

自動バックアップなどの他設定をカスタマイズしたい場合は、[カスタマイズ]を選択します。
今回はこのまま設定を行い、[作成]を選択します。

名前: test-transferfamily-efs(任意の名前)
VPC: test-transferfamily-vpc(1で作成したVPC)
ストレージクラス: 標準

5. IAMの作成

次にTransfer Familyのユーザーに付与するIAMロールを作成します。
このIAMロールでは、EFSへアクセスするための権限を付与します。

IAMサービスから、[ロール]を選択します。

[ロールを作成]を選択します。

設定ステップ 1 : 信頼されたエンティティを選択
以下を選択し、[次へ]を選択します。
- 信頼されたエンティティの種類： AWSのサービス
- ユースケース： Transfer

ステップ 2 : 許可を追加以下を選択し、[次へ]を選択します。
- 許可ポリシー： AmazonElasticFileSystemClientFullAccess

※(補足)今回は接続のためのフルアクセス権限を付与しましたが、作成したリソースのみを指定する場合はリソースポリシーは以下のように設定します。 file-system-idは[4. EFSの作成]で作成したEFSのファイルIDfs-xxxxxxxを指定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RootFileSystemAccess",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Resource": "arn:aws:elasticfilesystem:<region>:<account-id>:file-system/<file-system-id>"
        }
    ]
}

ステップ 3 : 名前付け、確認、作成
- ロール名: test-transferfamily-role(任意の名前)