Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden Sie Amazon API Gateway, um Ihren Identitätsanbieter zu integrieren

In diesem Thema wird beschrieben, wie eine AWS Lambda Funktion zur Unterstützung einer API-Gateway-Methode verwendet wird. Verwenden Sie diese Option, wenn Sie eine RESTful-API benötigen, um Ihren Identitätsanbieter zu integrieren, oder wenn Sie dessen Funktionen zum Geoblocking oder zur Ratenbegrenzung nutzen möchten. AWS WAF

Für die meisten Anwendungsfälle empfiehlt es sich, einen benutzerdefinierten Identitätsanbieter zu konfigurieren, die zu verwenden. Lösung für benutzerdefinierte Identitätsanbieter

Einschränkungen bei der Verwendung eines API-Gateways zur Integration Ihres Identitätsanbieters

Wenn Sie eine dieser Optionen benötigen, können Sie Lambda als Identitätsanbieter ohne API Gateway verwenden. Details hierzu finden Sie unter Verwenden AWS Lambda um Ihren Identitätsanbieter zu integrieren.

Authentifizierung mit einer API-Gateway-Methode

Sie können eine API-Gateway-Methode zur Verwendung als Identitätsanbieter für Transfer Family erstellen. Dieser Ansatz bietet Ihnen eine hochsichere Möglichkeit, APIs zu erstellen und bereitzustellen. Mit API Gateway können Sie einen HTTPS-Endpunkt erstellen, sodass alle eingehenden API-Operationen mit höherer Sicherheit übertragen werden. Weitere Informationen zum API Gateway-Dienst finden Sie im API Gateway Developer Guide.

API Gateway bietet eine Autorisierungsmethode namensAWS_IAM, mit der Sie dieselbe Authentifizierung auf der Grundlage von AWS Identity and Access Management (IAM) erhalten, die intern AWS verwendet wird. Wenn Sie die Authentifizierung mit aktivierenAWS_IAM, können nur Aufrufer mit expliziten Berechtigungen zum Aufrufen einer API die API-Gateway-Methode dieser API erreichen.

Um Ihre API Gateway-Methode als benutzerdefinierten Identitätsanbieter für Transfer Family zu verwenden, aktivieren Sie IAM für Ihre API-Gateway-Methode. Im Rahmen dieses Prozesses stellen Sie einer IAM-Rolle die Berechtigungen zur Verfügung, damit Transfer Family Ihr Gateway verwenden kann.

Implementieren Sie Ihre API-Gateway-Methode

Um einen benutzerdefinierten Identitätsanbieter für Transfer Family zu erstellen, muss Ihre API-Gateway-Methode eine einzelne Methode implementieren, die einen Ressourcenpfad von hat/servers/serverId/users/username/config. Die username Werte serverId und stammen aus dem RESTful-Ressourcenpfad. Fügen Sie außerdem sourceIp und protocol als URL-Abfragezeichenfolgenparameter in der Methodenanforderung hinzu, wie in der folgenden Abbildung gezeigt.

Wenn Transfer Family versucht, Ihren Benutzer mit einem Passwort zu authentifizieren, stellt der Dienst ein Password: Header-Feld zur Verfügung. Wenn kein Password: Header vorhanden ist, versucht Transfer Family, Ihren Benutzer mit einem öffentlichen Schlüssel zu authentifizieren.

Wenn Sie einen Identitätsanbieter zur Authentifizierung und Autorisierung von Endbenutzern verwenden, können Sie zusätzlich zur Überprüfung ihrer Anmeldeinformationen Zugriffsanfragen auf der Grundlage der IP-Adressen der von Ihren Endbenutzern verwendeten Clients zulassen oder ablehnen. Mit dieser Funktion können Sie sicherstellen, dass auf Daten, die in Ihren S3-Buckets oder Ihrem Amazon EFS-Dateisystem gespeichert sind, über die unterstützten Protokolle nur von IP-Adressen aus zugegriffen werden kann, die Sie als vertrauenswürdig angegeben haben. Um diese Funktion zu aktivieren, müssen Sie sie sourceIp in die Abfragezeichenfolge aufnehmen.

Wenn Sie mehrere Protokolle für Ihren Server aktiviert haben und den Zugriff mit demselben Benutzernamen über mehrere Protokolle hinweg gewähren möchten, können Sie dies tun, sofern die für jedes Protokoll spezifischen Anmeldeinformationen in Ihrem Identitätsanbieter eingerichtet wurden. Um diese Funktion zu aktivieren, müssen Sie den protocol Wert in den RESTful-Ressourcenpfad aufnehmen.

Ihre API-Gateway-Methode sollte immer den HTTP-Statuscode 200 zurückgeben. Jeder andere HTTP-Statuscode bedeutet, dass beim Zugriff auf die API ein Fehler aufgetreten ist.

Amazon S3-Beispielantwort

Der Beispielantworttext ist ein JSON-Dokument der folgenden Form für Amazon S3.

{
 "Role": "IAM role with configured S3 permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "Policy": "STS Assume role session policy",
 "HomeDirectory": "/amzn-s3-demo-bucket/path/to/home/directory"
}

Die folgende Beispielantwort zeigt, dass ein Benutzer einen logischen Basisverzeichnistyp hat.

{
   "Role": "arn:aws:iam::123456789012:role/transfer-access-role-s3",
   "HomeDirectoryType":"LOGICAL",
   "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/amzn-s3-demo-bucket1\"}]",
   "PublicKeys":[""]
}

Amazon EFS-Beispielantwort

Der Beispielantworttext ist ein JSON-Dokument der folgenden Form für Amazon EFS.

{
 "Role": "IAM role with configured EFS permissions",
 "PublicKeys": [
     "ssh-rsa public-key1",
     "ssh-rsa public-key2"
  ],
 "PosixProfile": {
   "Uid": "POSIX user ID",
   "Gid": "POSIX group ID",
   "SecondaryGids": [Optional list of secondary Group IDs],
 },
 "HomeDirectory": "/fs-id/path/to/home/directory"
}

Das Role Feld zeigt, dass eine erfolgreiche Authentifizierung stattgefunden hat. Bei der Passwortauthentifizierung (wenn Sie einen Password: Header angeben), müssen Sie keine öffentlichen SSH-Schlüssel angeben. Wenn ein Benutzer nicht authentifiziert werden kann, z. B. weil das Passwort falsch ist, sollte Ihre Methode eine Antwort ohne Role Set zurückgeben. Ein Beispiel für eine solche Antwort ist ein leeres JSON-Objekt.

Die folgende Beispielantwort zeigt einen Benutzer mit einem logischen Basisverzeichnistyp.

{
    "Role": "arn:aws:iam::123456789012:role/transfer-access-role-efs",
    "HomeDirectoryType": "LOGICAL",
    "HomeDirectoryDetails":"[{\"Entry\":\"/\",\"Target\":\"/faa1a123\"}]",
    "PublicKeys":[""],
    "PosixProfile":{"Uid":65534,"Gid":65534}
}

Sie können Benutzerrichtlinien im JSON-Format in die Lambda-Funktion aufnehmen. Weitere Informationen zur Konfiguration von Benutzerrichtlinien in Transfer Family finden Sie unterVerwaltung von Zugriffssteuerungen.

Standard-Lambda-Funktion

Um verschiedene Authentifizierungsstrategien zu implementieren, bearbeiten Sie die Lambda-Funktion, die Ihr Gateway verwendet. Um Ihnen zu helfen, die Anforderungen Ihrer Anwendung zu erfüllen, können Sie die folgenden Lambda-Beispielfunktionen in verwenden. Node.js Weitere Informationen zu Lambda finden Sie im AWS Lambda Entwicklerhandbuch oder im Abschnitt Erstellen von Lambda-Funktionen mit. Node.js

Das folgende Beispiel für eine Lambda-Funktion verwendet Ihren Benutzernamen, Ihr Passwort (wenn Sie eine Passwortauthentifizierung durchführen), Ihre Server-ID, Ihr Protokoll und Ihre Client-IP-Adresse. Sie können eine Kombination dieser Eingaben verwenden, um Ihren Identitätsanbieter nachzuschlagen und festzustellen, ob die Anmeldung akzeptiert werden soll.

Diese Beispielfunktion gibt die Details zur Rolle und zum logischen Basisverzeichnis zusammen mit den öffentlichen Schlüsseln zurück (wenn sie eine Authentifizierung mit öffentlichen Schlüsseln durchführt).

Wenn Sie dienstverwaltete Benutzer erstellen, legen Sie deren Basisverzeichnis entweder logisch oder physisch fest. Ebenso benötigen wir die Ergebnisse der Lambda-Funktion, um die gewünschte physische oder logische Verzeichnisstruktur für Benutzer zu vermitteln. Die Parameter, die Sie festlegen, hängen vom Wert für das HomeDirectoryType Feld ab.

Die Beispielfunktionen sind in aufgeführt. Beispiel für Lambda-Funktionen

Lambda-Funktion zur Verwendung mit AWS Secrets Manager

Um sie AWS Secrets Manager als Identitätsanbieter zu verwenden, können Sie mit der Lambda-Funktion in der CloudFormation Beispielvorlage arbeiten. Die Lambda-Funktion fragt den Secrets Manager-Dienst mit Ihren Anmeldeinformationen ab und gibt, falls erfolgreich, ein bestimmtes Geheimnis zurück. Weitere Informationen zu Secrets Manager finden Sie im Benutzerhandbuch für AWS Secrets Manager.

Um eine CloudFormation Beispielvorlage herunterzuladen, die diese Lambda-Funktion verwendet, rufen Sie den Amazon S3-Bucket von auf. AWS Transfer Family

Verbesserungen an der CloudFormation Vorlagen

An den veröffentlichten CloudFormation Vorlagen wurden Verbesserungen an der API Gateway-Schnittstelle vorgenommen. Die Vorlagen verwenden jetzt BASE64-encoded Passwörter mit dem API Gateway. Ihre vorhandenen Bereitstellungen funktionieren auch ohne diese Erweiterung, erlauben jedoch keine Passwörter mit Zeichen außerhalb des US-ASCII Basiszeichensatzes.

Die Änderungen in der Vorlage, die diese Funktion ermöglichen, lauten wie folgt:

Wenn du die aktualisierten Zeilen nicht siehst, bearbeite deinen Stapel. Einzelheiten zum Aktualisieren Ihres CloudFormation Stacks finden Sie unter Ändern einer Stack-Vorlage im AWS CloudFormation; Benutzerhandbuch.