View a markdown version of this page

Gestion des utilisateurs pour les points de terminaison des serveurs - AWS Transfer Family
Amazon EFS contre Amazon S3Répertoires logiquesQuotas de groupe Active Directory

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion des utilisateurs pour les points de terminaison des serveurs

Dans les sections suivantes, vous trouverez des informations sur la manière d'ajouter des utilisateurs à l'aide d'un fournisseur d'identité personnalisé AWS Directory Service for Microsoft Active Directory ou à l'aide AWS Transfer Family d'un fournisseur d'identité personnalisé.

Vous pouvez également stocker la clé publique SSH (Secure Shell) dans les propriétés de chaque utilisateur. Cela est obligatoire pour l'authentification par clé. La clé privée est stockée localement sur l'ordinateur de votre utilisateur. Lorsque votre utilisateur envoie une demande d'authentification à votre serveur à l'aide d'un client, votre serveur confirme d'abord que l'utilisateur a accès à la clé privée SSH associée. Le serveur authentifie ensuite l'utilisateur avec succès.

Note

Pour le déploiement et la gestion automatisés des utilisateurs possédant plusieurs clés SSH, consultezModules Terraform de la famille Transfer.

En outre, vous spécifiez le répertoire personnel ou le répertoire de destination d'un utilisateur et vous lui attribuez un rôle Gestion des identités et des accès AWS (IAM). Vous pouvez éventuellement fournir une politique de session pour limiter l'accès des utilisateurs uniquement au répertoire personnel de votre compartiment Amazon S3.

Important

AWS Transfer Family empêche les noms d'utilisateur de 1 ou 2 caractères de s'authentifier auprès des serveurs SFTP. De plus, nous bloquons également le nom root d'utilisateur.

Cela s'explique par le volume important de tentatives de connexion malveillantes effectuées par des scanners de mots de passe.

Amazon EFS contre Amazon S3

Caractéristiques de chaque option de rangement :

  • Pour limiter l'accès : Amazon S3 prend en charge les politiques de session ; Amazon EFS prend en charge les ID d'utilisateur, de groupe et de groupe secondaire POSIX

  • Les deux public/private touches de support

  • Les deux prennent en charge les répertoires personnels

  • Les deux prennent en charge les répertoires logiques

    Note

    Pour Amazon S3, la majeure partie de la prise en charge des répertoires logiques s'effectue via API/CLI. Vous pouvez utiliser la case à cocher Restreint de la console pour verrouiller l'accès d'un utilisateur à son répertoire personnel, mais vous ne pouvez pas spécifier de structure de répertoire virtuel.

Répertoires logiques

Si vous spécifiez des valeurs de répertoire logique pour votre utilisateur, le paramètre que vous utilisez dépend du type d'utilisateur.

  • Pour les utilisateurs gérés par des services, fournissez des valeurs de répertoire logiques dans. HomeDirectoryMappings

  • Pour les utilisateurs de fournisseurs d'identité personnalisés, fournissez des valeurs de répertoire logiques dansHomeDirectoryDetails.

AWS Transfer Family permet de spécifier une HomeDirectory valeur lors de l'utilisation du LOGICAL HomeDirectoryType. Cela s'applique aux utilisateurs gérés par les services, à l'accès à Active Directory et aux implémentations de fournisseurs d'identité personnalisés lorsqu' HomeDirectoryDetails ils sont fournis dans la réponse.

Important

Lorsque vous spécifiez a HomeDirectory avec LOGICAL HomeDirectoryType, la valeur doit correspondre à l'un de vos mappages de répertoires logiques. Le service valide cela lors de la création de l'utilisateur et lors des mises à jour pour empêcher les configurations qui ne fonctionneraient pas.

Comportement par défaut

Par défaut, si rien n'est spécifié, le HomeDirectory est réglé sur «/» pour le mode LOGIQUE. Ce comportement est inchangé et reste compatible avec les définitions utilisateur existantes.

Considérations relatives aux fournisseurs d'identité personnalisés

Lorsque vous utilisez un fournisseur d'identité personnalisé, vous pouvez désormais spécifier un HomeDirectory dans la réponse tout en utilisant LOGICAL HomeDirectoryType. L'appel TestIdentityProvider d'API produira des résultats corrects lorsque l'IDP personnalisé spécifie un HomeDirectory en mode LOGIQUE.

Exemple de réponse IDP personnalisée avec HomeDirectory et LOGICAL HomeDirectoryType :

{
  "Role": "arn:aws:iam::123456789012:role/transfer-user-role",
  "HomeDirectoryType": "LOGICAL",
  "HomeDirectory": "/marketing",
  "HomeDirectoryDetails": "[{\"Entry\":\"/\",\"Target\":\"/bucket/home\"},{\"Entry\":\"/marketing\",\"Target\":\"/marketing-bucket/campaigns\"}]"
}

Quotas de groupe Active Directory

AWS Transfer Family a une limite par défaut de 100 groupes Active Directory par serveur. Si votre cas d'utilisation nécessite plus de 100 groupes, envisagez d'utiliser une solution de fournisseur d'identité personnalisée, comme décrit dans Simplifier l'authentification Active Directory avec un fournisseur d'identité personnalisé pour AWS Transfer Family.

Cette limite s'applique aux serveurs utilisant les fournisseurs d'identité suivants :

  • AWS Service d'annuaire pour Microsoft Active Directory

  • AWS Service d'annuaire pour les services de domaine Entra ID

Si vous devez demander une augmentation de la limite de service, consultez Service AWS les quotas dans le Références générales AWS. Si votre cas d'utilisation nécessite plus de 100 groupes, envisagez d'utiliser une solution de fournisseur d'identité personnalisée, comme décrit dans Simplifier l'authentification Active Directory avec un fournisseur d'identité personnalisé pour AWS Transfer Family.

Pour obtenir des informations de dépannage relatives aux limites de groupe Active Directory, consultezLimites de groupe Active Directory dépassées.

Rubriques