View a markdown version of this page

Gestisci le chiavi host per il tuo SFTP-enabled server - AWS Transfer Family
Quando importare le chiavi host

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestisci le chiavi host per il tuo SFTP-enabled server

Le chiavi host del server sono chiavi private utilizzate dal server Transfer Family per fornire un'identità univoca al chiamante e per garantire che si tratti del server corretto. Tale garanzia è garantita dalla presenza della chiave pubblica corretta nel file del chiamante. known_hosts (Il known_hosts file è una funzionalità standard utilizzata dalla maggior parte dei client SSH per archiviare le chiavi pubbliche dei server a cui ti sei connesso.) Puoi recuperare la chiave pubblica che corrisponde alla chiave host del tuo server eseguendo l'esecuzione ssh-keyscan per il tuo server.

Importante

La modifica accidentale della chiave host di un server può creare problemi. A seconda di come è configurato il client SFTP, può fallire immediatamente, con il messaggio che non esiste una chiave host affidabile o presentare richieste minacciose. Se sono presenti script per automatizzare le connessioni, molto probabilmente anche questi fallirebbero.

Per impostazione predefinita, AWS Transfer Family genera le chiavi host per il SFTP-enabled server. È possibile importare le chiavi host del server per preservare l'identità dell'host ed evitare di aggiornare gli archivi di fiducia dei clienti. Quando importare le chiavi hostelenca alcuni motivi per cui potresti voler eseguire questa operazione. Se non fornisci le chiavi host, ne verranno generate di nuove.

AWS Transfer Family supporta più chiavi host di diverso tipo (RSA, ECDSA ed ED25519) per fornire compatibilità con una gamma più ampia di algoritmi di firma host client. Diversi tipi di chiave abilitano algoritmi specifici: le chiavi RSA abilitano gli algoritmi rsa-*, le chiavi ECDSA abilitano gli algoritmi ecdsa-* e le chiavi ED25519 abilitano gli algoritmi ed25519. Pianificate i tipi di chiave al momento della creazione del server, poiché l'introduzione di tipi di chiavi aggiuntivi dopo che i client hanno iniziato a interagire con il server può causare interruzioni per alcuni clienti e può essere problematico quanto la sostituzione delle chiavi host esistenti.

Per evitare che agli utenti venga richiesto di verificare nuovamente l'autenticità del server, importa nel SFTP-enabled server la chiave host per il server locale. SFTP-enabled Ciò impedisce inoltre agli utenti di ricevere un avvertenza su un potenziale attacco di tipo man-in-the-middle.

Puoi anche ruotare periodicamente le chiavi host, come misura di sicurezza aggiuntiva. Per informazioni dettagliate, vedi Ruota le chiavi host del server.

Nota

Le chiavi host del server vengono utilizzate dai server che supportano il protocollo SFTP.

Quando importare le chiavi host

Sebbene sia AWS Transfer Family possibile generare automaticamente le chiavi host, esistono diversi scenari in cui l'importazione di chiavi host personalizzate offre vantaggi operativi:

  • Migrazione del server: stai migrando da un server esistente a un AWS Transfer Family altro e vuoi evitare di aggiornare i trust store (known_hostsfile) dei client esistenti.

  • Disaster recovery e failover: hai più AWS Transfer Family server (ad esempio, uno negli Stati Uniti orientali (Ohio) e uno negli Stati Uniti occidentali (Oregon)) che condividono lo stesso nome DNS pubblico. L'utilizzo delle stesse chiavi host su entrambi i server garantisce un failover senza interruzioni senza errori di autenticazione del client.

  • Continuità operativa: è necessario che il materiale delle chiavi host sia disponibile per l'uso con altri server (AWS Transfer Family o altro) in futuro per mantenere un'identità server coerente in tutta l'infrastruttura.

  • Controllo degli algoritmi: desiderate una maggiore compatibilità con i client fornendo più algoritmi Host Key oppure volete controllare quali algoritmi possono utilizzare i client offrendo solo chiavi compatibili con algoritmi specifici.

I seguenti argomenti forniscono procedure dettagliate per la gestione delle chiavi host del server: