View a markdown version of this page

Gestisci le chiavi host per il tuo SFTP-enabled server - AWS Transfer Family
Quando importare le chiavi host

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestisci le chiavi host per il tuo SFTP-enabled server

Le chiavi host del server sono chiavi private utilizzate dal server Transfer Family per fornire un'identità univoca al chiamante e per garantire che si tratti del server corretto. Tale garanzia è garantita dalla presenza della chiave pubblica corretta nella chiave del chiamante known_hosts file. (Il known_hosts il file è una funzionalità standard utilizzata dalla maggior parte dei client SSH per archiviare le chiavi pubbliche dei server a cui ti sei connesso.) È possibile recuperare la chiave pubblica che corrisponde alla chiave host del server eseguendo ssh-keyscan per il tuo server.

Importante

La modifica accidentale della chiave host di un server può creare problemi. A seconda di come è configurato il client SFTP, può fallire immediatamente, con il messaggio che non esiste una chiave host affidabile o presentare richieste minacciose. Se sono presenti script per automatizzare le connessioni, molto probabilmente anche questi fallirebbero.

Per impostazione predefinita, AWS Transfer Family genera chiavi host per il tuo SFTP-enabled server. È possibile importare le chiavi host del server per preservare l'identità dell'host ed evitare di aggiornare gli archivi di fiducia dei clienti. Quando importare le chiavi host elenca alcuni motivi per cui potresti voler eseguire questa operazione. Se non fornisci le chiavi host, ne verranno generate di nuove.

AWS Transfer Family supporta più chiavi host di diverso tipo (RSA, ECDSA ed ED25519) per fornire compatibilità con una gamma più ampia di algoritmi di firma host client. Diversi tipi di chiavi abilitano algoritmi specifici: le chiavi RSA abilitano rsa-* algoritmi, abilitano le chiavi ECDSA ecdsa-* algoritmi e le chiavi ED25519 abilitano ed25519 algoritmi. Pianificate i tipi di chiavi al momento della creazione del server, poiché l'introduzione di tipi di chiavi aggiuntivi dopo che i client hanno iniziato a interagire con il server può causare interruzioni per alcuni client e può essere problematico quanto la sostituzione delle chiavi host esistenti.

Per evitare che agli utenti venga richiesto di verificare l'autenticità dei SFTP-enabled nuovamente sul server, importa la chiave host per il tuo server locale nel file SFTP-enabled server. Ciò impedisce inoltre agli utenti di ricevere un avvertenza su un potenziale attacco di tipo man-in-the-middle.

È inoltre possibile ruotare periodicamente le chiavi dell'host, come misura di sicurezza aggiuntiva. Per informazioni dettagliate, vedi Ruota le chiavi dell'host del server.

Nota

Le chiavi host del server vengono utilizzate dai server che supportano il protocollo SFTP.

AWS Transfer Family supporta due tipi di archiviazione delle chiavi host, che controllano dove Transfer Family conserva il materiale della chiave privata per una chiave host:

  • Servizio gestito (SERVICE_MANAGED) — Transfer Family archivia e gestisce il materiale chiave dell'host per te. Questo è il tipo di archiviazione predefinito quando si crea un server utilizzando AWS CLI o il AWS API e non richiede alcuna configurazione aggiuntiva.

  • AWS Secrets Manager (SECRETS_MANAGER) — Transfer Family memorizza la chiave host in un segreto in Secrets Manager che puoi crittografare con il tuo AWS KMS chiave. Questo è il tipo di archiviazione predefinito quando si crea un server in AWS Transfer Family console.

Per ulteriori informazioni su AWS Secrets Manager archiviazione, vedere Memorizza le chiavi host del server SFTP in AWS Secrets Manager.

Quando importare le chiavi host

Mentre AWS Transfer Family è in grado di generare chiavi host automaticamente, esistono diversi scenari in cui l'importazione di chiavi host personalizzate offre vantaggi operativi:

  • Migrazione dei server - Stai migrando da un server esistente a AWS Transfer Family e vuoi evitare di aggiornare i trust store dei clienti (known_hosts file) per i clienti esistenti.

  • Disaster recovery e failover - Ne hai più AWS Transfer Family server (ad esempio, uno negli Stati Uniti orientali (Ohio) e uno negli Stati Uniti occidentali (Oregon)) che condividono lo stesso nome DNS pubblico. L'utilizzo delle stesse chiavi host su entrambi i server garantisce un failover senza interruzioni senza errori di autenticazione del client.

  • Continuità operativa - Desiderate che il materiale chiave dell'host sia disponibile per l'uso con altri server (AWS Transfer Family o altro) in futuro per mantenere un'identità server coerente in tutta l'infrastruttura.

  • Controllo tramite algoritmo - Desiderate una maggiore compatibilità con i client fornendo più algoritmi Host Key oppure volete controllare quali algoritmi possono utilizzare i client offrendo solo chiavi compatibili con algoritmi specifici.

I seguenti argomenti forniscono procedure dettagliate per la gestione delle chiavi host del server: