FAQ sur l'AWS Transfer Family
Sujets de la page
Questions d'ordre généralQuestions d'ordre général
Ouvrir toutQu'est-ce qu'AWS Transfer Family ?
AWS Transfer Family propose une prise en charge entièrement gérée pour le transfert de fichiers via SFTP, AS2, FTPS, FTP et navigateurs web, directement vers et depuis Amazon S3 ou Amazon EFS. Vous pouvez effectuer la migration, automatiser et surveiller de manière fluide vos flux de transfert de fichiers en conservant les configurations côté client existantes pour l'authentification, l'accès et les pare-feu. Ainsi, rien ne change pour vos clients, partenaires et équipes internes, ni pour leurs applications.
Qu'est-ce que SFTP ?
SFTP signifie le Protocole de transfert de fichiers Secure Shell (SSH), un protocole réseau utilisé pour le transfert sécurisé de données sur Internet. Le protocole prend en charge la sécurité complète et les fonctionnalités d'authentification de SSH. Il est largement utilisé pour l'échange de données entre partenaires commerciaux dans des secteurs divers tels que les services financiers, la santé, les médias et le divertissement, la vente au détail et la publicité.
Qu'est-ce que FTP ?
FTP signifie le Protocole de transfert de fichiers, un protocole réseau utilisé pour le transfert de données. FTP utilise un canal distinct pour le contrôle et le transfert de données. Le canal de contrôle est ouvert jusqu'à ce qu'il y soit mis fin ou jusqu'à la temporisation d'inactivité, tandis que le canal de données est actif pour durée du transfert. FTP utilise le texte en clair, et ne prend pas en charge le chiffrement du trafic.
Qu'est-ce que FTPS ?
FTPS signifie le Protocole de transfert de fichiers sur SSL, et est une extension à FTP. Comme le FTP, le FTPS utilise un canal distinct pour le contrôle et le transfert de données. Le canal de contrôle demeure ouvert jusqu'à ce qu'il soit résilié ou que le délai d'inactivité soit expiré, tandis que le canal de données demeure actif pendant toute la durée du transfert. Le FTPS utilise le protocole TLS (Transport Layer Security) pour chiffrer le trafic et permet le chiffrement des connexions de contrôle et de canal de données simultanément ou indépendamment.
Qu'est-ce qu'AS2 ?
AS2 est l'abréviation de Applicability Statement 2, un protocole réseau utilisé pour le transfert sécurisé et fiable de données d'entreprise à entreprise sur l'Internet public via HTTP/HTTPS (ou tout autre réseau TCP/IP).
Que sont les connecteurs SFTP ?
Les connecteurs SFTP d'AWS Transfer Family sont utilisés pour copier facilement et de manière fiable des fichiers à grande échelle entre des serveurs SFTP hébergés en externe et des services de stockage AWS.
Pourquoi devrais-je utiliser AWS Transfer Family ?
AWS Transfer Family prend en charge plusieurs protocoles pour les transferts de fichiers B2B (d'entreprise à entreprise). Ainsi, les données peuvent être échangées avec vos parties prenantes, fournisseurs tiers, partenaires commerciaux ou clients, et ce de manière simple et sécurisée. Sans Transfer Family, vous devez héberger et gérer votre propre service de transfert de fichiers, ce qui nécessite un investissement dans une infrastructure d'exploitation et de gestion, des serveurs d'application de correctifs, une surveillance du temps de fonctionnement et de la disponibilité et la création de mécanismes ponctuels d'allocation aux utilisateurs et d'audit de leur activité. AWS Transfer Family répond à ces défis en fournissant des options de connectivité entièrement gérées et sécurisées via SFTP, AS2, FTPS, FTP et navigateurs web pour les transferts de fichiers B2B, éliminant ainsi la nécessité de gérer une infrastructure liée aux transferts de fichiers. Les flux de travail de vos utilisateurs finaux restent inchangés, et les données téléchargées en amont/aval via les protocoles de votre choix sont stockées dans votre compartiment Amazon S3 ou dans votre système de fichiers Amazon EFS. Avec les données dans AWS, vous pouvez désormais les utiliser facilement avec le large éventail de services AWS pour le traitement des données, la gestion du contenu, l'analytique, le machine learning et l'archivage, dans un environnement qui peut répondre à vos exigences de conformité.
Puis-je utiliser AWS Transfer Family pour créer des flux de travail de transfert de fichiers géré (MFT) pilotés par événement dans AWS ?
Oui. AWS Transfer Family publie des notifications d’événements dans Amazon EventBridge pour chaque opération de transfert de fichiers effectuée par les serveurs et les connecteurs. Vous pouvez vous abonner aux événements AWS Transfer Family sur Amazon EventBridge et les utiliser pour orchestrer des flux de travail MFT pilotés par événement à l’aide d’Amazon EventBridge ou de tout autre moteur d’orchestration de votre choix qui s’intègre à ces événements. Consultez la section Automatisation du traitement des fichiers pour plus de détails.
Quels sont les avantages de l'utilisation d'AWS Transfer Family ?
AWS Transfer Family vous fournit un service de transfert de fichiers entièrement géré et hautement disponible, doté de fonctionnalités d'autoscaling, vous évitant ainsi de devoir gérer une infrastructure liée au transfert de fichiers. Les flux de travail de vos utilisateurs finaux restent inchangés, et les données téléchargées en amont/aval via les protocoles de votre choix sont stockées dans votre compartiment Amazon S3 ou dans votre système de fichiers Amazon EFS. Avec les données dans AWS, vous pouvez désormais les utiliser facilement avec le large éventail de services AWS pour le traitement des données, la gestion du contenu, l'analytique, le machine learning et l'archivage, dans un environnement qui peut répondre à vos exigences de conformité.
Comment démarrer avec AWS Transfer pour les points de terminaison de serveurs SFTP, FTPS et FTP ?
En trois étapes simples, vous obtenez un point de terminaison de serveur toujours actif compatible SFTP, FTPS et/ou FTP. Pour commencer, sélectionnez le ou les protocoles de votre choix pour permettre à vos utilisateurs finaux de se connecter à votre point de terminaison. Ensuite, vous configurez l'accès des utilisateurs à l'aide du gestionnaire d'authentification intégré à AWS Transfer Family (service géré), de Microsoft Active Directory (AD), ou en intégrant votre propre fournisseur d'identité ou un fournisseur d'identité tiers tel que Okta ou Microsoft AzureAD (authentification « BYO »). Enfin, sélectionnez le serveur pour accéder aux compartiments S3 ou aux systèmes de fichiers EFS. Une fois le ou les protocoles, le fournisseur d'identité et l'accès aux systèmes de fichiers activés, vos utilisateurs peuvent continuer à utiliser leurs clients et configurations SFTP, FTPS ou FTP existants, tandis que les données auxquelles ils accèdent sont stockées dans les systèmes de fichiers choisis.
Comment démarrer avec AWS Transfer pour AS2 ?
Vous pouvez commencer à utiliser AS2 pour échanger des messages avec vos partenaires commerciaux, en trois étapes simples. Tout d'abord, importez vos certificats et clés privées, ainsi que le certificat et la chaîne de certificat de vos partenaires commerciaux. Ensuite, créez des profils en utilisant vos identifiants AS2 et ceux de votre partenaire. Enfin, associez vos informations de profil et celles de votre partenaire en utilisant un accord pour la réception de données et un connecteur pour l'envoi de données. À ce stade, vous êtes prêt à échanger des messages avec le serveur AS2 de votre partenaire commercial.
Comment démarrer avec les connecteurs SFTP d'AWS Transfer ?
Vous pouvez commencer à utiliser les connecteurs SFTP pour copier des fichiers entre des serveurs SFTP distants et Amazon S3 en trois étapes simples : premièrement, créer un secret qui stockera les informations d’identification à utiliser par le connecteur SFTP pour l’authentification sur le serveur distant. Deuxièmement, créer un connecteur SFTP en fournissant l’URL secrète et distante du serveur. Troisièmement, une fois le connecteur créé, vous pouvez commencer à l’utiliser pour déplacer des fichiers entre le serveur distant et le compartiment Amazon S3 en appelant l’API StartFileTransfer.
Quelle est la différence entre SFTP et FTPS ? Lequel des deux dois-je utiliser et quand ?
FTPS et SFTP peuvent tous deux être utilisés pour des transferts sécurisés. Étant donné que les deux protocoles sont différents, ils utilisent des clients et des technologies différents pour fournir un tunnel sécurisé pour la transmission des commandes et des données. SFTP est un protocole plus récent, qui utilise un seul canal pour les commandes et les données, et il nécessite moins d'ouvertures de ports que FTPS.
Quelle est la différence entre les protocoles SFTP, FTPS et AS2 ? Quand utiliser le protocole AS2 ?
Les protocoles SFTP, FTPS et AS2 peuvent tous être utilisés pour les transferts sécurisés. Comme il s'agit de protocoles différents, ils utilisent des clients et des technologies différents pour effectuer des transmissions sécurisées de données. Outre la prise en charge des messages chiffrés et signés, le mécanisme intégré d'AS2 pour Message Disposition Notification (MDN) avertit l'expéditeur que le message a été reçu et déchiffré correctement par le destinataire. L'expéditeur a ainsi la preuve que son message a été remis sans avoir été altéré pendant le transit. L'utilisation d'AS2 est répandue dans les flux du commerce de détail, du commerce électronique, des paiements, de la chaîne d'approvisionnement pour interagir avec les partenaires commerciaux qui peuvent également utiliser AS2 pour traiter les messages, afin qu'ils soient transmis et remis en toute sécurité. AS2 vous offre des options pour garantir l'identité de l'expéditeur et du destinataire, l'intégrité du message, et pour confirmer que le message a été remis et déchiffré par le destinataire.
Mes utilisateurs peuvent-ils continuer d'utiliser leurs clients et applications de transfert de fichiers existants ?
Oui. Toutes les applications client de transfert de fichiers existantes continuent à fonctionner tant que vous laissez activé votre point de terminaison pour les protocoles choisis. WinSCP, FileZilla, CyberDuck, lftp, et OpenSSH sont des exemples de clients SFTP/FTPS/FTP couramment utilisés.
Mes utilisateurs peuvent-ils charger et télécharger des fichiers via un portail web ?
Oui. Les clients peuvent utiliser le client web d'AWS Transfer Family pour permettre aux utilisateurs de charger et de télécharger des fichiers via un portail web. Les clients ont accès aux mêmes avantages d'authentification et de contrôle d'accès qu'AWS Transfer pour SFTP, en plus d'une interface de navigateur web intuitive conçue pour les utilisateurs non techniques.
Comment puis accéder aux fichiers stockés dans un site SFTP externe ?
Vous pouvez utiliser les connecteurs SFTP d'AWS Transfer pour accéder aux fichiers stockés sur des sites SFTP externes. Consultez la documentation sur les connecteurs SFTP pour commencer à les utiliser
Comment puis-je déplacer des fichiers depuis les systèmes commerciaux de mon partenaire commercial vers mon compartiment S3 ?
Vous pouvez utiliser les fonctionnalités SFTP/FTPS/AS2 entièrement gérées d'AWS Transfer Family pour recevoir des documents EDI générés par les systèmes commerciaux de votre partenaire commercial. Les documents EDI reçus à l'aide des fonctionnalités de connectivité d'AWS Transfer Family sont automatiquement chargés sur Amazon S3 où ils peuvent ensuite être transformés en sorties au format JSON et XML à l'aide de l'échange de données B2B d'AWS. Vous pouvez également utiliser n'importe quel autre outil de connectivité EDI pour charger des documents EDI sur S3.
Mes utilisateurs peuvent-ils utiliser HTTPS pour transférer des fichiers à l’aide de ce service ?
Non. Ils doivent utiliser SFTP, AS2, FTPS, ou FTP pour transférer des fichiers. La plupart des clients de transfert de fichiers proposent l'un de ces protocoles comme option à sélectionner lors de l'authentification. Si vous souhaitez tester la prise en charge d'un protocole particulier, n'hésitez pas à nous en faire part via AWS Support ou par le biais de l'équipe de votre compte AWS.
Mes utilisateurs peuvent-ils utiliser les commandes SCP pour transférer des fichiers à l’aide de ce service ?
Oui, vous pouvez utiliser Transfer Family pour prendre en charge les commandes SCP via le protocole SFTP afin de répondre à la majorité de vos cas d’utilisation SCP pour les transferts de fichiers utilisant le stockage S3 et EFS. Pour prendre en charge les commandes SCP, assurez-vous que votre client SCP utilise par défaut SCP via SFTP, comme OpenSSH 9.0 ou une version plus récente. Cependant, le protocole SCP est obsolète et n’est pas pris en charge par le service. Pour en savoir plus, consultez notre documentation.
Options de points de terminaison de serveur
Ouvrir toutPuis-je personnaliser les bannières de connexion pour les utilisateurs qui se connectent à mon serveur Transfer Family ?
Oui. Vous pouvez configurer votre serveur Transfer Family de sorte à afficher les bannières personnalisées, telles les politiques ou les conditions générales d'organisation, à vos utilisateurs. Vous pouvez également afficher des messages du jour (MOTD) personnalisés aux utilisateurs qui se sont authentifiés avec succès. Pour en savoir plus, consultez la documentation.
Puis-je utiliser le nom de domaine de mon entreprise (sftp.mycompanyname.com) pour accéder à mon point de terminaison ?
Oui. Le service fournit un nom de domaine par défaut permettant d'accéder à votre point de terminaison. Si vous disposez déjà d'un nom de domaine, vous pouvez utiliser Amazon Route 53 ou tout service DNS pour acheminer le trafic de vos utilisateurs depuis votre domaine enregistré vers le point de terminaison de serveur dans AWS. Consultez la documentation sur la façon dont AWS Transfer Family utilise Amazon Route 53 pour les noms de domaine personnalisés (uniquement applicables aux points de terminaison accessibles sur Internet).
Puis-je configurer mon serveur de manière à ce qu'il soit accessible uniquement aux ressources dans mon VPC ?
Oui. Lorsque vous créez un serveur ou que vous mettez à jour un serveur existant, vous pouvez spécifier si vous voulez que le point de terminaison soit accessible sur l'Internet public ou hébergé dans votre VPC. L'utilisation d'un point de terminaison hébergé dans un VPC pour votre serveur vous permet de restreindre son accès uniquement aux clients du même VPC, à d'autres VPC que vous spécifiez ou dans des environnements sur site utilisant des technologies de mise en réseau qui étendent votre VPC, par exemple AWS Direct Connect, AWS VPN ou l'appairage VPC. Vous pouvez restreindre plus encore l'accès aux ressources dans des sous-réseaux spécifiques au sein de votre VPC avec des listes de contrôle d'accès réseau (NACL) de sous-réseaux ou des groupes de sécurité. Pour plus d'informations, consultez la documentation sur la création du point de terminaison de votre serveur au sein de votre VPC à l'aide d'AWS PrivateLink.
Puis-je utiliser FTP avec un point de terminaison accessible sur Internet ?
Non, lorsque vous activez le protocole FTP, vous ne pourrez utiliser que l’option d’accès interne du point de terminaison hébergé dans le VPC, car le protocole FTP transmet les données en clair. Si le trafic doit transiter par le réseau public, vous devrez utiliser des protocoles sécurisés tels que SFTP ou FTPS.
Puis-je utiliser FTP sans un VPC ?
Non. Un VPC est requis pour héberger les points de terminaison du serveur FTP. Veuillez consulter la documentation sur les modèles CloudFormation visant à automatiser la création de ressources VPC pour héberger le point de terminaison lors de la création du serveur.
Mes utilisateurs finaux peuvent-ils utiliser des adresses IP fixes pour ajouter sur liste d'autorisation l'accès au point de terminaison de mon serveur dans leurs pare-feu ?
Oui. Vous pouvez activer des adresses IP fixes pour le point de terminaison de votre serveur en sélectionnant le point de terminaison hébergé dans un VPC pour votre serveur et l'option d'accès via Internet. Ainsi, vous pouvez attacher des adresses IP Elastic (notamment des adresses BYO IP) directement au point de terminaison qui est assigné en tant qu'adresse IP du point de terminaison. Consultez la section sur la création d'un point de terminaison accessible sur Internet dans la documentation intitulée Création du point de terminaison de votre serveur au sein de votre VPC.
Puis-je limiter le trafic entrant via les adresses IP source des utilisateurs finaux ?
Oui. Vous avez trois options pour limiter le trafic entrant via les adresses IP sources des utilisateurs finaux. Si vous hébergez votre point de terminaison de serveur au sein du VPC, consultez cet article de blog sur l'utilisation de groupes de sécurité pour autoriser le listage de l'adresse IP source, ou utilisez le service AWS Network Firewall. Si vous utilisez un serveur public EndpointType Transfer et API Gateway pour intégrer votre système de gestion des identités, vous pouvez également utiliser AWS WAF pour autoriser ou bloquer l'accès, ou le limiter en fonction du débit, par l'adresse IP source de vos utilisateurs finaux.
Puis-je héberger le point de terminaison de mon serveur dans un environnement VPC partagé ?
Oui. Vous pouvez déployer le point de terminaison de votre serveur avec des environnements VPC utilisés généralement lors de la segmentation de votre environnement AWS à l'aide d'outils comme AWS Landing Zone pour la sécurité, la surveillance des coûts et la scalabilité. Reportez-vous à cet article de blog sur l'utilisation des points de terminaison hébergés VPC dans des environnements VPC partagés avec AWS Transfer Family.
Comment puis-améliorer les performances des transferts de fichiers pour les utilisateurs finaux situés à distance ?
Vous pouvez utiliser AWS Global Accelerator avec votre point de terminaison de serveur Transfer pour améliorer le débit du transfert des fichiers et le temps d'aller-retour. Pour plus d'informations, lisez cet article de blog.
Puis-je sélectionner les algorithmes de chiffrement qui peuvent être utilisés lorsque les clients de mes utilisateurs finaux se connectent au point de terminaison de mon serveur ?
Oui. Selon vos exigences en matière de sécurité et de conformité, vous pouvez sélectionner l'une de nos politiques de sécurité gérées par service disponibles afin de contrôler les algorithmes cryptographiques qui seront publiés par les points de terminaison de votre serveur. Lorsque les clients de transfert de fichiers de vos utilisateurs finaux tentent de se connecter à votre serveur, seuls les algorithmes spécifiés dans la politique peuvent être utilisés pour la connexion. Consultez la documentation sur les politiques de sécurité prédéfinies.
AWS Transfer Family prend-il en charge l'échange post-quantique de clés publiques en toute sécurité ?
Oui. AWS Transfer Family prend en charge l'échange à clé publique post-quantique pour les transferts de fichiers SFTP. Vous pouvez associer l'une des politiques de sécurité PQ hybrides prédéfinies à votre serveur SFTP pour permettre un échange de clés post-quantique sécurisé avec des clients prenant en charge les algorithmes de chiffrement PQ.
Mes utilisateurs finaux peuvent-ils utiliser des adresses IP fixes pour accéder à mon serveur dont le type de point de terminaison est PUBLIC ?
Non. Les adresses IP fixes généralement utilisées à des fins de liste blanche de pare-feu ne sont actuellement pas prises en charge par le type de points de terminaison PUBLIC. Utilisez des points de terminaison hébergés dans un VPC pour attribuer des adresses IP statiques pour votre point de terminaison.
De quelles plages d'adresses IP les utilisateurs finaux auront-ils besoin pour autoriser le listage, afin de pouvoir accéder au point de terminaison de mon serveur SFTP de type PUBLIC ?
Si vous utilisez le type de point de terminaison PUBLIC, vos utilisateurs doivent autoriser le listage des plages d'adresses IP AWS publiées ici. Reportez-vous à la documentation pour plus d'informations sur les plages d'adresses IP AWS.
La clé d'hôte de mon serveur AWS Transfer for SFTP sera-t-elle modifiée après la création du serveur ?
Non. La clé d'hôte du serveur qui est attribuée lorsque vous créez le serveur ne change pas, à moins que vous n'ajoutiez une nouvelle clé d'hôte et supprimiez manuellement la clé originale.
Quels types de clés d'hôtes de serveur SFTP sont pris en charge ?
Les types de clés RSA, ED25519 et ECDSA sont pris en charge pour les clés d'hôtes du serveur SFTP.
Puis-je importer les clés de mon serveur SFTP actuel, afin de dispenser mes utilisateurs d'avoir à vérifier à nouveau l'authenticité de mon serveur ?
Oui. Vous pouvez importer une clé d'hôte lors de la création d'un serveur ou importer plusieurs clés d'hôtes lors de la mise à jour d'un serveur. Veuillez consulter la documentation sur la gestion des clés d'hôtes pour votre serveur compatible SFTP.
Est-il possible d'utiliser des clés d'hôtes multiples pour vérifier l'authenticité de mon serveur SFTP ?
Oui. La plus ancienne clé d'hôte pour chaque type de clés peut être utilisé pour vérifier l'authenticité d'un serveur SFTP. En ajoutant les clés d'hôtes RSA, ED25519 et ECDSA, 3 clés d'hôtes distinctes peuvent être utilisées pour identifier votre serveur SFTP.
Quelles clés d'hôtes sont utilisées pour vérifier l'authenticité de mon serveur SFTP ?
La plus ancienne clé d'hôte pour chaque type de clés est utilisée pour vérifier l'authenticité de votre serveur SFTP.
Puis-je procéder à une rotation de mes clés d'hôtes pour mon serveur SFTP afin de garantir des connexions sécurisée ?
Oui. Vous pouvez effectuer une rotation de vos clés d'hôtes du serveur SFTP à tout moment en ajoutant ou en retirant des clés d'hôtes. Veuillez consulter la documentation sur la gestion des clés d'hôtes pour votre serveur compatible SFTP.
Comment les clients FTPS de mes utilisateurs finaux vérifient-ils l'identité de mon serveur FTPS ?
Si vous activez l'accès FTPS, vous devrez fournir un certificat d'Amazon Certificate Manager (ACM). Ce certificat est utilisé par les clients de vos utilisateurs finaux pour vérifier l'identité de votre serveur FTPS. Consultez la documentation ACM concernant la demande de nouveaux certificats ou l'importation de certificats existants dans ACM.
Les modes actif et passif de FTPS et FTP sont-ils pris en charge ?
Nous ne prenons en charge que le mode passif, qui permet aux clients de vos utilisateurs finaux d'initier des connexions avec votre serveur. Le mode passif nécessite moins d'ouvertures de ports côté client, rendant le point de terminaison de votre serveur plus compatible avec les utilisateurs finaux derrière les pare-feu protégés.
Les modes FTPS explicite et implicite sont-ils pris en charge ?
Nous prenons uniquement en charge le mode FTPS explicite.
Puis-je transférer des fichiers via les protocoles FTPS/FTP si j'ai un pare-feu ou un routeur configuré entre le client et le serveur ?
Oui. Les transferts de fichiers traversant un pare-feu ou un routeur sont pris en charge par défaut à l'aide du mode EPSV (Extended Passive Connection Mode). Si vous utilisez un client FTPS/FTP qui ne prend pas en charge le mode EPSV, consultez cet article de blog pour configurer votre serveur en mode PASV afin d'étendre la compatibilité de votre serveur à une large gamme de clients.
La gamme AWS Transfer Family prend-elle en charge les ports autres que ceux par défaut pour les serveurs SFTP ?
Oui. Outre le port 22 standard, AWS Transfer Family prend également en charge les ports alternatifs 2222 et 22000. Par défaut, le port 22 est configuré par défaut pour vos serveurs SFTP. Pour renforcer la sécurité de votre serveur, vous pouvez configurer le trafic SSH pour utiliser le port 22, le port 2222 ou les deux. Consultez notre documentation en cliquant ici.
Applications Web
Ouvrir toutQu’est-ce que les applications web AWS Transfer Family ?
Les applications Web AWS Transfer Family sont des portails entièrement gérés, personnalisables, sécurisés et fiables qui vous permettent de fournir à vos utilisateurs finaux une interface simple pour transférer des données depuis et vers Amazon S3 via un navigateur Web.
Comment démarrer avec les applications Web Transfer Family ?
Vous pouvez commencer à utiliser des applications Web pour activer une interface Web simple afin que vos utilisateurs finaux puissent parcourir, charger et télécharger les données stockées dans Amazon S3 en trois étapes simples. Tout d’abord, créez une instance Identity Center en utilisant le répertoire Identity Center, Microsoft Active Directory (AD) ou un fournisseur d’identité (IdP) tiers tel qu’Okta ou Entra ID. Ensuite, dans la console Transfer Family, créez une application web et attribuez vos utilisateurs et groupes de votre répertoire pour qu’ils puissent utiliser votre application. Enfin, configurez les autorisations d’utilisateur ou de groupe dans S3 Access Grants. Pour plus de détails, consultez notre blog ou notre documentation.
Dois-je créer un serveur pour créer une application Web Transfer Family ?
Non. Les serveurs et les applications Web de Transfer Family sont des ressources distinctes et autonomes qui ne sont pas connectées. Vous créez une application Web indépendante d’un serveur.
Quelles méthodes d’authentification sont prises en charge pour les applications Web Transfer Family ?
Les applications Web prennent en charge AWS IAM Identity Center. Avec IAM Identity Center, vous pouvez créer et gérer les identités des utilisateurs dans le magasin d’identités d’IAM Identity Center. Vous pouvez aussi vous connecter facilement à votre source d’identité existante, notamment Microsoft Active Directory, Okta Universal Directory, Microsoft Entra ID (anciennement Azure AD) ou un autre fournisseur d’identité pris en charge. Vous pouvez connecter IAM Identity Center à la plupart des fournisseurs d'identité SAML 2.0, tels que Okta Universal Directory ou Microsoft Entra ID (anciennement Azure AD). Consultez la documentation d’IAM Identity Center pour en savoir plus.
Comment puis-je provisionner des identités à partir de mes fournisseurs d’identité (IdP) existants pour mon application web Transfer Family ?
Les identités provenant de votre fournisseur d'identité existant doivent être allouées dans IAM Identity Center avant que vous ne puissiez attribuer des autorisations. Vous pouvez synchroniser automatiquement les informations d'utilisateurs et de groupes à partir d'Okta Universal Directory, Microsoft Entra ID (anciennement Azure AD), OneLogin et PingFederate grâce à la norme SCIM (System for Cross-domain Identity Management). Pour les autres fournisseurs d'identité, vous pouvez allouer des utilisateurs à partir de votre fournisseur d'identité à l'aide de la console IAM Identity Center. Consultez la documentation IAM Identity Center pour en savoir plus.
Puis-je utiliser Microsoft Active Directory avec mon application Web Transfer Family ?
Oui. Vous pouvez connecter IAM Identity Center à votre répertoire Active Directory (AD) sur site ou à un répertoire AD Microsoft géré par AWS en utilisant AWS Directory Service. Consultez la documentation IAM Identity Center pour en savoir plus.
Quels services de stockage AWS sont pris en charge pour transférer des fichiers à l’aide des applications Web Transfer Family ?
Vous pouvez utiliser les applications Web Transfer Family pour transférer des fichiers depuis ou vers Amazon S3.
Comment les autorisations d’accès Amazon S3 fonctionnent-elles avec les applications Web Transfer Family ?
Les applications Web offrent à chaque utilisateur final une vue unique des emplacements S3 et des autorisations définies dans S3 Access Grants. Lorsque l’utilisateur parcourt, charge et télécharge des objets, l’application Web utilise des informations d’identification IAM temporaires émises par S3 Access Grants pour accéder en toute sécurité aux données dans S3. Pour en savoir plus sur S3 Access Grants, consultez le Guide de l’utilisateur de S3.
Quels niveaux d’accès puis-je accorder à mes utilisateurs et à mes groupes à l’aide de mon application Web Transfer Family ?
Les contrôles d’accès aux applications Web sont gérés par S3 Access Grants, qui propose trois niveaux d’accès : READ, WRITE et READWRITE. Ces niveaux d’accès permettent des actions autorisées associées telles que lister, télécharger, téléverser et copier des fichiers. Le niveau LECTURE vous permet de visualiser et de récupérer des objets depuis S3. Le niveau ÉCRITURE vous permet d'écrire et de supprimer dans S3. Le niveau LECTURE-ÉCRITURE vous permet d'effectuer à la fois des opérations de lecture et d'écriture.
Puis-je personnaliser l’apparence de mon application Web Transfer Family ?
Oui. Vous pouvez personnaliser le portail Web en mettant à jour le logo, le favicon et le titre de page d’une entreprise dans la console AWS Transfer Family ou à l’aide de l’interface de ligne de commande ou de l’API AWS.
Puis-je personnaliser l’URL de mon application Web Transfer Family ?
Oui. Vous pouvez utiliser Amazon CloudFront pour associer un nom de domaine personnalisé à votre application Web. Vous pouvez également personnaliser l’URL de connexion à votre portail d’applications Identity Center via AWS IAM Identity Center si vous prévoyez de partager plusieurs applications AWS avec vos utilisateurs finaux.
Quelles actions mes utilisateurs peuvent-ils effectuer avec les applications Web Transfer Family ?
Vos utilisateurs peuvent être autorisés à répertorier, charger, télécharger, copier et supprimer des fichiers en fonction de leur accès accordé dans les rôles IAM et S3 Access Grants. Pour en savoir plus sur la gestion des contrôles d’accès, consultez la documentation.
Quel est le lien entre les applications Web et le navigateur de stockage pour Amazon S3 ?
Le navigateur de stockage pour S3 est un composant open source que vous pouvez ajouter à vos applications Web pour offrir à vos utilisateurs finaux une interface simple pour accéder aux données stockées dans S3. Les applications Web sont créées à l’aide du navigateur de stockage pour S3 et offrent les mêmes fonctionnalités pour les utilisateurs finaux dans une offre entièrement gérée.
Puis-je connecter plusieurs sources d’identité à IAM Identity Center pour mon application Web Transfer Family ?
Non. Vous ne pouvez avoir qu'un seul répertoire ou un seul fournisseur d'identité SAML 2.0 connecté à IAM Identity Center à la fois. Cependant, vous pouvez remplacer la source d’identité qui est connectée par une autre.
Connecteurs SFTP
Ouvrir toutQuelles méthodes d'authentification sont-elles prises en charge pour établir une connexion avec des serveurs SFTP distants ?
Vous pouvez authentifier les connexions aux serveurs distants en utilisant des paires de clés SSH ou un mot de passe, ou les deux, selon les exigences du serveur distant. Pour en savoir plus sur le stockage et la gestion des informations d’authentification de votre connecteur dans votre compte AWS Secrets Manager, consultez la documentation.
Quels sont les services de stockage AWS pris en charge pour transférer des fichiers à l'aide des connecteurs SFTP ?
Vous pouvez transférer des fichiers vers ou depuis Amazon S3 vers des serveurs SFTP distants à l'aide de connecteurs SFTP.
Quels algorithmes de clé d'hôte SSH sont pris en charge par les connecteurs SFTP ?
Nous prenons en charge les algorithmes de clés d’hôtes RSA et ECDSA. Pour plus de détails sur les types de clés pris en charge, consultez la documentation ici.
Comment puis-je valider l'identité d'un serveur SFTP distant lors de la création d'une connexion ?
Le connecteur utilise l’empreinte de l'hôte pour valider l’identité du serveur distant. Si l'empreinte digitale fournie par le serveur distant ne correspond pas à celle téléchargée dans la configuration du connecteur, la connexion échouera et les détails de l'erreur seront journalisés dans CloudWatch. Pour en savoir plus sur la façon de charger la partie publique de la clé SSH d’un serveur distant à des fins d’identification, consultez la documentation sur les connecteurs SFTP ici.
Puis-je configurer mes compartiments Amazon S3 et mes connecteurs SFTP dans des comptes AWS distincts ?
Oui. Vous pouvez provisionner vos compartiments Amazon S3 et les ressources de votre connecteur SFTP dans différents comptes AWS.
Puis-je sélectionner les algorithmes cryptographiques qui peuvent être utilisés avec mes connecteurs SFTP pour me connecter à des serveurs SFTP distants ?
Oui. Selon vos exigences en matière de sécurité et de compatibilité, vous pouvez sélectionner l’une de nos politiques de sécurité gérées par service disponibles afin de contrôler les algorithmes cryptographiques qui seront publiés par votre connecteur SFTP. Lorsque votre connecteur tente de se connecter au serveur distant, seuls les algorithmes spécifiés dans la politique attachée à votre connecteur seront utilisés pour la connexion. Consultez la documentation sur les politiques de sécurité prédéfinies.
Puis-je créer un connecteur SFTP dans un compte AWS et l’utiliser pour transférer des fichiers depuis un compte AWS différent ?
Oui. Vous pouvez créer un connecteur SFTP dans un compte AWS et l’utiliser pour transférer des fichiers depuis un autre compte en fournissant les autorisations d’accès appropriées dans le rôle IAM associé à votre connecteur.
Comment puis-je vérifier la connectivité au serveur distant sans transférer de fichiers ?
Vous pouvez tester la connectivité au serveur distant à l’aide de la console de gestion AWS ou de la commande TestConnection de l’API, de la CLI ou du CDK. Nous vous recommandons de tester la connectivité au serveur distant dès que vous créez votre connecteur pour vous assurer qu'il est correctement configuré. Assurez-vous que les adresses IP statiques associées à vos connecteurs sont autorisées par le serveur distant si nécessaire. Pour en savoir plus, consultez la documentation relative aux connecteurs SFTP.
Quelles sont les opérations de transfert de fichiers prises en charge par les connecteurs SFTP ?
Les connecteurs SFTP peuvent être utilisés pour envoyer des fichiers depuis Amazon S3 vers un serveur SFTP distant, récupérer des fichiers depuis un serveur SFTP distant vers Amazon S3 et répertorier les fichiers stockés dans un répertoire sur un serveur SFTP distant. Pour en savoir plus sur l’utilisation des connecteurs SFTP, consultez la documentation sur les connecteurs SFTP.
Comment récupérer des fichiers à partir de serveurs SFTP distants lorsque les noms de fichiers ne sont pas connus à l’avance ?
Vous pouvez répertorier les fichiers stockés dans un répertoire sur des serveurs SFTP distants en utilisant l’opération API StartDirectoryListing des connecteurs SFTP. Vous pourrez ensuite récupérer les fichiers cibles depuis le serveur distant en transmettant les noms de fichiers de la liste lorsque vous utilisez l’opération API StartFileTransfer pour transférer des fichiers. Pour plus d’informations, consultez l’exemple de solution permettant de synchroniser de nouveaux fichiers à partir de serveurs SFTP distants, ou participez à l’atelier sur les flux de travail MFT que vous pouvez suivre à votre rythme.
Comment puis-je utiliser des caractères génériques pour spécifier les modèles de noms de fichiers à copier à l’aide de connecteurs SFTP ?
Vous pouvez dresser la liste de tous les fichiers d’un répertoire sur un serveur SFTP distant à l’aide de connecteurs SFTP, et créer une logique personnalisée pour filtrer la liste des fichiers en fonction de vos critères génériques pour les modèles de noms de fichiers. Vous pouvez ensuite utiliser l’opération d’API StartFileTransfer pour transférer ces fichiers à l’aide de connecteurs SFTP.
Comment puis-je suivre l'état de mes transferts de fichiers ?
Vous pouvez surveiller l’état actuel de vos opérations de transfert de fichiers à l’aide de la commande d’API ListFileTransferResults. En outre, afin de vous aider à gérer la lignée des données, les connecteurs SFTP émettent des journaux détaillés dans Amazon CloudWatch incluant notamment l’état de vos transferts de fichiers, le type d’opération (envoi ou récupération), l’horodatage, le chemin de fichier et, le cas échéant, la description des erreurs.
Puis-je planifier mes transferts de fichiers à l'aide de connecteurs SFTP ?
Oui. Vous pouvez planifier des transferts de fichiers à l'aide du planificateur Amazon EventBridge. Créez un calendrier qui répond aux besoins de votre entreprise à l’aide du planificateur d’EventBridge et spécifiez l’API StartFileTransfer ou l’API StartDirectoryListing d’AWS Transfer Family comme cible universelle de votre calendrier.
Puis-je invoquer des transferts de fichiers à l'aide de connecteurs SFTP depuis ma machine d'état dans AWS Step Function ?
Oui. AWS Step Functions s'intègre à divers services AWS, notamment AWS Transfer Family, ce qui vous permet d'invoquer l'action StartFileTransfer du connecteur SFTP directement à partir de votre machine d'état. Une fois que vous avez créé votre connecteur SFTP avec AWS Transfer Family, tirez parti des intégrations du SDK AWS de Step Functions pour appeler l'API StartFileTransfer. Pour en savoir plus sur l’orchestration de vos flux de travail de transfert et de traitement de fichiers à l’aide d’AWS Step Functions et de connecteurs SFTP, participez à l’atelier sur les flux de travail MFT orientés événements que vous pouvez suivre à votre rythme.
Puis-je orchestrer le traitement piloté par événement de mes fichiers transférés à l’aide de connecteurs SFTP ?
Oui. Chaque opération de transfert de fichiers utilisant des connecteurs SFTP publie une notification d’événement dans votre bus d’événements par défaut dans Amazon EventBridge. Vous pouvez vous abonner aux événements du connecteur SFTP et les utiliser pour orchestrer le traitement piloté par événement de vos fichiers transférés à l’aide d’Amazon EventBridge ou de tout autre service d’orchestration de flux de travail de votre choix qui s’intègre à ces événements.
Puis-je utiliser une adresse IP statique pour mon connecteur SFTP afin que mon partenaire commercial puisse autoriser la liste de l'adresse IP du connecteur dans son pare-feu ?
Oui. Les adresses IP statiques sont associées à vos connecteurs par défaut et peuvent être utilisées pour autoriser les connexions sur le pare-feu de votre partenaire commercial. Vous pouvez identifier les adresses IP statiques associées aux connecteurs de votre compte en accédant à la page des détails du connecteur dans la console AWS Transfer Family, ou en utilisant la commande DescribeConnector API/CLI/CDK.
Les adresses IP statiques sont-elles identiques pour tous les connecteurs SFTP de mon compte ?
Oui. Tous les connecteurs SFTP d’une région de compte AWS partageront un ensemble d’adresses IP statiques. Le partage d’adresses IP entre des connecteurs d’un type donné réduit la quantité de documentation relative à la liste d’autorisation ainsi que les communications d’intégration nécessaires avec vos partenaires externes.
Puis-je utiliser des connecteurs SFTP pour me connecter à des serveurs au sein d'un réseau privé ?
Non. Actuellement, les connecteurs SFTP ne peuvent être utilisés que pour se connecter à des serveurs qui offrent un point de terminaison accessible à Internet. Si vous devez vous connecter à des serveurs uniquement accessibles via un réseau privé, veuillez nous en informer via AWS Support ou par l'intermédiaire de l'équipe chargée de votre compte AWS.
Accès multiprotocole
Ouvrir toutPuis-je activer plusieurs protocoles sur le même point de terminaison de serveur ?
Oui. Lors de la configuration, vous pouvez sélectionner le ou les protocoles de votre choix pour permettre aux clients de se connecter à votre point de terminaison. Le nom d'hôte du serveur, l'adresse IP et le fournisseur d'identité sont partagés entre les protocoles sélectionnés. De même, vous pouvez activer la prise en charge de protocoles supplémentaires pour les points de terminaison AWS Transfer Family existants, à condition que la configuration du point de terminaison réponde aux conditions de tous les protocoles que vous avez l’intention d’utiliser.
Quand dois-je créer des points de terminaison de serveur distincts pour chaque protocole ou activer le même point de terminaison pour plusieurs protocoles ?
Lorsque vous devez utiliser FTP (uniquement pris en charge pour l'accès dans un VPC) et que vous devez également prendre en charge Internet pour SFTP, AS2 ou FTPS, vous avez besoin d'un point de terminaison de serveur distinct pour FTP. Vous pouvez utiliser le même point de terminaison pour plusieurs protocoles lorsque vous souhaitez utiliser le même nom d’hôte et la même adresse IP de point de terminaison pour les clients qui se connectent par le biais de plusieurs protocoles. De plus, si vous souhaitez partager les mêmes informations d'identification pour SFTP et FTPS, vous pouvez configurer et utiliser un fournisseur d'identité unique pour l'authentification des clients qui se connectent sur l'un ou l'autre protocole.
Puis-je configurer le même utilisateur final pour accéder au point de terminaison sur plusieurs protocoles ?
Oui. Vous pouvez fournir au même utilisateur l'accès sur plusieurs protocoles, à condition que les informations d'identification propres au protocole aient été configurées au sein de votre fournisseur d'identité. Si vous avez activé FTP, nous vous recommandons de maintenir des informations d'identification distinctes pour FTP. Veuillez consulter la documentation relative à la configuration d'informations d'identification distinctes pour FTP.
Pourquoi devrais-je maintenir des informations d'identification distinctes pour les utilisateurs FTP ?
Contrairement à SFTP et FTPS, FTP transmet les informations d'identification en texte en clair. Nous vous recommandons d'isoler les informations d'identification FTP de celles relatives à SFTP et FTPS, car en cas de partage ou d'exposition accidentels des informations d'identification FTP, vos charges de travail utilisant SFTP ou FTPS restent protégées.
Mes utilisateurs peuvent-ils accéder au point de terminaison SFTP d'AWS Transfer Family à l'aide d'un navigateur ?
Oui. Vous pouvez déployer cette solution open source qui vous permet de fournir une interface basée sur un navigateur à l'aide de vos points de terminaison SFTP d'AWS Transfer Family.
Options de fournisseur d'identité pour les points de terminaison des serveurs
Ouvrir toutQuelles options de fournisseur d'identité sont prises en charge par le service ?
Le service prend en charge trois options de fournisseur d'identité, à savoir l'option gérée par le service, dans laquelle vous stockez les identités des utilisateurs au sein du service, Microsoft Active Directory et les fournisseurs d'identité personnalisés, qui vous permettent d'intégrer un fournisseur d'identité de votre choix. L'authentification gérée par le service prend uniquement en charge les points de terminaison de serveur qui sont activés pour SFTP.
Comment puis-je authentifier mes utilisateurs à l'aide de l'authentification gérée par le service ?
Vous pouvez utiliser l'authentification gérée par le service pour authentifier vos utilisateurs SFTP à l'aide des clés SSH.
Combien de clés SSH puis-je charger par utilisateur SFTP ? Quelles sont les types de clés pris en charge ?
Vous pouvez charger jusqu'à 10 clés SSH par utilisateur. Les clés RSA, ED25519 et ECDSA sont pris en charge.
La rotation des clés SSH est-elle prise en charge pour l'authentification gérée par le service ?
Oui. Consultez la documentation pour savoir comment configurer la rotation des clés pour vos utilisateurs SFTP.
Comment commencer à utiliser Microsoft AD ?
Lorsque vous créez votre serveur, vous sélectionnez un répertoire dans AWS Managed Microsoft AD, votre environnement sur site, ou AD autogéré dans Amazon EC2 en tant que fournisseur d'identité. Vous devrez ensuite spécifier les groupes AD que vous souhaitez autoriser à accéder à l'aide d'un identifiant de sécurité (SID). Une fois que vous avez associé votre groupe AD à des informations de contrôle d'accès comme un rôle IAM, une stratégie de réduction de la portée (uniquement S3), un profile POSIX (uniquement EFS), un emplacement de répertoire de base et des mappages de répertoires logiques, les membres du groupe peuvent utiliser leurs informations d'identification AD pour s'authentifier et transférer des fichiers via les protocoles activés (SFTP, FTPS, FTP).
Comment puis-je configurer mes utilisateurs AD pour qu'ils aient un accès isolé à différentes parties de mon compartiment S3 ?
Lorsque vous configurez vos utilisateurs, vous fournissez une stratégie de réduction de la portée qui est évaluée au moment de l'exécution sur la base d'informations relatives à vos utilisateurs, telles que leur nom d'utilisateur. Vous pouvez utiliser la même stratégie de réduction de la portée pour tous vos utilisateurs afin de leur donner accès à des préfixes uniques dans votre compartiment en fonction de leur nom d'utilisateur. De plus, un nom d'utilisateur peut également être utilisé pour évaluer les mappages de répertoires logiques en fournissant un modèle standardisé sur la manière dont le contenu de votre compartiment S3 ou de vos systèmes de fichiers EFS est rendu visible à votre utilisateur. Pour plus d'informations, consultez la documentation sur l’autorisation d'accès aux groupes AD.
Puis-je utiliser Microsoft AD comme option de fournisseur d'identité pour tous les protocoles pris en charge ?
Oui. Vous pouvez utiliser Microsoft AD pour authentifier les utilisateurs concernant l'accès via SFTP, FTPS et FTP.
Puis-je révoquer l'accès de groupes AD activés ?
Oui. Vous pouvez révoquer l'accès au transfert de fichiers pour des groupes AD particuliers. Une fois révoqués, les membres des groupes AD ne pourront plus transférer de fichiers en utilisant leurs informations d'identification AD.
Pourquoi utiliser le mode d'authentification personnalisée ?
Le mode personnalisé (authentification « BYO ») vous permet de tirer parti d'un fournisseur d'identité existant pour gérer vos utilisateurs finaux pour tous les types de protocoles (SFTP, FTPS et FTP), ce qui permet une migration facile et fluide de vos utilisateurs. Les informations d'identification peuvent être stockées dans le répertoire de votre entreprise ou dans un entrepôt de données d'identités interne, et vous pouvez les intégrer à des fins d'authentification des utilisateurs finaux. Les fournisseurs d'identité incluent Okta, Microsoft AzureAD ou tout fournisseur d'identité personnalisé que vous pouvez utiliser dans le cadre d'un portail d'allocation global.
Quelles sont les options disponibles pour intégrer mon fournisseur d'identité à un serveur AWS Transfer Family ?
Pour intégrer votre fournisseur d'identité à un serveur AWS Transfer Family, vous pouvez utiliser une fonction AWS Lambda ou un point de terminaison Amazon API Gateway. Utilisez Amazon API Gateway si vous avez besoin d'une API RESTful pour vous connecter à un fournisseur d'identité, ou bien si vous souhaitez utiliser AWS WAF pour ses fonctionnalités de restriction géographique et de limitation de vitesse. Consultez la documentation pour en savoir plus sur l'intégration de fournisseurs d'identité courants tels qu'AWS Cognito, Okta et AWS Secrets Manager.
Puis-je appliquer des contrôles d'accès en fonction de l'adresse IP source du client ?
Oui. L'adresse IP source du client est transmise à votre fournisseur d'identité lorsque vous utilisez AWS Lambda ou API Gateway pour établir une connexion avec un fournisseur d'identité personnalisé. Cela vous permet d'autoriser, de refuser ou de limiter l'accès en fonction des adresses IP des clients. Ce processus permettra de garantir que vos données sont accessibles uniquement à partir d'adresses IP que vous avez spécifiées comme étant de confiance.
Puis-je demander plusieurs méthodes d'authentification lorsque les utilisateurs tentent de se connecter à mon serveur SFTP ?
Oui. Vous avez la possibilité d'appliquer plusieurs méthodes d'authentification afin de fournir une couche de sécurité supplémentaire lors de l'accès à vos données via SFTP. Votre serveur SFTP peut être configuré pour exiger à la fois un mot de passe et une clé SSH, un mot de passe ou une clé SSH, uniquement un mot de passe, ou simplement une clé SSH. Veuillez consulter la documentation pour savoir comment activer les méthodes d'authentification multiples à l'aide de votre fournisseur d'identité client.
Puis-je utiliser l'option gérée par le service pour l'authentification par mot de passe ?
Non, le stockage des mots de passe dans le service à des fins d'authentification n'est pas pris en charge pour le moment. Si vous avez besoin d'une authentification par mot de passe, utilisez Active Directory en sélectionnant un répertoire dans AWS Directory Service, ou suivez l'architecture décrite dans ce blog sur l'activation de l'authentification par mot de passe à l'aide de Secrets Manager.
Les utilisateurs anonymes sont-ils pris en charge ?
Non. Les utilisateurs anonymes ne sont actuellement pris en charge pour aucun des protocoles.
Puis-je donner accès à des utilisateurs AD particuliers ou à tous les utilisateurs d'un répertoire ?
Non, nous prenons en charge uniquement le paramétrage de l'accès par groupes AD.
Puis-je utiliser AD pour authentifier les utilisateurs en utilisant des clés SSH ?
Non, la prise en charge d’AWS Transfer Family pour Microsoft AD ne peut être utilisée que pour l'authentification par mot de passe. Pour combiner des modes d'authentification, utilisez l’option Custom Authorizer.
Partenaires commerciaux AS2
Ouvrir toutAWS Transfer Family prend-il en charge AS2 Drummond Certified ?
Oui. La prise en charge d’AWS Transfer Family pour AS2 a reçu le sceau de certification officiel du Drummond Group AS2 Cloud. Les fonctionnalités AS2 d'AWS Transfer Family ont été minutieusement contrôlées en termes de sécurité et de compatibilité d'échange de messages avec quatorze autres solutions AS2 tierces. Consultez notre annonce pour en savoir plus.
Comment puis-je identifier de manière unique mon partenaire commercial AS2 ?
Votre partenaire commercial est identifié de façon unique grâce à son identifiant AS2 (ID AS2). De la même manière, votre partenaire commercial identifie vos messages grâce à votre identifiant AS2.
Quelles sont les fonctionnalités existantes d'AWS Transfer Family disponibles pour AS2 ? Quelles sont les fonctionnalités non disponibles ?
Vous pouvez utiliser la prise en charge existante d'AWS Transfer Family pour Amazon S3, les fonctionnalités réseau (points de terminaison d'un VPC, groupes de sécurité et adresses IP Elastic) et les contrôles d'accès (AWS IAM) pour AS2, comme vous le feriez pour SFTP, FTPS et FTP. L'authentification des utilisateurs, les répertoires logiques, les bannières personnalisées et Amazon EFS en tant que back-end de stockage ne sont pas pris en charge par AS2.
Qu'est-ce que la non-répudiation et pourquoi est-elle importante ?
La non-répudiation, propre à AS2, vérifie que les messages sont échangés correctement entre deux parties. La non-répudiation dans AS2 est réalisée à l'aide de Message Disposition Notifications (MDN). Lorsqu'une notification MDN est demandée dans une transaction,elle garantit que l'expéditeur a envoyé le message, que le récepteur l'a bien reçu et que le message envoyé par l'expéditeur était le même que celui reçu par le destinataire.
Quelles sont les étapes de la transmission de messages à l'aide du protocole AS2 ?
La transmission des messages comporte deux aspects : l’un provenant de l'expéditeur et l’autre du destinataire. Une fois que l'expéditeur a déterminé le message à envoyer, celui-ci est signé (à l'aide de sa clé privée), chiffré (à l'aide du certificat du destinataire) et l'intégrité du message est calculée à l'aide d'un hachage. Ce message signé et chiffré est transmis au destinataire dans le réseau. Une fois le message reçu, il est déchiffré (à l'aide de la clé privée du destinataire), validé (à l'aide de la clé publique de l'expéditeur), puis traité et, si nécessaire, une notification Message Disposition Notifications (MDN) signée est envoyée à l'expéditeur pour accuser réception du message. Reportez-vous à la documentation sur la gestion de la transmission des messages par AS2.
Quelles sont les options disponibles pour la transmission des messages ?
La combinaison des options possibles est dictée par l'expéditeur. Ce dernier peut choisir de chiffrer les données uniquement ou de les signer uniquement (ou les deux), et de demander une notification Message Disposition Notifications (MDN). Si l'expéditeur choisit de demander une notification MDN, il peut demander qu'elle soit signée ou non. Le destinataire est tenu de respecter ces deux options.
La demande de Message Disposition Notifications (MDN) est-elle facultative ?
Oui. L'expéditeur peut choisir de demander une notification MDN, de demander une notification MDN signée ou non signée, et sélectionner les algorithmes de signature qui doivent être utilisés pour la signer.
Prenez-vous en charge les MDN synchrones (Sync) et asynchrones (Async) ? Quand dois-je utiliser ces options ?
Actuellement, nous prenons en charge les réponses MDN synchrones et asynchrones. Cela vous permet de répondre à vos partenaires commerciaux avec un MDN synchrone ou asynchrone après la réception d'un message AS2. Comme les notifications MDN synchrones sont envoyées sur le même canal de connexion que le message, elles sont beaucoup plus simples et constituent donc l'option recommandée. Si vous avez besoin de plus de temps pour traiter le message avant d'envoyer une notification MDN, les notifications MDN asynchrones sont préférables. Si vous avez besoin de demander et de recevoir des MDN asynchrones lorsque vous envoyez des messages à vos partenaires commerciaux, contactez-nous par l'intermédiaire d'AWS Support ou de votre gestionnaire de compte.
Comment puis-je suivre et rechercher les contenus et les MDN envoyés et reçus ?
AWS Transfer Family extrait les informations principales AS2 du contenu et des MDN échangées et les stocke dans des fichiers JSON dans votre compartiment Amazon S3. Vous pouvez interroger ces fichiers JSON à l'aide de S3 Select ou Amazon Athena, ou indexer les fichiers à l'aide d'Amazon OpenSearch ou Amazon DocumentDB pour l'analyse.
Puis-je archiver les notifications MDN reçues (en tant qu'expéditeur les ayant demandées) ?
Oui. Dès que vous recevez une notification MDN de votre partenaire commercial, le service la valide à l'aide de votre certificat et stocke le message dans votre compartiment Amazon S3. Vous pouvez choisir d'archiver le message en utilisant des politiques S3 Lifecycle.
Comment indiquer à AWS Transfer Family qu'un message est prêt à être distribué au point de terminaison de mon partenaire commercial ?
Une fois que vos données sont prêtes à être livrées, vous devez invoquer l'API StartFileTransfer à l'aide du connecteur AS2 qui contient les informations du serveur AS2 du destinataire. Ainsi, le service peut envoyer le message au serveur de votre partenaire commercial. Reportez-vous à la documentation sur les connecteurs pour envoyer des messages à votre partenaire commercial sur AS2.
Puis-je isoler chacun de mes partenaires commerciaux pour utiliser des emplacements différents entrants et sortants pour les messages ?
Oui. Lorsque vous configurez le profil de votre partenaire commercial, vous pouvez utiliser des dossiers différents pour chacun d'eux.
Puis-je utiliser les clés et les certificats existants de mon partenaire commercial avec mon point de terminaison AS2 AWS Transfer Family ?
Oui. Vous pouvez importer les clés et les certificats existants de votre partenaire et gérer les renouvellements et les rotations. Reportez-vous à la documentation sur l'importation des certificats.
Comment puis-je savoir quand les certificats de mon partenaire commercial expirent ?
En utilisant la console AWS Transfer Family, vous pouvez afficher un tableau de bord des certificats triés en fonction de leur date d'expiration. En outre, vous pouvez choisir de recevoir des notifications avant l'expiration des certificats, ce qui vous donne suffisamment de temps pour les renouveler et d'éviter ainsi toute interruption des opérations.
Puis-je me connecter au serveur AS2 de mon partenaire commercial à l'aide d'adresses IP statiques ?
Oui. Les adresses IP statiques sont associées à vos connecteurs par défaut et peuvent être utilisées pour autoriser les connexions sur le serveur AS2 de votre partenaire commercial. Vous pouvez identifier les adresses IP statiques associées aux connecteurs de votre compte en accédant à la page des détails du connecteur dans la console AWS Transfer Family, ou en utilisant la commande DescribeConnector API/CLI/CDK.
Puis-je me connecter à l’hôte AS2 de mon partenaire commercial qui nécessite que je m’authentifie à l’aide des informations d’identification (nom d’utilisateur et mot de passe) ?
Oui. Nous vous permettons de vous connecter au serveur AS2 de votre partenaire commercial en utilisant l’authentification de base. Reportez-vous à la documentation sur la configuration de l’authentification de base sur des connecteurs AS2.
Puis-je envoyer des messages aux serveurs AS2 de mes partenaires commerciaux en utilisant des adresses IP fixes ?
Oui. Vos connecteurs AS2 utilisent désormais des adresses IP statiques pour envoyer des messages à des serveurs AS2 distants et pour renvoyer des réponses de notification de disposition des messages (MDN, Message Disposition Notification) asynchrones. Vous pouvez identifier les adresses IP statiques associées à vos connecteurs en accédant aux pages de détails du connecteur ou du serveur dans la console de gestion AWS Transfer Family, ou en utilisant les commandes DescribeConnector ou DescribeServer de l’API, de la CLI ou du CDK.
Puis-je recevoir des messages AS2 de la part de mes partenaires commerciaux via un point de terminaison IP fixe ?
Oui. Les points de terminaison de votre serveur AS2 prennent en charge la configuration des contrôles de liste d’adresses IP autorisées en utilisant des groupes de sécurité avec des points de terminaison hébergés par VPC et connectés à Internet.
Mes réponses MDN asynchrones AS2 utiliseront-elles des adresses IP statiques ?
Oui. Vos réponses MDN asynchrones AS2 utiliseront des adresses IP statiques. Vous pouvez identifier les adresses IP statiques utilisées pour envoyer vos réponses MDN asynchrones en accédant à la page des détails du serveur dans la console de gestion AWS Transfer Family ou en utilisant la commande DescribeServer API/CLI/CDK.
Comment puis-je orchestrer le traitement des messages AS2 reçus de mes partenaires commerciaux ?
Chaque message AS2 reçu publie un événement sur votre bus d’événements par défaut dans Amazon EventBridge. Vous pouvez vous abonner à ces événements et les utiliser pour orchestrer le traitement piloté par événement des messages reçus à l’aide d’Amazon EventBridge ou de tout autre service d’orchestration de flux de travail. Par exemple, vous pouvez utiliser ces événements pour copier les messages entrants vers d’autres emplacements dans S3, analyser le contenu des messages à l’aide d’une fonction Lambda personnalisée ou baliser les messages en fonction de leur contenu afin qu’ils puissent être indexés et recherchés par des services tels qu’Amazon CloudSearch.
Puis-je transformer automatiquement le contenu EDI de mes messages AS2 entrants à l’aide d’AWS B2B Data Interchange ?
Oui. Vous pouvez transformer automatiquement le contenu EDI X12 de vos messages AS2 entrants en représentations de données courantes telles que JSON et XML à l’aide d’AWS B2B Data Interchange. Pour ce faire, créez une règle Amazon EventBridge qui correspond au modèle d’événement de l’événement AS2 Payload Receive Completed d’AWS Transfer Family et spécifiez l’API StartTransformerJob d’AWS B2B Data Interchange comme cible universelle pour la règle. En transformant le contenu EDI X12 de vos messages AS2 entrants avec AWS B2B Data Interchange, vous pouvez automatiser et accélérer l’intégration de vos données EDI dans les applications et systèmes métier en aval.
Comment puis-je automatiser l’envoi de messages AS2 à mes partenaires commerciaux ?
Vous pouvez automatiser l’envoi de messages AS2 en les planifiant avec le Planificateur Amazon EventBridge ou en les déclenchant à l’aide des règles Amazon EventBridge. Pour créer des flux de travail automatisés et planifiés dans le temps pour l’envoi de messages AS2, créez une planification qui répond aux besoins de votre entreprise à l’aide du planificateur EventBridge et spécifiez l’API StartFileTransfer d’AWS Transfer Family comme cible universelle pour votre planification. Pour créer des flux de travail automatisés et pilotés par événement pour l’envoi de messages AS2, créez une règle Amazon EventBridge qui correspond aux événements publiés sur EventBridge et spécifiez l’API StartFileTransfer d’AWS Transfer Family comme cible universelle pour votre règle.
Puis-je archiver les messages AS2 ou les réponses MDN envoyés à mon partenaire commercial ?
Oui. Chaque message AS2 et MDN envoyé publie un événement sur votre bus d’événements par défaut dans Amazon EventBridge. Vous pouvez vous abonner à ces événements et les utiliser pour supprimer ou archiver les messages AS2 et MDN envoyés avec succès à votre partenaire commercial.
Puis-je être averti lorsque les messages AS2 sortants ne sont pas envoyés ou lorsque les messages AS2 entrants ne sont pas traités ?
Oui. AWS Transfer Family publie des événements sur Amazon EventBridge pour chaque message AS2 ou MDN envoyé et reçu, avec succès ou non. Ces événements sont publiés sur votre bus d’événements par défaut dans Amazon EventBridge où ils peuvent être utilisés pour déclencher des notifications par e-mail à votre intention ou à celle de vos partenaires à l’aide de services tels qu’Amazon SNS.
Puis-je utiliser les flux de travail gérés de Transfer Family pour traiter les messages reçus de mes partenaires commerciaux via AS2 ?
Non. Actuellement, les flux de travail gérés ne sont pas pris en charge pour vos points de terminaison AS2. Nous vous recommandons d’utiliser les notifications d’événements de Transfer Family publiées sur Amazon EventBridge pour orchestrer le traitement de vos messages AS2. Pour plus de détails, consultez la section Automatisation du traitement des fichiers.
Prenez-vous en charge AS3 et AS4 ?
Non. AWS Transfer Family ne fournit pas de prise en charge pour AS3 ou AS4 pour le moment.
Automatisation du traitement des fichiers
Ouvrir toutQuelles sont les options dont je dispose pour automatiser le traitement des fichiers transférés à l’aide d’AWS Transfer Family ?
Deux options s’offrent à vous : 1) AWS Transfer Family publie des notifications d’événements de transfert de fichiers dans Amazon EventBridge pour les fichiers transférés via SFTP, AS2, FTPS et FTP, et vous pouvez utiliser ces événements pour déclencher le traitement de vos fichiers à l’aide de n’importe quel service pouvant s’intégrer aux événements EventBridge, et 2) AWS Transfer Family fournit des flux de travail gérés pour vous permettre d’exécuter plus facilement le traitement postchargement des fichiers chargés via les points de terminaison de serveur SFTP, FTPS et FTP à l’aide d’étapes de traitement de fichiers prédéfinies. Lorsque vous associez un flux de travail géré à votre point de terminaison de serveur, tous les fichiers chargés via ce point de terminaison sont traités selon les mêmes étapes de flux de travail.
Quelles sont les opérations de Transfer Family qui publient des notifications d’événements sur Amazon EventBridge ?
AWS Transfer Family publie des notifications d’événements dans Amazon EventBridge en cas de réussite ou d’échec de chaque opération de transfert de fichiers, à la fois pour les ressources du serveur et du connecteur. Pour plus d’informations sur les événements Transfer Family publiés sur Amazon EventBridge, consultez la documentation.
Pourquoi ai-je besoin de flux gérés ?
Si vous avez besoin de traiter les fichiers que vous échangez avec vos partenaires commerciaux, vous devez configurer une infrastructure pour exécuter du code personnalisé, surveiller continuellement afin de détecter les erreurs et anomalies d'exécution et garantir que toutes les modifications et transformations de données sont auditées et journalisées. Par ailleurs, vous devez tenir compte des scénarios d'erreurs, tant techniques que métier, tout en veillant à ce que les modes de sécurité soient correctement déclenchés. Si vous avez des exigences en termes de traçabilité, vous devez tracer la lignée des données au fil de leur évolution dans les différents composants de votre système. Maintenir des composants distincts d'un flux de traitement des fichiers accapare le temps dédié aux tâches différentiées auxquelles vous devriez vous consacrer dans le cadre de votre activité. Les flux gérés simplifient la gestion de plusieurs tâches, et fournissent une solution standardisée de traitement des fichiers qui peut être reproduite au sein de votre organisation. Cette solution est dotée d'un système intégré de gestion d'exceptions et d'une fonction de traçabilité des fichiers pour chaque étape, afin de vous aider à répondre à vos exigences métier et juridiques.
Que sont les flux gérés de traitement post-chargement ?
Les flux gérés d’AWS Transfer Family fournissent un cadre prédéfini qui vous permet de créer, d’exécuter et de surveiller une séquence linéaire d’étapes pour le traitement des fichiers chargés via les points de terminaison SFTP, FTPS et FTP. Grâce à cette fonctionnalité, vous pouvez gagner du temps grâce à des étapes prédéfinies pour exécuter des tâches de traitement de fichiers courantes telles que la copie, le balisage et le déchiffrement de fichiers. Vous pouvez également personnaliser le traitement des fichiers à l’aide d’une fonction Lambda pour des tâches telles que l’analyse des fichiers à la recherche de PII, de virus ou de programmes malveillants ou d’autres erreurs telles que le format ou le type de fichier incorrect, ce qui vous permet de détecter rapidement les anomalies et de répondre à vos exigences de conformité. Lorsque vous associez un flux de travail géré à votre point de terminaison de serveur, tous les fichiers chargés via ce point de terminaison sont traités selon les mêmes étapes de flux de travail.
Quels sont les avantages de l'utilisation des flux gérés ?
Les flux de travail gérés vous permettent de prétraiter facilement les données avant qu’elles ne soient consommées par vos applications en aval en exécutant une séquence linéaire de tâches de traitement des fichiers pour tous les fichiers chargés sur vos points de terminaison de serveur, telles que le déplacement des fichiers chargés vers des dossiers spécifiques à l’utilisateur, le déchiffrement des fichiers à l’aide de clés PGP, l’analyse des programmes malveillants et le balisage. Vous pouvez déployer des flux à l'aide de l'infrastructure en tant que code (IaC), ce qui vous permet de répliquer et de standardiser rapidement les tâches courantes de traitement de fichiers post-chargement qui couvrent plusieurs unités commerciales au sein de votre organisation. Vous pouvez exercer un contrôle granulaire en associant à votre point de terminaison de serveur un flux de travail de travail géré qui n’est déclenché que pour les fichiers entièrement chargés, et en associant un flux de travail géré distinct qui n’est déclenché que pour les fichiers partiellement chargés afin de traiter les chargements incomplets. Les flux de travail intègrent également une gestion des exceptions qui vous permet de réagir facilement aux résultats du traitement des fichiers en cas d’erreurs ou d’exceptions dans l’exécution du flux de travail, ce qui vous aide à respecter vos SLA techniques et métier. Chaque étape du traitement des fichiers de votre flux de travail produit également des journaux détaillés, qui peuvent être audités pour suivre le lignage des données.
Quand dois-je utiliser Amazon EventBridge pour orchestrer le traitement de mes fichiers transférés et quand dois-je utiliser les flux de travail gérés d’AWS Transfer Family ?
Les points de terminaison et connecteurs de serveur d’AWS Transfer Family publient automatiquement des notifications d’événements dans Amazon EventBridge lorsqu’une opération de transfert de fichiers est terminée, ainsi que des informations opérationnelles telles que l’emplacement du fichier, le nom d’utilisateur de l’expéditeur, l’identifiant du serveur ou du connecteur, l’état du transfert, etc. Vous pouvez utiliser ces événements lorsque vous avez besoin d’un contrôle granulaire pour définir le traitement des fichiers, par exemple en utilisant une logique conditionnelle basée sur la source du fichier, ou lorsque vous devez créer des architectures basées sur les événements pour les intégrer à d’autres services AWS, à des applications tierces et à vos propres applications. D’autre part, les flux de travail gérés d’AWS Transfer Family fournissent un cadre prédéfini pour définir une séquence linéaire d’étapes courantes de traitement des fichiers qui sont appliquées à tous les fichiers chargés via vos points de terminaison de serveur SFTP, FTPS et FTP. Vous pouvez associer un flux de travail géré à votre point de terminaison lorsque tous les fichiers chargés doivent être traités selon les mêmes étapes courantes de traitement des fichiers, sans qu’il soit nécessaire d’appliquer une logique granulaire ou conditionnelle.
Comment démarrer avec les flux gérés ?
Pour commencer, configurez votre flux pour contenir des opérations comme la copie, l'étiquetage ainsi qu'une série d'actions pouvant inclure votre propre étape personnalisée dans une séquence d'étapes adaptée à vos exigences. Ensuite, mappez le flux à un serveur, de sorte qu'à l'arrivée du fichier, les actions spécifiées dans ce flux soient évaluées et déclenchées en temps réel. Pour en savoir plus, consultez la documentation, regardez cette démo sur comment démarrer avec les flux gérés ou déployez une plateforme de transfert de fichiers native cloud en vous référant à cet article de blog.
Puis-je utiliser la même configuration de flux de travail gérés sur plusieurs serveurs ?
Oui. Le même flux de travail peut être attribué à plusieurs serveurs, de manière à ce que vous puissiez facilement gérer et standardiser les configurations.
Puis-je sélectionner le fichier à traiter avant chaque étape de flux ?
Oui. Vous pouvez configurer une étape de flux afin de traiter soit le fichier initialement chargé soit le fichier de sortie provenant de l'étape de flux précédente. Cela vous permet d'automatiser facilement le déplacement et le renommage de vos fichiers après leur chargement dans Amazon S3. Par exemple, pour déplacer un fichier vers un autre emplacement à des fins d'archivage ou de conservation, configurez deux étapes de votre flux. La première étape consiste à copier le fichier vers un emplacement Amazon S3 différent, et la seconde à supprimer le fichier initialement chargé. Lisez la documentation pour en savoir plus sur la sélection d'un emplacement de fichiers pour les étapes de flux.
Quelles actions puis-je entreprendre sur mes fichiers à l'aide de flux ?
Les actions courantes suivantes sont disponibles une fois que le serveur de transfert a reçu un fichier du client :
Déchiffrement d'un fichier à l'aide des clés PGP. Consultez cet article de blog sur le chiffrement et le déchiffrement de fichiers à l'aide de PGP.
Déplacer ou copier des données de l'emplacement d'arrivée à celui d'utilisation.
Supprimer le fichier original après archivage ou copie vers un nouvel emplacement.
Étiqueter le fichier en fonction de son contenu, de façon qu'il puisse être indexé et recherché par les services en aval (S3 uniquement)
Toute logique personnalisée de traitement de fichiers en incorporant votre propre fonction Lambda en tant qu'étape personnalisée à votre flux de travail. Par exemple, la vérification de la compatibilité du type de fichier, l'analyse des fichiers pour détecter les logiciels malveillants, la détection des données d’identification personnelle (PII) et l'extraction des métadonnées avant l'ingestion des fichiers dans votre analyse de données.
Puis-je utiliser des flux pour déchiffrer automatiquement des fichiers à l'aide de PGP ?
Oui. Vous pouvez utiliser une étape de flux de travail prédéfinie et entièrement gérée pour le déchiffrement PGP des fichiers chargés via vos points de terminaison de serveurs SFTP, FTPS et FTP. Pour en savoir plus, consultez la documentation sur les flux de travail gérés et cet article de blog sur le chiffrement et le déchiffrement de fichiers à l’aide de PGP.
Quelles sont les options dont je dispose pour sélectionner le fichier à traiter à chaque étape du flux de travail géré ?
Vous pouvez configurer une étape du flux de travail pour traiter soit le fichier initialement chargé sur votre point de terminaison de serveur, soit le fichier de sortie de l’étape précédente du flux de travail. Cela vous permet d'automatiser facilement le déplacement et le renommage de vos fichiers après leur chargement dans Amazon S3. Par exemple, pour déplacer un fichier vers un autre emplacement à des fins d'archivage ou de conservation, configurez deux étapes de votre flux. La première étape consiste à copier le fichier vers un emplacement Amazon S3 différent, et la seconde à supprimer le fichier initialement chargé. Lisez la documentation pour en savoir plus sur la sélection d’un emplacement de fichiers pour les étapes de flux de travail.
Puis-je préserver le fichier initialement chargé, à des fins de conservation d'enregistrements ?
Oui. Avec les flux de travail gérés, vous pouvez créer plusieurs copies du fichier d’origine tout en préservant ce dernier à des fins de conservation d’enregistrements.
Puis-je utiliser des flux gérés pour acheminer dynamiquement des fichiers vers des dossiers Amazon S3 spécifiques à l’utilisateur ?
Oui. Vous pouvez utiliser le nom d'utilisateur comme une variable dans les étapes de copie de flux, ce qui vous permet d'acheminer dynamiquement les fichiers vers des dossiers spécifiques à l'utilisateur dans Amazon S3. Cette démarche élimine la nécessité de coder en dur l'emplacement de destination du dossier lors de la copie de fichiers, et automatise la création de dossiers spécifiques à l'utilisateur dans Amazon S3, vous permettant ainsi de mettre à l'échelle vos flux d'automatisation du traitement de fichiers. Consultez la documentation pour en savoir plus.
J'utilise AWS Step Functions pour orchestrer les étapes de traitement de fichiers. En quoi les flux gérés d'AWS Transfer Family diffèrent-ils de la configuration actuelle de mes AWS Step Functions ?
AWS Step Functions est un service d'orchestration sans serveur qui vous permet de combiner AWS Lambda à d'autres services afin de définir l'exécution des applications métier en étapes simples. Pour exécuter des étapes de traitement de fichiers à l'aide d'AWS Step Functions, vous devez utiliser les fonctions AWS Lambda avec les déclencheurs d'événements Amazon S3 afin d'assembler vos propres flux de travail. Les flux de travail gérés fournissent un cadre qui permet d'orchestrer facilement une séquence linéaire de traitement et qui se distingue des solutions existantes à plusieurs titres : 1) vous pouvez définir de manière précise des flux de travail à exécuter uniquement sur des chargements de fichiers complets, ainsi que des flux de travail à exécuter uniquement sur des chargements de fichiers partiels ; 2) les flux de travail peuvent être déclenchés automatiquement pour S3 et EFS (ce qui ne génère pas d'événements post-chargement) ; 3) les flux de travail offrent des options intégrées et sans code pour le traitement courant des fichiers comme le déchiffrement PGP, et 4) les clients peuvent obtenir une visibilité de bout en bout sur leurs transferts de fichiers et traitements dans CloudWatch Logs.
Comment puis-je surveiller l’activité des flux de travail gérés ?
Veuillez consulter la section Surveillance pour obtenir plus de détails sur les fonctionnalités prises en charge pour la journalisation de l’activité de vos flux de travail gérés.
Puis-je utiliser les flux pour personnaliser les notifications de livraison de fichiers ?
Oui. Veuillez consulter cet article de blog sur l’utilisation des flux de travail gérés pour les notifications de livraison de fichiers.
Les flux de travail gérés peuvent-ils être déclenchés sur des chargements partiels ?
Oui. Vous pouvez définir des flux de travail distincts à déclencher lors des chargements complets de fichiers et des chargements partiels de fichiers.
Puis-je déclencher des actions de flux sur les téléchargements des utilisateurs ?
Non. Le traitement peut être invoqué uniquement à l'arrivée du fichier, à l'aide du point de terminaison entrant.
Quelles actions Transfer Family ne sont pas prises en charge par les flux de travail gérés ?
Actuellement, les flux de travail gérés ne peuvent être déclenchés que pour les fichiers chargés via vos points de terminaison de serveurs SFTP, FTPS et FTP et ne peuvent traiter qu’un seul fichier par exécution. Les flux de travail gérés ne sont pas pris en charge pour les messages échangés via AS2, pour les téléchargements de fichiers via vos points de terminaison de serveur et pour les fichiers transférés via des connecteurs SFTP.
Puis-je déclencher le même flux sur des lots de fichiers dans une session ?
Non. Pour le moment, les flux traitent un fichier par exécution.
Puis-je déclencher des flux de travail gérés de manière granulaire en fonction des utilisateurs qui ont téléchargé un fichier ?
Non. Les flux de travail gérés ne peuvent pas être invoqués de manière granulaire, par utilisateur. Vous pouvez définir une logique de traitement conditionnel des fichiers en fonction de l’utilisateur qui a chargé le fichier à l’aide des notifications d’événements de transfert de fichiers publiées sur Amazon EventBridge.
Puis-je utiliser des flux de travail gérés pour mes applications Web Transfer Family ?
Non. Les flux de travail gérés ne sont pas pris en charge pour les applications Web. Nous vous recommandons d’utiliser les notifications d’événements S3 pour lancer vos flux de travail automatisés de traitement post-téléchargement.
Accès à Amazon S3
Ouvrir toutComment les serveurs AWS Transfer Family communiquent-ils avec Amazon S3 ?
Le transfert de données entre les serveurs AWS Transfer Family et Amazon S3 s'effectue sur les réseaux internes d'AWS et ne passe pas par l'Internet public. De ce fait, vous n'avez pas besoin d'utiliser AWS PrivateLink pour les données transférées du serveur AWS Transfer Family vers Amazon S3. Le service Transfer Family n'a pas besoin des points de terminaison AWS PrivateLink pour Amazon S3 afin d'empêcher le trafic de passer par l'Internet, et ne peut donc pas les utiliser pour communiquer avec les services de stockage. Tous ces points supposent que le service de stockage AWS et le serveur Transfer Family se trouvent dans la même région.
Pourquoi dois-je fournir un rôle AWS IAM et comment est-il utilisé ?
AWS IAM est utilisé pour déterminer le niveau d'accès que vous souhaitez fournir à vos utilisateurs. Cela inclut les opérations que vous souhaitez activer sur leur client et les compartiments Amazon S3 auxquels ils ont accès, qu'il s'agisse de la totalité ou d'une partie du compartiment.
Pourquoi dois-je fournir les informations du répertoire personnel à mes utilisateurs SFTP/FTPS/FTP et comment sont-elles utilisées ?
Le répertoire de base que vous avez configuré pour votre utilisateur détermine son répertoire de connexion. Il s'agit du chemin de répertoire que le client de votre utilisateur utilisera dès qu'il aura été authentifié avec succès dans le serveur. Vous devez vous assurer que le rôle IAM fourni donne à l'utilisateur l'accès au répertoire de base.
J'ai des centaines d'utilisateurs qui ont des paramètres d'accès similaires, mais à différentes parties de mon compartiment. Puis-je les configurer en utilisant le même rôle et la même stratégie IAM pour activer leur accès ?
Oui. Vous pouvez assigner un rôle IAM unique pour tous vos utilisateurs et utiliser des mappages logiques de répertoire qui spécifient les chemins absolus de compartiment Amazon S3 que vous souhaitez rendre visibles pour vos utilisateurs finaux et comment vous souhaitez que ces chemins leur soient présentés par leurs clients. Consultez l'article de blog sur la simplification de la structure AWS SFTP/FTPS/FTP avec les répertoires Chroot et logique.
Comment les fichiers stockés dans mon compartiment Amazon S3 sont-ils transférés avec AWS Transfer ?
Les fichiers transférés via les protocoles pris en charge sont stockés en tant qu'objets dans votre compartiment Amazon S3. Un mappage un à un entre les fichiers et les objets permet un accès natif à ces objets à l'aide des services AWS pour le traitement ou l'analyse.
Comment les objets Amazon S3 stockés dans mon compartiment sont-ils présentés à mes utilisateurs ?
Une fois l'authentification réussie, le service présente les objets et les dossiers Amazon S3 sous forme de fichiers et de répertoires aux applications de transfert de vos utilisateurs, en fonction des informations d'identification de vos utilisateurs.
Quelles opérations sur les fichiers sont prises en charge pour mes utilisateurs SFTP/FTPS/FTP ? Quelles opérations ne sont pas prises en charge ?
Les commandes courantes permettant de créer, lire, mettre à jour et supprimer des fichiers et des répertoires sont prises en charge. Les fichiers sont stockés en tant qu'objets individuels dans votre compartiment Amazon S3. Les répertoires sont gérés sous la forme d’objets de dossier dans S3, en utilisant la même syntaxe que la console S3.
Les opérations de changement de nom de répertoire, les opérations d'ajout, la modification des droits de propriété, des autorisations et des horodatages, ainsi que l'utilisation de liens symboliques et en dur ne sont pas prises en charge pour le moment.
Puis-je contrôler les opérations que mes utilisateurs sont autorisés à effectuer ?
Oui. Vous pouvez activer et désactiver les opérations de fichiers à l'aide du rôle AWS IAM que vous avez mappé à leur nom d'utilisateur. Consultez la documentation sur la création de politiques et de rôles IAM pour contrôler l'accès de vos utilisateurs finaux
Puis-je fournir à mes utilisateurs finaux l'accès à plus d'un compartiment Amazon S3 ?
Oui. Les compartiments auxquels votre utilisateur peut accéder sont déterminés par le rôle IAM AWS et les conditions générales à portée descendante en option que vous lui attribuez. Vous ne pouvez utiliser qu'un seul compartiment comme répertoire de base pour l'utilisateur.
Puis-je utiliser des points d'accès S3 avec AWS Transfer Family pour simplifier l'accès des utilisateurs au jeu de données partagé ?
Oui. Vous pouvez utiliser des alias de points d'accès S3 avec AWS Transfer Family afin de fournir un accès granulaire à un grand ensemble de données sans avoir à gérer la moindre politique de compartiment. Les alias de points d'accès S3 combinés aux répertoires logiques d'AWS Transfer Family vous permettent de créer un contrôle d'accès précis pour différents services, applications et équipes, tout en réduisant les frais généraux de gestion des stratégies de compartiment. Pour en savoir plus et démarrer, consultez l'article de blog sur l'amélioration du contrôle d'accès aux données avec AWS Transfer Family et les points d'accès Amazon S3.
Puis-je créer un serveur à l'aide du compte AWS A et mapper mes utilisateurs sur des compartiments Amazon S3 appartenant au compte AWS B ?
Oui. Vous pouvez utiliser l'interface de ligne de commande et l'API pour configurer l'accès croisé aux comptes entre votre serveur et les compartiments que vous voulez utiliser pour stocker les fichiers transférés via les protocoles pris en charge. Le menu déroulant Console n'affichera que les compartiments du compte A. De plus, vous devrez vérifier que le rôle attribué à l'utilisateur appartient bien au compte A.
Puis-je automatiser le traitement d'un fichier une fois qu'il a été chargé vers Amazon S3 ?
Oui. AWS Transfer Family publie des notifications d’événements dans Amazon EventBridge à la fin d’une opération de transfert de fichiers, et vous pouvez utiliser ces événements pour automatiser le traitement post-téléversement de vos fichiers. Sinon, lorsque tous vos fichiers chargés doivent être traités selon les mêmes étapes de traitement des fichiers sans aucune logique conditionnelle, vous pouvez utiliser les flux de travail gérés d’AWS Transfer Family pour définir une séquence linéaire d’étapes courantes de traitement de fichiers qui sont automatiquement invoquées pour chaque fichier que vos utilisateurs chargent via vos points de terminaison de serveur SFTP, FTPS ou FTP. Pour les applications Web Transfer Family, vous pouvez utiliser les notifications d’événements S3 pour automatiser le traitement après le téléchargement.
Puis-je personnaliser des règles pour le traitement en fonction de l'utilisateur qui charge le fichier ?
Oui. Lorsque votre utilisateur télécharge un fichier, le nom d'utilisateur et l'identifiant de serveur du serveur utilisé pour le téléchargement est stocké comme partie intégrante des métadonnées de l'objet S3 associé. Reportez-vous à la documentation sur les informations que vous utilisez pour le traitement postchargement. Les informations relatives à l’utilisateur final sont également disponibles dans la notification d’événement de chargement automatique de fichiers publiée par AWS Transfer Family sur Amazon EventBridge. Vous pouvez utiliser ces informations pour orchestrer le traitement granulaire après le chargement de vos fichiers en fonction de l’utilisateur.
En quoi les notifications d’événements Amazon S3 diffèrent-elles des événements du service AWS Transfer Family dans Amazon EventBridge et que dois-je utiliser pour déclencher le traitement des fichiers après le chargement ?
Amazon S3 peut publier des notifications d’événements pour tout nouvel objet créé dans votre compartiment. D’autre part, AWS Transfer Family publie des notifications d’événements en cas de réussite ou d’échec de chaque opération de transfert de fichiers. Elle se distingue des notifications d’événements Amazon S3 de la manière suivante : 1) vous pouvez avoir un contrôle précis sur la définition du traitement postchargement pour les chargements complets de fichiers par rapport aux chargements partiels de fichiers lorsque vous utilisez les notifications d’événements de Transfer Family, 2) les événements Transfer Family sont publiés pour les chargements de fichiers à la fois dans S3 et EFS, et 3) les événements générés par Transfer Family contiennent des informations opérationnelles telles que le nom d’utilisateur de l’expéditeur, l’identifiant du serveur, l’état du transfert, etc., et vous permettent de définir le traitement des fichiers de manière granulaire, en fonction d’une logique conditionnelle sur ces attributs.
Mes utilisateurs finaux mettent actuellement plusieurs minutes avant de pouvoir consulter leurs répertoires S3. Y a-t-il un moyen d'accélérer cela ?
Oui. Vous pouvez optimiser votre référencement dans le répertoire S3 afin de permettre à vos utilisateurs finaux de bénéficier d'un référencement rapide de leur répertoire - passant de quelques minutes à quelques secondes. Si vous créez un nouveau serveur via la console après le 17/11/2023, la liste optimisée des répertoires S3 sera activée par défaut si vous utilisez Amazon S3 comme espace de stockage. Cela peut être activé ou désactivé à tout moment. La désactivation de cette fonctionnalité rétablit les performances par défaut de votre liste de répertoires S3. Si vous utilisez CloudFormation, CLI ou API pour créer un serveur, la liste optimisée des répertoires S3 est désactivée par défaut, mais peut être activée à tout moment. Reportez-vous à la section documentation pour savoir comment activer la liste optimisée des répertoires S3.
Ai-je également besoin de stratégies de session individuelles en plus des répertoires logiques pour garantir à mes utilisateurs finaux un accès sécurisé aux fichiers ?
Bien que tout dépende de votre utilisation des stratégies de session et d'autres exigences internes, vous n'avez généralement pas besoin d'utiliser à la fois des stratégies de session et des répertoires logiques pour vous assurer que vos utilisateurs n'accèdent qu'aux fichiers auxquels vous voulez qu'ils accèdent. Les mappages de répertoires logiques permettent uniquement aux utilisateurs d'accéder aux chemins logiques et aux sous-répertoires qu'ils ont désignés, et interdisent les chemins relatifs qui traversent les racines logiques. Nous validons chaque chemin à l'aide d'une notation relative qui peut inclure des éléments relatifs et nous bloquons activement la résolution de ces chemins avant de les transmettre à S3 afin d'empêcher vos utilisateurs de dépasser leurs mappages logiques.
Accès à Amazon EFS
Ouvrir toutComment puis-je configurer mon système de fichiers EFS afin qu'il fonctionne avec AWS Transfer Family ?
Avant de configurer AWS Transfer Family pour un fonctionnement avec le système de fichiers Amazon EFS, vous devrez configurer la propriété des fichiers et des dossiers à l'aide des mêmes identités POSIX (identifiant utilisateur/identifiant de groupe) que vous prévoyez d'attribuer à vos utilisateurs AWS Transfer Family. Par ailleurs, si vous accédez aux systèmes de fichiers à partir d'un compte différent, les politiques de ressources doivent également être configurées sur votre système de fichiers afin d'autoriser l'accès entre comptes. Reportez-vous à cet article de blog pour obtenir des instructions étape par étape sur l'utilisation d'AWS Transfer Family avec EFS.
Comment AWS Transfer Family communique-t-il avec Amazon EFS ?
Le transfert de données entre les serveurs AWS Transfer Family et Amazon EFS s'effectue sur les réseaux internes d'AWS et ne passe pas par l'Internet public. En conséquence, vous n'avez pas besoin d'utiliser AWS PrivateLink pour les données transférées du serveur AWS Transfer Family vers Amazon EFS. Le service Transfer Family n'a pas besoin des points de terminaison AWS PrivateLink pour Amazon EFS afin d'empêcher le trafic de passer par l'Internet et, ne peut donc pas les utiliser pour communiquer avec les services de stockage. Tous ces points supposent que le service de stockage AWS et le serveur Transfer Family se trouvent dans la même région.
Comment puis-je fournir un accès à mes utilisateurs pour le chargement/téléchargement vers/depuis mes systèmes de fichiers ?
Pour contrôler l'accès à un système de fichiers, Amazon EFS utilise des identifiants POSIX, composés d'un identifiant utilisateur de système d'exploitation, d'un identifiant de groupe et d'un identifiant de groupe secondaire. Lors de la configuration de votre utilisateur dans la console/CLI/API d'AWS Transfer Family, vous devrez spécifier le nom d'utilisateur, la configuration POSIX de l'utilisateur et le rôle IAM pour accéder au système de fichiers EFS. Vous devrez aussi spécifier un identifiant de système de fichiers EFS et, si vous le souhaitez, un répertoire au sein de ce système de fichiers, qui servira de répertoire d'arrivée pour l'utilisateur. Lorsque l'utilisateur AWS Transfer Family s'authentifie avec succès à l'aide de son client de transfert de fichiers, il se trouvera directement dans le répertoire de départ spécifié, ou à la racine du système de fichiers EFS spécifié. Son identifiant POSIX de système d'exploitation sera appliqué à toutes les requêtes effectuées via son client de transfert de fichiers. En tant qu'administrateur EFS, vous devrez vous assurer que les fichiers et les répertoires auxquels vous souhaitez que vos utilisateurs AWS Transfer Family accèdent sont associés à leurs identifiants POSIX correspondants dans votre système de fichiers EFS. Consultez la documentation pour en savoir plus sur la configuration de la propriété des sous-répertoires dans EFS. Il convient de noter que Transfer Family ne prend pas en charge les points d'accès si vous utilisez Amazon EFS pour le stockage.
Comment les fichiers transférés via les protocoles sont-ils stockés dans mes systèmes de fichiers Amazon EFS ?
Les fichiers transférés via les protocoles autorisés sont stockés directement dans vos systèmes de fichiers Amazon EFS et seront accessibles via une interface de système de fichiers standard ou à partir des services AWS qui peuvent accéder aux systèmes de fichiers Amazon EFS.
Quelles opérations de fichiers sont prises en charge via les protocoles lors de l'utilisation d'Amazon S3 et d'Amazon EFS ?
R : Les commandes SFTP/FTPS/FTP permettant de créer, lire, mettre à jour et supprimer des fichiers, des répertoires et des liens symboliques sont prises en charge. Reportez-vous au tableau ci-dessous pour découvrir les commandes prises en charge pour EFS et S3.
| Commande |
Amazon S3 |
Amazon EFS |
| cd |
Pris en charge |
Pris en charge |
| ls/dir |
Pris en charge |
Pris en charge |
| pwd |
Pris en charge |
Pris en charge |
| put |
Pris en charge |
Pris en charge |
| get |
Pris en charge |
Prise en charge, y compris résolution des liens symboliques et des liens matériels |
| renommage |
Prise en charge1 |
Prise en charge1 |
| chown |
Pas prise en charge |
Prise en charge2 |
| chmod |
Pas prise en charge |
Prise en charge2 |
| chgrp |
Pas prise en charge |
Prise en charge3 |
| ln -s/symlink |
Pas prise en charge |
Pris en charge |
| mkdir |
Pris en charge |
Pris en charge |
| rm/delete |
Pris en charge |
Pris en charge |
| rmdir |
Prise en charge4 |
Pris en charge |
| chmtime |
Pas prise en charge |
Pris en charge |
1. Seul le renommage de fichiers est pris en charge. Le renommage de répertoires ou le renommage de fichiers pour écraser des fichiers existants ne sont pas pris en charge.
2. Seuls les utilisateurs racine (c.-à-d. ceux dont l’uid=0) peuvent modifier la propriété et les autorisations de fichiers et de répertoires.
3. Prise en charge pour les utilisateurs racine (c.-à-d. uid=0) ou pour le propriétaire du fichier, qui peut uniquement modifier le groupe d’un fichier en choisissant un de ses groupes secondaires.
4. Prise en charge uniquement pour les dossiers non vides.
Comment puis-je contrôler les fichiers et dossiers auxquels les utilisateurs ont accès, ainsi que les opérations que ces derniers sont autorisés ou non à effectuer ?
La politique IAM que vous fournissez pour l'utilisateur AWS Transfer Family détermine s'il bénéficie d'un accès racine, en lecture seule ou en lecture et écriture à votre système de fichiers. Par ailleurs, en tant qu'administrateur de système de fichiers, vous pouvez définir la propriété des fichiers et des répertoires et y accorder l'accès au sein de votre système de fichiers à l'aide d'identifiants utilisateur et d'identifiants de groupe. Cela s'applique aux utilisateurs stockés au sein du service (gérés par le service), mais aussi à ceux stockés au sein de votre système de gestion des identités (authentification « BYO »).
Puis-je définir des restrictions afin que chacun de mes utilisateurs ait accès à des répertoires différents au sein de mon système de fichiers et n'ait accès qu'aux fichiers présents au sein de ces répertoires ?
Oui. Lorsque vous configurez des utilisateurs, vous pouvez spécifier des systèmes de fichiers et des répertoires différents pour chacun d'entre eux. Lorsque l'authentification est réussie, EFS applique un répertoire pour chaque demande de système de fichiers effectuée à l'aide des protocoles activés.
Puis-je masquer le nom du système de fichiers afin qu'il n'apparaisse pas pour l'utilisateur ?
Oui. Grâce aux mappages de répertoires logiques d'AWS Transfer Family, vous pouvez empêcher l'utilisateur final de voir les répertoires dans votre système de fichiers en mappant des chemins absolus aux noms de chemin visibles pour l'utilisateur final. Cela vous permet aussi d'effectuer un « chroot » de l'utilisateur vers le répertoire de départ que vous lui avez attribué.
Les liens symboliques sont-ils pris en charge ?
Oui. Si des liens symboliques sont présents dans les répertoires accessibles à l'utilisateur et que ce dernier essaie d'y accéder, les liens seront résolus vers les cibles correspondantes. Les liens symboliques ne sont pas pris en charge lorsque vous utilisez le mappage de répertoire logique pour configurer l'accès des utilisateurs.
Puis-je fournir un accès utilisateur SFTP/FTPS/FTP individuel à plus d'un système de fichiers ?
Oui. Lorsque vous configurez un utilisateur AWS Transfer Family, vous pouvez spécifier un ou plusieurs systèmes de fichiers dans la politique IAM que vous fournissez dans le cadre cette configuration afin de donner à l'utilisateur accès à plusieurs systèmes de fichiers.
Avec quels systèmes d'exploitation puis-je accéder à mes systèmes de fichiers EFS via AWS Transfer Family ?
Vous pouvez utiliser les clients et applications conçus pour Microsoft Windows, Linux, macOS ou tout autre système d'exploitation prenant en charge les protocoles SFTP/FTPS/FTP pour télécharger et accéder aux fichiers stockés dans vos systèmes de fichiers EFS. Configurez simplement le serveur et l'utilisateur avec les autorisations appropriées pour le système de fichiers EFS afin d'accéder au système de fichiers sur l'ensemble des systèmes d'exploitation.
Puis-je automatiser le traitement d’un fichier une fois qu’il a été chargé vers EFS ?
Vous avez deux options : 1) AWS Transfer Family publie des notifications d’événements dans Amazon EventBridge à la fin d’une opération de transfert de fichiers, et vous pouvez utiliser ces événements pour automatiser le traitement après le chargement de vos fichiers, et 2) lorsque tous vos fichiers chargés doivent être traités selon les mêmes étapes de traitement des fichiers sans aucune logique conditionnelle, vous pouvez utiliser les flux de travail gérés d’AWS Transfer Family pour définir une séquence linéaire d’étapes de traitement de fichiers communes appliquées à chaque fichier chargé via vos points de terminaison de serveurs SFTP, FTPS ou FTP.
Comment savoir quel utilisateur a chargé un fichier sur EFS ?
Pour les nouveaux fichiers, l'identifiant utilisateur POSIX associé à l'utilisateur transférant le fichier sera défini comme propriétaire du fichier dans votre système de fichiers EFS. Par ailleurs, avec Amazon CloudWatch, vous pouvez suivre les activités des utilisateurs relatives à la création, la mise à jour, la suppression et la lecture de fichiers. Consultez la documentation pour en savoir plus sur l’activation de la journalisation Amazon CloudWatch.
Puis-je utiliser AWS Transfer Family pour accéder à un système de fichiers dans un autre compte ?
Oui. Avec la CLI et l'API, vous pouvez configurer l'accès entre comptes entre vos ressources AWS Transfer Family et vos systèmes de fichiers EFS. La console AWS Transfer Family ne répertoriera que les systèmes de fichiers dans le même compte. Par ailleurs, vous devrez vous assurer que le rôle IAM attribué à l'utilisateur pour accéder au système de fichiers appartient au compte A.
Que se passe-t-il si les bonnes politiques pour l'accès entre comptes ne sont pas activées pour mon système de fichiers EFS ?
Si vous configurez un serveur AWS Transfer Family afin qu'il accède à un système de fichiers EFS pour lequel l'accès entre comptes n'est pas activé, l'accès des utilisateurs SFTP/FTP/FTPS au système de fichiers sera refusé. Si la journalisation CloudWatch est activée sur votre serveur, les erreurs d'accès entre comptes seront consignées dans CloudWatch Logs.
Puis-je utiliser AWS Transfer Family pour accéder à un système de fichiers EFS dans une autre région AWS ?
Non. AWS Transfer Family vous permet d'accéder uniquement aux systèmes de fichiers EFS situés dans la même région AWS.
Puis-je utiliser AWS Transfer Family avec toutes les classes de stockage EFS ?
Oui. Vous pouvez utiliser AWS Transfer pour écrire des fichiers vers EFS et configurer EFS Lifecycle Management pour faire migrer les fichiers qui n'ont pas été utilisés depuis un certain temps vers la classe de stockage avec accès peu fréquent.
Mes applications peuvent-elles se servir des protocoles SFTP/FTPS/FTP pour écrire et lire simultanément des données dans le même fichier ?
Oui. Amazon EFS fournit une interface de système de fichiers, une sémantique d'accès de système de fichiers (par ex. : forte cohérence des données et verrouillage des fichiers) et un stockage auquel peuvent accéder simultanément des milliers de clients NFS/SFTP/FTPS/FTP.
Mes crédits de transmission en rafales EFS sont-ils consommés lorsque j'accède à mes systèmes de fichiers à l'aide d'AWS Transfer Family ?
Oui. L'accès à vos systèmes de fichiers EFS à l'aide de vos serveurs AWS Transfer Family consomme vos crédits de transmission en rafales EFS, quel que soit le mode de débit. Consultez la documentation sur les modes de performances et de débits disponibles et découvrez des conseils utiles en matière de performances.
Sécurité et conformité
Ouvrir toutQuels protocoles utiliser pour sécuriser les données en transit sur un réseau public ?
Vous pouvez utiliser SFTP ou FTPS pour des transferts sécurisés sur les réseaux publics. Compte tenu de la sécurité sous-jacente des protocoles basés sur les algorithmes cryptographiques SSH et TLS, les données et les commandes sont transférées via un canal sécurisé et crypté.
Quelles sont les options de chiffrement de données au repos disponibles ?
Vous pouvez choisir de chiffrer les fichiers stockés dans votre compartiment à l'aide d'Amazon KMS (SSE-KMS) ou du chiffrement côté serveur d'Amazon S3 (SSE-S3). Pour le chiffrement au repos des fichiers stockés dans EFS, vous avez le choix entre une clé CMK gérée par AWS et une clé CMK gérée par le client. Consultez la documentation pour en savoir plus sur les options de chiffrement au repos des données et métadonnées de fichiers à l'aide d'Amazon EFS.
Quels sont les programmes de conformité pris en charge par AWS Transfer Family ?
AWS Transfer Family est conforme à la norme PCI-DSS, au RGPD, au FedRAMP et aux SOC 1, 2 et 3. Le service est également éligible à l'HIPAA. Apprenez-en davantage sur les services concernés par les programmes de conformité.
L'AWS Transfer Family est-elle conforme à la loi FISMA ?
Les régions AWS USA Est, USA Ouest et GovCloud (USA) sont conformes à la loi FISMA. Lorsque l'AWS Transfer Family est autorisée pour FedRAMP, elle sera conforme à la loi FISMA dans les régions concernées. L'autorisation FedRAMP pour ces deux régions pour FedRAMP Moderate et FedRAMP High démontre cette conformité. Cette conformité s’appuie sur des évaluations annuelles et la documentation des contrôles NIST SP 800-53 en vigueur dans nos plans de sécurité système. Des modèles sont disponibles sur Artifact avec notre matrice de responsabilité client (CRM) qui démontre, de manière détaillée, notre engagement à respecter ces contrôles NIST tel que l’exige FedRAMP. Artefact est disponible via la console de gestion, accessible par un compte AWS pour les régions USA Est, USA Ouest et GovCloud. Si vous avez d'autres questions sur ce sujet, veuillez consulter la console.
Comment le service assure-t-il l'intégrité des fichiers chargés ?
Tous les fichiers chargés via les services sont vérifiés en comparant le total de contrôle MD5 pré et post-chargement du fichier.
Quelles sont mes options pour chiffrer/déchiffrer les fichiers pour le transfert ?
Vous pouvez utiliser les flux de travail gérés d’AWS Transfer Family pour déchiffrer automatiquement les fichiers à l’aide de clés PGP lorsqu’ils sont chargés sur vos points de terminaison de serveur SFTP, FTPS ou FTP d’AWS Transfer Family. Pour plus d'informations, consultez la documentation sur les flux de travail gérés. Vous pouvez également vous abonner aux notifications d’événements d’AWS Transfer Family publiées sur Amazon Eventbridge pour orchestrer le traitement granulaire et piloté par événement des fichiers transférés à l’aide de votre propre logique de chiffrement/déchiffrement.
Surveillance
Ouvrir toutComment puis-je surveiller mes utilisateurs finaux et leurs activités de transfert de fichiers ?
Vous pouvez surveiller vos utilisateurs finaux et leurs activités de transfert de fichiers à l'aide de journaux au format JSON envoyés à Amazon CloudWatch. Dans CloudWatch, vous pouvez analyser et interroger vos journaux à l'aide de CloudWatch Log Insights, qui détecte automatiquement les champs au format JSON. Vous pouvez également suivre les principaux utilisateurs, le nombre total d'utilisateurs uniques et leur utilisation continue avec CloudWatch Contributor Insights. Nous fournissons également des métriques et des graphiques CloudWatch prédéfinis auxquels vous pouvez accéder dans la console de gestion AWS Transfer Family. Consultez la documentation pour en savoir plus.
Puis-je créer des métriques consolidées pour suivre les utilisateurs et l'activité de transfert de fichiers sur plusieurs serveurs ?
Oui. Vous pouvez combiner les flux de journaux provenant de plusieurs serveurs AWS Transfer Family dans un seul groupe de journaux CloudWatch. Cela vous permet de créer des statistiques et des visualisations de journaux consolidées, qui peuvent être ajoutées aux tableaux de bord CloudWatch pour suivre l'utilisation et les performances des serveurs.
Comment puis-je surveiller mes flux de travail ?
Les exécutions des flux de travail peuvent être surveillées à l’aide des métriques AWS CloudWatch, telles que le nombre total d’exécutions de flux de travail, d’exécutions ayant réussi et d’exécutions ayant échoué. Avec la console de gestion AWS, vous pouvez aussi rechercher et afficher en temps réel le statut de progression des exécutions de flux de travail en cours. Utilisez CloudWatch Logs pour obtenir une journalisation détaillée des exécutions de flux de travail.
Quel est le format des journaux d'AWS Transfer Family ?
AWS Transfer Family fournit des journaux au format JSON pour toutes les ressources (y compris les serveurs, les connecteurs et les flux de travail) et tous les protocoles, y compris SFTP, FTPS, FTP et AS2.
Comment puis-je recevoir des notifications pour les transferts de fichiers à l’aide d’AWS Transfer Family ?
Vous pouvez utiliser les flux gérés de Transfer Family pour recevoir des notifications concernant les fichiers chargés sur les points de terminaison de vos serveurs SFTP, FTPS et FTP. Reportez-vous à cet article de blog. Vous pouvez également vous abonner aux événements d’AWS Transfer Family sur Amazon EventBridge pour recevoir des notifications via Amazon Simple Notification Service (SNS).
Puis-je envoyer une notification si une vérification de validation de fichier de flux de travail échoue ?
Oui. Si une vérification de validation d’un fichier échoue par rapport aux étapes de validation de flux de travail préconfigurés, vous pouvez utiliser le gestionnaire d’exception pour invoquer votre système de surveillance ou les membres de votre équipe par le biais d’une rubrique Amazon SNS.
Facturation
Ouvrir toutComment s'effectue la facturation du service ?
Chaque protocole activé vous est facturé sur une base horaire, de l'heure de création et de configuration du point de terminaison de votre serveur jusqu'à l’heure de sa suppression. Vous êtes également facturé en fonction de la quantité de données téléchargées en amont et en aval via vos serveurs SFTP, FTPS ou FTP, du nombre de messages échangés via AS2 et de la quantité de données traitées à l'aide de l'étape du flux de travail Décryptage. Lorsque vous utilisez des connecteurs SFTP, la quantité de données transférées et le nombre d’appels de connecteur vous sont facturés. Avec les applications Web Transfer Family, vous ne payez que pour vos unités d’applications Web. Reportez-vous à la page de tarification pour plus d’informations.
Ma facture sera-t-elle différente selon que j'utilise le même point de terminaison de serveur pour plusieurs protocoles ou différents points de terminaison pour chaque protocole ?
Non, vous êtes facturé à l'heure pour chacun des protocoles que vous avez activés et pour la quantité de données transférées via chacun des protocoles, et ce indépendamment du fait que vous ayez activé le même point de terminaison pour plusieurs protocoles ou que vous utilisiez différents points de terminaison pour chacun des protocoles.
J'ai arrêté mon serveur. Est-ce que je serai facturé même s'il est arrêté ?
Oui. Arrêter le serveur, à l'aide de la console ou en exécutant la commande CLI « stop-server », ou encore la commande API « StopServer », n'a aucune incidence sur la facturation. Vous êtes facturé sur une base horaire, de l'heure de création du point de terminaison de votre serveur et de configuration de l'accès audit point sur un ou plusieurs protocoles jusqu'à l'heure de sa suppression.
Comment suis-je facturé pour l'utilisation des flux gérés ?
L'étape du flux de travail Déchiffrement vous est facturée en fonction de la quantité de données que vous décryptez à l'aide des clés PGP. Il n'y a pas d'autres frais supplémentaires pour l'utilisation des flux de travail gérés. Selon la configuration de votre flux de travail, vous êtes également facturé pour l'utilisation d'Amazon S3, Amazon EFS, AWS Secrets Manager et AWS Lambda.
L'utilisation des connecteurs SFTP est-elle facturée à un taux horaire ?
Non, il n'y a pas de facturation horaire pour les connecteurs SFTP. Pour en savoir plus sur la tarification du connecteur SFTP, consultez la page de tarification.
Suis-je facturé pour les données transférées via des applications Web ?
Non. Le transfert de données via les applications Web Transfer Family n’entraîne aucun coût supplémentaire, bien que les coûts de transfert de données S3 restent applicables. Pour plus d’informations, consultez la page de tarification
L'AWS Transfer Family fournit un service entièrement géré, réduisant vos coûts opérationnels liés à l'exécution des services de transfert de fichiers.
Commencez à créer vos services SFTP, FTPS et FTP dans AWS Management Console.