Servidor SFTP gestionado con AWS Transfer Family - Integración con S3 y gestión de usuarios
Explicamos la construcción de servidores SFTP/FTPS con Transfer Family, la integración con S3 y la configuración de autenticación personalizada.
Descripción general de Transfer Family
Transfer Family es un servicio que proporciona servidores gestionados compatibles con 4 protocolos: SFTP, FTPS, FTP y AS2, capaces de manejar hasta miles de conexiones simultáneas. Cuando se utiliza SFTP para el intercambio de archivos con socios comerciales, al construir un servidor SFTP con Transfer Family y configurar S3 como destino de transferencia, se libera de la gestión del almacenamiento de archivos. Los clientes SFTP y scripts existentes completan la migración simplemente cambiando el nombre de host de conexión. También se puede seleccionar EFS (Elastic File System) como almacenamiento backend para cargas de trabajo que requieren permisos POSIX.
Autenticación y flujos de trabajo
La autenticación de usuarios puede seleccionarse entre 3 métodos: gestionada por el servicio (administrada dentro de Transfer Family), personalizada (autorizador Lambda) y AWS Directory Service. Con la autenticación personalizada, se implementa la lógica de autenticación en una función Lambda y se integra con LDAP o Active Directory existentes. La respuesta del autorizador Lambda puede determinar dinámicamente el directorio principal por usuario, el rol IAM y el prefijo del bucket S3, soportando configuraciones multi-tenant. Los flujos de trabajo gestionados son cadenas de procesamiento que se ejecutan automáticamente después de la carga de archivos, donde se pueden definir operaciones de copia de archivos, etiquetado, descifrado PGP y procesamiento Lambda personalizado. Los pasos del flujo de trabajo pueden incluir bifurcación condicional (patrones de nombre de archivo, tamaño) para ejecutar diferentes procesamientos según el tipo de archivo.
Protocolo AS2 y automatización
El protocolo AS2 (Applicability Statement 2) se utiliza ampliamente en el intercambio de archivos B2B, proporcionando cifrado de mensajes, firma y acuse de recibo (MDN). Con el conector AS2 de Transfer Family se configura el intercambio automático de archivos con socios, utilizando S3 como almacenamiento. Los flujos de trabajo gestionados ejecutan procesamiento automático (copia, etiquetado, invocación de Lambda) después de la carga de archivos, construyendo pipelines de procesamiento de archivos. CloudWatch Logs registra los logs de transferencia para auditar el estado de envío y recepción de archivos. Para explicaciones detalladas sobre Transfer Family, también puede consultar libros relacionados en Amazon.
Mejores prácticas de diseño y errores comunes
La selección del tipo de endpoint es la primera decisión de diseño crítica. Los endpoints públicos son los más simples de configurar pero no proporcionan direcciones IP fijas, haciéndolos incompatibles con las listas blancas de firewall de los socios. Los endpoints VPC permiten la asignación de IP fija mediante Elastic IP, habilitando la notificación de IP a los socios. Los endpoints internos de VPC restringen el acceso solo a conexiones VPN/Direct Connect, bloqueando completamente el acceso por internet. Un error común es pasar por alto el costo del endpoint siempre activo (aproximadamente 216 USD/mes). Para casos de uso a pequeña escala con transferencias una vez al día, la relación costo-efectividad es deficiente y se recomienda comparar con URLs prefirmadas de S3 o transferencias bajo demanda de DataSync. Otro problema frecuente son los conflictos entre las políticas del bucket S3 y los permisos del rol IAM del usuario que causan denegaciones de acceso inesperadas. Otorgue a los roles IAM de los usuarios solo permisos mínimos al bucket S3, y permita explícitamente el acceso desde el rol de servicio de Transfer Family en la política del bucket.
Comparación con servicios alternativos
Los métodos de transferencia de archivos que se comparan con Transfer Family incluyen URLs prefirmadas de S3, DataSync y Storage Gateway. Las URLs prefirmadas de S3 no requieren servidor siempre activo y tienen el costo más bajo, pero requieren que los socios cambien sus clientes SFTP (migrando a transferencias basadas en URL), rompiendo la compatibilidad con scripts existentes. DataSync se especializa en migración masiva de datos desde on-premises con excelente control de ancho de banda y programación, pero no soporta transferencias entrantes (tipo push) de socios. Storage Gateway (File Gateway) proporciona puntos de montaje NFS/SMB on-premises pero no es adecuado para exponer a socios externos. La fortaleza de Transfer Family se resume en 'migrar a la nube sin cambiar los flujos de trabajo SFTP existentes en absoluto.' Cuando el costo político de solicitar cambios al departamento de TI del socio es alto, el costo de mantenimiento del endpoint de Transfer Family se justifica como costo de evitar fricción en la migración. FTP (sin cifrado) no cumple los requisitos de seguridad y debe evitarse en nuevas implementaciones; use SFTP o FTPS en su lugar.
Precios de Transfer Family
Los precios de Transfer Family se componen de horas de endpoint del protocolo (aproximadamente 0.30 USD por hora, aproximadamente 216 USD mensuales) y volumen de transferencia de datos (aproximadamente 0.04 USD por GB de carga, aproximadamente 0.04 USD por GB de descarga). Dado que el costo principal es el funcionamiento continuo del endpoint, se debe evaluar previamente la eficiencia de costos cuando la frecuencia de transferencia es baja. Al servir múltiples protocolos (SFTP + FTPS) en el mismo servidor, solo se aplica la tarifa de endpoint de un servidor. Los costos de almacenamiento de S3 se cobran por separado. La ejecución de pasos del flujo de trabajo gestionado incurre en cargos adicionales, así que minimice el número de pasos al procesar grandes volúmenes de archivos. Los conectores AS2 se facturan separadamente por horas de conector, requiriendo estimación de costos basada en la frecuencia de intercambio con socios.
Resumen
Transfer Family es un servicio que proporciona servidores gestionados para los protocolos SFTP, FTPS, FTP y AS2, simplificando la gestión del almacenamiento de archivos mediante la integración con S3. Utiliza autorizadores Lambda con autenticación personalizada para integrarse con proveedores de identidad existentes. Los endpoints VPC proporcionan IPs fijas para satisfacer los requisitos de firewall de los socios. Los flujos de trabajo gestionados ejecutan procesamiento automático después de la carga de archivos, y los conectores AS2 automatizan el intercambio de archivos B2B. Con costos de endpoint siempre activos de aproximadamente 216 USD/mes, es importante comparar con enfoques alternativos como URLs prefirmadas de S3 cuando la frecuencia de transferencia es baja.