Servidor SFTP gestionado con AWS Transfer Family - Integración con S3 y gestión de usuarios
Explicamos la construcción de servidores SFTP/FTPS con Transfer Family, la integración con S3 y la configuración de autenticación personalizada.
Descripción general de Transfer Family
Transfer Family es un servicio que proporciona servidores gestionados compatibles con 4 protocolos: SFTP, FTPS, FTP y AS2. Cuando se utiliza SFTP para el intercambio de archivos con socios comerciales, se puede construir un servidor SFTP con Transfer Family y configurar S3 como destino de transferencia. Los clientes SFTP y scripts existentes pueden seguir usándose cambiando el nombre de host de conexión. También se puede seleccionar EFS (Elastic File System) como almacenamiento backend para cargas de trabajo que requieren permisos POSIX.
Autenticación y flujos de trabajo
La autenticación de usuarios puede seleccionarse entre 3 métodos: gestionada por el servicio (administrada dentro de Transfer Family), personalizada (autorizador Lambda) y AWS Directory Service. Con la autenticación personalizada, se implementa la lógica de autenticación en una función Lambda y se integra con LDAP o Active Directory existentes. La respuesta del autorizador Lambda puede determinar dinámicamente el directorio principal por usuario, el rol IAM y el prefijo del bucket S3, soportando configuraciones multi-tenant. Los flujos de trabajo gestionados son cadenas de procesamiento que se ejecutan automáticamente después de la carga de archivos, donde se pueden definir operaciones de copia de archivos, etiquetado, descifrado PGP y procesamiento Lambda personalizado.
Protocolo AS2 y automatización
El protocolo AS2 (Applicability Statement 2) se utiliza en el intercambio de archivos B2B, proporcionando cifrado de mensajes, firma y acuse de recibo (MDN). Con el conector AS2 de Transfer Family se configura el intercambio automático de archivos con socios, utilizando S3 como almacenamiento. Los flujos de trabajo gestionados ejecutan procesamiento automático (copia, etiquetado, invocación de Lambda) después de la carga de archivos, construyendo pipelines de procesamiento de archivos. CloudWatch Logs registra los logs de transferencia para auditar el estado de envío y recepción de archivos.
Mejores prácticas de diseño y errores comunes
El tipo de endpoint se decide al inicio del diseño. Los endpoints públicos no proporcionan direcciones IP fijas, lo que dificulta su manejo en las listas blancas de firewall de los socios. Los endpoints VPC permiten la asignación de IP fija mediante Elastic IP, habilitando la notificación de IP a los socios. Los endpoints internos de VPC restringen el acceso a conexiones VPN/Direct Connect y no aceptan conexiones desde internet. Los endpoints se cobran por hora mientras un protocolo está habilitado. Para casos de uso a pequeña escala con transferencias aproximadamente una vez al día, una opción es comparar los costos con URLs prefirmadas de S3 o transferencias bajo demanda de DataSync. Además, los conflictos entre las políticas del bucket S3 y los permisos del rol IAM del usuario a veces causan denegaciones de acceso inesperadas. Otorgue a los roles IAM de los usuarios solo permisos mínimos al bucket S3, y permita explícitamente el acceso desde el rol de servicio de Transfer Family en la política del bucket.
Comparación con servicios alternativos
Los métodos de transferencia de archivos que se comparan con Transfer Family incluyen URLs prefirmadas de S3, DataSync y Storage Gateway. Las URLs prefirmadas de S3 no requieren servidor siempre activo, pero requieren que los socios cambien sus clientes SFTP (migrando a transferencias basadas en URL), por lo que los scripts existentes no pueden usarse tal como están. DataSync se utiliza para la migración masiva de datos desde on-premises y ofrece control de ancho de banda y programación, pero no soporta transferencias entrantes (tipo push) de socios. Storage Gateway (File Gateway) proporciona puntos de montaje NFS/SMB on-premises pero no es adecuado para exponer a socios externos. Con Transfer Family, se puede migrar a la nube manteniendo los flujos de trabajo SFTP existentes. FTP no cifra las comunicaciones, por lo que en las nuevas implementaciones una opción es usar SFTP o FTPS.
Precios de Transfer Family
Los precios de Transfer Family se determinan por el tiempo que cada protocolo está habilitado en un endpoint del servidor y la cantidad de datos cargados y descargados, entre otros factores. Dado que el costo principal es el funcionamiento continuo del endpoint, se debe evaluar previamente la eficiencia de costos cuando la frecuencia de transferencia es baja. La tarifa de endpoint se aplica por protocolo, por lo que habilitar SFTP y FTPS en el mismo servidor genera tarifas de 2 protocolos. Los costos de almacenamiento de S3 se cobran por separado. En los flujos de trabajo gestionados, se cobra por la cantidad de datos procesados en el paso de descifrado PGP. AS2 se factura por el número de mensajes enviados y recibidos, además del tiempo que el protocolo está habilitado.
Resumen
Transfer Family es un servicio que proporciona servidores gestionados para los protocolos SFTP, FTPS, FTP y AS2, simplificando la gestión del almacenamiento de archivos mediante la integración con S3. Utiliza autorizadores Lambda con autenticación personalizada para integrarse con proveedores de identidad existentes. Los endpoints VPC proporcionan IPs fijas para satisfacer los requisitos de firewall de los socios. Los flujos de trabajo gestionados ejecutan procesamiento automático después de la carga de archivos, y los conectores AS2 automatizan el intercambio de archivos B2B. Como los endpoints se cobran por el tiempo que están habilitados, cuando la frecuencia de transferencia es baja, una opción es comparar los costos con alternativas como URLs prefirmadas de S3.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- AWS Transfer Family (página oficial)
- Amazon S3 (página oficial)
- AWS Lambda (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.