AWS Transfer Family
支持 SFTP、FTPS、FTP、AS2 协议的全托管文件传输服务，可以使用 S3 或 EFS 作为后端存储
概述
AWS Transfer Family 是一项支持 SFTP、FTPS、FTP、AS2 协议的全托管文件传输服务。它通过将后端存储替换为 S3 或 EFS，在不更改现有文件传输工作流的情况下，实现从本地部署的 FTP 服务器向云端的迁移。由于交易方和合作伙伴企业可以直接使用熟悉的协议，因此不需要在客户端进行更改。通过与自定义身份提供者集成，可以进行利用现有认证基础设施的访问控制；如果使用托管工作流功能，还能将文件接收后的后处理自动化。
协议选择与端点类型
Transfer Family 支持 SFTP、FTPS、FTP、AS2 协议以及来自浏览器的传输（Web 应用）。SFTP（SSH File Transfer Protocol）是基于 SSH 的加密通信协议。FTPS（FTP over TLS）是在传统 FTP 上增加了 TLS 加密的协议。FTP 是不加密的明文通信，根据用户指南，启用 FTP 时需要为 VPC 中托管的端点选择内部访问。AS2（Applicability Statement 2）是在 B2B 交易和 EDI（电子数据交换）等场景中使用的协议，支持消息加密以及可选的签名和接收确认（MDN）。端点类型有公共和 VPC 这 2 种。用户指南说明，在 2021 年 5 月 19 日之后，此前未使用过 VPC_ENDPOINT 的账户无法创建 EndpointType=VPC_ENDPOINT 的服务器（截至 2026 年 10 月）。同一指南建议这些账户使用 VPC（截至 2026 年 10 月）。VPC 端点将端点放置在 VPC 内，可以使用安全组控制访问，向互联网公开时还能关联 Elastic IP 地址。公共端点支持通过互联网的访问，FAQ 说明公共端点不支持固定 IP 地址，并建议为固定 IP 地址使用 VPC 中托管的端点（截至 2026 年 10 月）。
身份提供者集成与访问控制
Transfer Family 的认证从服务托管、AWS Directory Service、自定义身份提供者等方式中选择。服务托管方式是 SSH 公钥认证，为每个用户注册并管理公钥。AWS Directory Service 集成利用 Active Directory 的用户/密码认证。自定义身份提供者是使用 API Gateway + Lambda 或单独使用 Lambda 实现认证逻辑的方式。可以参照外部 LDAP 服务器、数据库、存储在 Secrets Manager 中的认证信息来进行认证判定。通过认证成功时返回的响应，可以动态控制每个用户的 IAM 角色、主目录、逻辑目录映射。逻辑目录映射是将 S3 存储桶内的特定前缀作为用户的根目录显示的功能，防止用户访问自己范围之外的文件。如果同时使用会话策略，还可以实现进一步缩小 IAM 角色权限的临时访问控制。
基于工作流的后处理自动化
Transfer Family 的托管工作流功能是以文件上传完成为触发器，自动执行一系列后处理步骤的机制。工作流中可以定义复制、解密、标记、删除文件的内置步骤，以及调用 Lambda 函数的自定义步骤。例如，可以构建这样的管道：将从交易方接收的 CSV 文件复制到 S3 的处理用存储桶，用 Lambda 函数执行验证和格式转换，再将处理完的文件移动到归档存储桶。工作流中可以定义正常流程和异常流程这 2 套流程，步骤执行中发生错误时，会分支到异常流程，进行错误通知和文件隔离。由于工作流的执行日志会输出到 CloudWatch Logs，因此可以跟踪各步骤的成败和处理时间。在内置的解密步骤中，会在工作流内解密使用 PGP 加密的文件。根据定价页面，计费项包括启用了协议的端点的时长、传输的数据量和 AS2 的消息数、工作流处理的数据量等（截至 2026 年 10 月）。PGP 解密步骤按处理的数据量计费（截至 2026 年 10 月）。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。