Wie behebe ich den Fehler „Access Denied“ (Zugriff verweigert) oder „Permission Denied“ (Berechtigung verweigert) für Vorgänge auf meinem AWS Transfer Family-Server?

Lösung

Um deine Transfer Family-Konfiguration zu beheben, überarbeite die Berechtigungen für den zugehörigen AWS-Service.

Berechtigungen für Amazon S3

Stelle sicher, dass die Rolle und Richtlinie von AWS IAM (Identity and Access Management, Identitäts- und Zugriffsverwaltung) für deinen Transfer Family-Server Zugriff auf deine AWS-Ressourcen gewährt. Verwende die folgende Beispiel-IAM-Richtlinie, um Lese-/Schreibzugriff auf einen Amazon Simple Storage Service (Amazon S3)-Bucket zu gewähren:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Vergewissere dich, dass die Vertrauensrichtlinie für Rollen den Zugriff auf „transfer.amazonaws.com“ zulässt und wie folgt aussieht:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Weitere Informationen findest du unter Beispiel für eine Lese-/Schreibzugriffsrichtlinie.

Verschlüsselungsberechtigungen für AWS KMS

Um die Verschlüsselung in Transfer Family zu ermöglichen, muss die dem Benutzer zugeordnete IAM-Rollenrichtlinie die erforderlichen AWS Key Management Service (AWS KMS)-Berechtigungen gewähren.

Verwende das folgende Beispiel, um Berechtigungen für die Verwendung von Transfer Family mit einem Amazon S3-Bucket zu erteilen, der für AWS KMS-Verschlüsselung aktiviert ist:

{
    "Sid": "Stmt1544140969635",
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:GetPublicKey",
        "kms:ListKeyPolicies"
    ],
    "Effect": "Allow",
    "Resource": "arn:aws:kms:region:account-id:key/kms-key-id"
}

Weitere Informationen findest du unter Datenschutz und Verschlüsselung.

Berechtigungen für Amazon EFS

Um Transfer Family mit Amazon Elastic File System (Amazon EFS) verwenden zu können, muss die IAM-Rollenrichtlinie Zugriff auf dein Dateisystem gewähren.

Verwende die folgende Beispiel-IAM-Richtlinie, um der IAM-Rolle EFS-role-for-transfer die Berechtigungen ClientMount-Leseaktion und ClientWrite-Schreibaktion zu gewähren:

{
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-8698b356-4212-4d30-901e-ad2030b57762",
    "Statement": [
        {
            "Sid": "Grant-transfer-role-access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/EFS-role-for-transfer"
            },
            "Action": [
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ]
        }
    ]
}

Weitere Informationen findest du unter Verwenden der AWS Transfer Family zur Datenübertragung.

Kontoübergreifende Berechtigungen

Um Transfer Family für den Zugriff auf dein Dateisystem mit einem anderen AWS-Konto zu verwenden, musst du dem Konto Zugriff auf dein Dateisystem gewähren.

Weitere Informationen findest du unter Wie konfiguriere ich meinen AWS Transfer Family-Server für die Verwendung eines Amazon-S3-Buckets, der sich in einem anderen AWS-Konto befindet?.