Come posso risolvere un errore "Access Denied" o "Permission Denied" per le operazioni sul mio server AWS Transfer Family?

Risoluzione

Per risolvere i problemi di configurazione di Transfer Family, rivedi le autorizzazioni per il servizio AWS associato.

Autorizzazioni Amazon S3

Assicurati che il ruolo e la policy di AWS Identity and Access Management (IAM) per il tuo server Transfer Family consentano l'accesso alle tue risorse AWS. Per concedere l'accesso in lettura/scrittura a un bucket Amazon Simple Storage Service (Amazon S3), utilizza il seguente esempio di policy IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Assicurati che la policy di attendibilità dei ruoli consenta l'accesso a "transfer.amazonaws.com" e sia simile alla seguente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Per ulteriori informazioni, consulta Esempio di policy di accesso in lettura/scrittura.

Autorizzazioni di crittografia AWS KMS

Per consentire la crittografia in Transfer Family, la policy del ruolo IAM collegata all'utente deve concedere le autorizzazioni del Servizio di gestione delle chiavi AWS (AWS KMS) richieste.

Per concedere le autorizzazioni per l'utilizzo di Transfer Family con un bucket Amazon S3 abilitato per la crittografia AWS KMS, utilizza il seguente esempio:

{
    "Sid": "Stmt1544140969635",
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:GetPublicKey",
        "kms:ListKeyPolicies"
    ],
    "Effect": "Allow",
    "Resource": "arn:aws:kms:region:account-id:key/kms-key-id"
}

Per ulteriori informazioni, consulta Protezione e crittografia dei dati.

Autorizzazioni Amazon EFS

Per utilizzare Transfer Family con Amazon Elastic File System (Amazon EFS), la policy dei ruoli IAM deve concedere l'accesso al tuo file system.

Per concedere le autorizzazioni di lettura ClientMount e di scrittura ClientWrite al ruolo IAM EFS-role-for-transfer, utilizza il seguente esempio di policy IAM:

{
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-8698b356-4212-4d30-901e-ad2030b57762",
    "Statement": [
        {
            "Sid": "Grant-transfer-role-access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/EFS-role-for-transfer"
            },
            "Action": [
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ]
        }
    ]
}

Per ulteriori informazioni, consulta Utilizzo di AWS Transfer Family per trasferire dati.

Autorizzazioni multi-account

Per utilizzare Transfer Family per accedere al tuo file system con un altro account AWS, devi concedere all'account l'accesso al tuo file system.

Per ulteriori informazioni, consulta Come posso configurare il mio server AWS Transfer Family per utilizzare un bucket Amazon S3 che si trova in un altro account AWS?.