使用AWS Transfer Family和AWS Secrets Manager实现基于多因素身份验证的受管理文件传输

文章重点

由Yohan Supangat于2024年1月4日发表于Amazon Elastic File System (EFS)， Amazon Simple Storage Service (S3)， AWS CloudFormation， AWS Secrets Manager， AWS Transfer Family， Migration amp Transfer Services， Security Identity amp Compliance，以及 Storage。永久连结 评论 分享

在金融、医疗和政府等高度监管的行业中，安全地交换业务文件变得至关重要。常用的协议，如SFTP，提供了一种广泛支持的标准方法，用于安全地通过公共网络传输文件。对于某些客户，合规性要求促使他们在SFTP身份验证方面设置更高的标准。为了满足更严格的合规性要求，这些客户通常希望为其受管理文件传输MFT架构实现多因素身份验证MFA或双因素身份验证2FA机制。

最近，AWS Transfer Family推出了支持多种身份验证方法的能力。此功能使客户可以选择使用标准的公私钥交换以及密码来验证用户。虽然此新功能支持双因素身份验证2FA，但客户有时需要MFA来满足其企业治理或安全要求。AWS Transfer Family提供了一种完全受管的SFTP服务，并以Amazon S3或EFS作为其MFT架构的支撑。AWS Transfer Family可与其他AWS服务或第三方解决方案集成，以实现MFA身份验证。客户可以通过外部身份提供者IdP如Okta和Azure Active Directory找到第三方解决方案来实现MFA身份验证。对于那些可能更愿意使用更简单解决方案并便于部署的客户，本文将帮助您使用AWS本地服务快速部署MFA解决方案。

在本文中，我将手把手介绍如何使用安全文件传输协议SFTP为您的MFT工作负载实现MFA身份验证的架构。使用云原生服务部署的MFT可以降低成本并加快部署速度。您将学到如何使用基于MFA的身份验证构建由AWS Transfer Family支持的受管理SFTP，并以Amazon S3或EFS作为后端存储。此架构还使用其他AWS服务，例如AWS Lambda来处理身份验证处理逻辑，以及AWS Secrets Manager来存储用户身份验证详细信息。

解决方案概览

我们将使用Google Authenticator作为Transfer Family身份验证的MFA。Google Authenticator使用基于时间的一次性密码TOTP；在RFC 6238中指定。要从Google Authenticator生成唯一的一次性密码，您需要生成并注册一个80位秘密金钥到Google Authenticator应用中的基于时间的帐户。这个80位秘密金钥将与用户名和用户帐户的密码存储在Secrets Manager中。为了使此架构正常运行，每个用户名都需要在S3桶或EFS文件系统中拥有一个相应名称的文件夹，以为用户在AWS Transfer Family中的配置提供主目录。

下图显示了使用AWS Lambda、AWS Secrets Manager及作为存储的S3或EFS的MFA身份验证架构及过程：

身份验证步骤如下：

前提条件

json{ Version 20121017 Statement [ { Sid S31 Effect Allow Action [ s3CreateBucket s3PutBucketTagging s3DeleteBucket s3PutBucketPublicAccessBlock ] Resource } { Sid Lambda1 Effect Allow Action [ lambdaCreateFunction lambdaTagResource ] Resource Condition { StringEquals { awsRequestTag/blogSource TransferFamilyMFA } } } { Sid Lambda2 Effect Allow Action [ lambdaInvokeFunction lambdaAddPermission lambdaRemovePermission lambdaGetFunction lambdaDeleteFunction lambdaListTags lambdaPutFunctionConcurrency ] Resource Condition { StringEquals { awsResourceTag/blogSource TransferFamilyMFA } } } { Sid IAM1 Effect Allow Action [ iamCreateRole iamTagRole ] Resource Condition { StringEquals { awsRequestTag/blogSource TransferFamilyMFA } } } { Sid IAM2 Effect Allow Action [ iamAttachRolePolicy iamDeleteRole iamPutRolePolicy iamDeleteRolePolicy iamDetachRolePolicy iamGetRolePolicy iamListRoleTags iamGetRole iamListPolicyTags ] Resource Condition { StringEquals { awsResourceTag/blogSource TransferFamilyMFA } } } { Sid IAM3 Effect Allow Action [ iamPassRole ] Resource Condition { StringEquals { iamPassedToService [ lambdaamazonawscom transferamazonawscom ] } } } { Sid SecretsManager1 Effect Allow Action [ secretsmanagerCreateSecret secretsmanagerTagResource ] Resource Condition { StringEquals { awsRequestTag/blogSource TransferFamilyMFA } } } { Sid SecretsManager2 Effect Allow Action [ secretsmanagerDeleteSecret ] Resource Condition { StringEquals { awsResourceTag/blogSource TransferFamilyMFA } } } { Sid TransferFamily1 Effect Allow Action [ transferCreateServer transferTagResource ] Resource Condition { StringEquals { awsRequestTag/blogSource TransferFamilyMFA } } } { Sid TransferFamily2 Effect Allow Action [ transferDeleteServer transferDescribeServer transferListTagsForResource ] Resource Condition { StringEquals { awsResourceTag/blogSource TransferFamilyMFA } } } { Sid TransferFamily3 Effect Allow Action [ ec2CreateVpcEndpoint ec2DeleteVpcEndpoints ec2DescribeVpcEndpoints ec2DescribeVpcEndpointConnections ] Resource } ]}

解决方案设置步骤

要设置该解决方案，您需要执行以下步骤：

在您的移动设备上设置MFA

在您的AWS环境中部署解决方案

在本节中，您将使用AWS CloudFormation来部署以下资源：

注意： 此AWS CloudFormation模板已在AWS区域cacentral1和useast1中测试。在您的AWS帐户中部署此模板将产生费用。后面将包含清理已部署资源的步骤。请务必遵循这些说明，以便您不会超过测试此示例解决方案所花费的时间而产生额外费用。

要部署CloudFormation，请遵循以下步骤：