Comment puis-je résoudre une erreur « Access Denied » ou « Permission Denied » pour les opérations sur mon serveur AWS Transfer Family ?

Résolution

Pour résoudre les problèmes de configuration de Transfer Family, révisez les autorisations pour le service AWS associé.

Autorisations Amazon S3

Assurez-vous que le rôle et la politique AWS Identity and Access Management (IAM) de votre serveur Transfer Family autorisent l'accès à vos ressources AWS. Pour accorder l'accès en lecture/écriture à un compartiment Amazon Simple Storage Service (Amazon S3), utilisez l'exemple de politique IAM suivant :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Assurez-vous que la politique d’approbation des rôles autorise l'accès à « transfer.amazonaws.com » et se présente comme suit :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Pour plus d'informations, consultez la section Exemple de politique d'accès en lecture/écriture.

Autorisations de chiffrement AWS KMS

Pour autoriser le chiffrement dans Transfer Family, la politique de rôle IAM associée à l'utilisateur doit accorder les autorisations AWS Key Management Service (AWS KMS) requises.

Pour accorder l'autorisation d'utiliser Transfer Family avec un compartiment Amazon S3 activé pour le chiffrement AWS KMS, utilisez l'exemple suivant :

{
    "Sid": "Stmt1544140969635",
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey",
        "kms:GetPublicKey",
        "kms:ListKeyPolicies"
    ],
    "Effect": "Allow",
    "Resource": "arn:aws:kms:region:account-id:key/kms-key-id"
}

Pour plus d'informations, consultez la section Protection et chiffrement des données.

Autorisations Amazon EFS

Pour utiliser Transfer Family avec Amazon Elastic File System (Amazon EFS), la politique de rôle IAM doit autoriser l'accès à votre système de fichiers.

Pour accorder les autorisations d'action de lecture ClientMount et d'action d'écriture ClientWrite au rôle IAM EFS-role-for-transfer, utilisez l'exemple de politique IAM suivant :

{
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-8698b356-4212-4d30-901e-ad2030b57762",
    "Statement": [
        {
            "Sid": "Grant-transfer-role-access",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/EFS-role-for-transfer"
            },
            "Action": [
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ]
        }
    ]
}

Pour plus d'informations, consultez la section Utilisation d'AWS Transfer Family pour transférer des données.

Autorisations intercomptes

Pour utiliser Transfer Family afin d'accéder à votre système de fichiers avec un autre compte AWS, vous devez accorder au compte l’accès à votre système de fichiers.

Pour plus d'informations, consultez la section Comment puis-je configurer mon serveur AWS Transfer Family pour utiliser un compartiment Amazon S3 qui se trouve dans un autre compte AWS ?.