本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Transfer Family 访问适用于 NetApp ONTAP 文件系统的 FSx

概述

Transfer Family 通过 S3 接入点支持适用于 NetApp ONTAP 的 Amazon FSx。适用于 NetApp ONTAP 的 Amazon FSx 是一项完全托管的服务，它基于广受欢迎的 ONTAP 文件系统提供高度可靠、可扩展、高性能和功能丰富的文件存储。 NetApp在使用 FSx 文件系统配置 Transfer Family 时，您的用户将使用标准文件传输客户端连接到 Transfer Family 端点。Transfer Family 通过连接到 FSx 卷的 S3 接入点路由文件操作，而您的数据则保留在 FSx 文件系统上。要了解有关 ONTAP 版 FSx 的更多信息，请参阅什么是 NetApp ONTAP 版 Amazon FSx？ NetApp

此集成使您能够：

先决条件

在使用 Amazon FSx 配置 Transfer Family 之前，您必须满足以下要求。

符合 ONTAP 要求 NetApp 的 FSx

要将适用于 NetApp ONTAP 的 FSx 与 Transfer Family 配合使用，您需要：

要了解更多信息，请参阅适用于 ONTAP 的 Amazon FSx 入 NetApp 门。

所需的 IAM 权限

您可以为每个 S3 接入点配置不同的权限和网络控制，S3 适用于使用该接入点发出的任何请求。S3 接入点支持 IAM 资源策略，您可以使用这些策略按资源、用户或其他条件控制接入点的使用。要使应用程序或用户通过接入点访问文件，接入点和底层卷都必须允许该请求。有关更多信息，请参阅 IAM 接入点策略。

适用于 FSx 的 Amazon S3 接入点使用双层授权模型，将 IAM 权限与文件系统级权限相结合。这种方法可确保在 AWS 服务级别和底层文件系统级别对数据访问请求进行适当授权。

要使应用程序或用户成功地通过接入点访问数据，S3 接入点策略和底层 FSx 卷都必须允许该请求。

要创建和配置此集成，您需要以下权限：

FSx 存储如何与 Transfer Family 配合使用

在使用 FSx 文件系统配置 Transfer Family 时，以下组件协同工作以启用文件传输：

要使文件操作成功，两个授权层都必须允许该请求。

文件系统用户身份

每个接入点都使用您在创建接入点时指定的文件系统用户身份。此身份授权通过该接入点发出的所有文件访问请求。文件系统用户是底层 Amazon FSx 文件系统上的用户账户。如果文件系统用户具有只读访问权限，则只有使用访问点发出的读取请求才会获得授权，并且写入请求会被阻止。如果文件系统用户具有读写访问权限，则使用访问点对连接的卷发出的读取和写入请求都将获得授权。

为 FSx 创建 S3 接入点

在配置 Transfer Family 之前，必须创建一个连接到 FSx 卷的 S3 接入点。S3 接入点被命名为连接到数据源的网络终端节点，例如存储桶或适用于 ONTAP 卷的 Amazon FSx。您可以使用 Amazon FSx 控制台、CLI 或 AP AWS I 创建接入点并将其连接到适用于 NetApp ONTAP 的 FSx。附加后，可以使用 S3 对象 API 来访问文件数据。数据将继续位于 Amazon FSx 文件系统上，并且对于您现有的工作负载而言，这些数据将继续可供直接访问。您可以继续使用所有 FSx for NetApp ONTAP 存储管理功能管理存储，包括备份、快照、用户和组配额以及压缩。

有关更多信息，请参阅创建接入点。

接入点命名

命名接入点时，请遵循以下准则：

有关命名规则的完整列表，请参阅接入点命名规则、限制和限制。

为 ONTAP 的 FSx 创建接入点 NetApp

使用以下步骤为 FSx for NetApp ONTAP 卷创建 S3 接入点。

配置文件系统权限

您指定的文件系统用户决定了 Transfer Family 用户可以执行的操作。您必须在 FSx 卷上配置适当的权限。

UNIX 示例：

# Create a directory for Transfer Family users
mkdir -p /vol1/transfer-users

# Set ownership to match the access point user
chown 1001:1001 /vol1/transfer-users

# Set permissions
chmod 755 /vol1/transfer-users

Windows 示例：

# Create a directory for Transfer Family users
New-Item -Path "D:\vol1\transfer-users" -ItemType Directory

# Set permissions for the file system user associated with the access point
# Replace DOMAIN\TransferUser with your Windows user identity
icacls "D:\vol1\transfer-users" /grant "DOMAIN\TransferUser:(OI)(CI)M" /T

# Verify permissions
icacls "D:\vol1\transfer-users"

在 FSx 中使用 S3 接入点别名

当你将 FSx 文件系统与 Transfer Family 一起使用时，必须使用 S3 接入点别名。Transfer Family 不支持使用接入点 ARN 或其他参考方法来存储 FSx。

关于接入点别名

当您创建连接到 FSx 卷的 S3 接入点时，Amazon S3 会自动生成接入点别名。此别名是一个唯一标识符，您可以在任何使用 S3 存储桶名称的地方使用该标识符。

对于连接到 FSx 卷的接入点，别名使用以下格式：

access-point-name-metadata-ext-s3alias

别名示例：

my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias

查找您的接入点别名

您可以在创建接入点之后找到接入点别名。

查找接入点别名 (CLI)

使用 describe-s3-access-point-attachments 命令。

aws fsx describe-s3-access-point-attachments \
    --filters Name=file-system-id,Values=fs-0123456789abcdef0

响应中包含别名：

{
    "S3AccessPointAttachments": [
        {
            "S3AccessPoint": {
                "ResourceARN": "arn:aws:s3:us-east-1:111122223333:accesspoint/my-fsx-ap",
                "Alias": "my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias"
            }
        }
    ]
}

配置 Transfer Family 用户时，请在主目录映射中使用接入点别名。

主目录格式：

/access-point-alias/path/to/directory

示例：

/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith

为 FSx 存储配置 Transfer Family

创建 S3 接入点后，将 Transfer Family 服务器配置为使用该接入点。

创建 IAM 角色

您必须创建一个 IAM 角色来授予 Transfer Family 对 S3 接入点的访问权限。

IAM 策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowFileOperations",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectTagging",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:us-east-2:111122223333:accesspoint/my-fsx-ap/object/*"
        },
        {
            "Sid": "AllowDirectoryOperations",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:us-east-2:111122223333:accesspoint/my-fsx-ap"
        }
    ]
}

管理 FSx 存储的用户

使用使用 S3 接入点别名的主目录映射创建 Transfer Family 用户。

创建用户

在为 FSx 存储创建用户时，请在主目录映射中使用接入点别名。

创建用户 (CLI)

使用 create-user 命令。用您的别名替换接入点别名。

aws transfer create-user \
    --server-id s-0123456789abcdef0 \
    --user-name jsmith \
    --role arn:aws:iam::111122223333:role/TransferFamilyFSxRole \
    --home-directory-type LOGICAL \
    --home-directory-mappings '[
        {
            "Entry": "/",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith"
        }
    ]'

配置多个目录映射

您可以将多个虚拟目录映射到 FSx 卷上的不同路径。

示例：单独的上传和下载目录

aws transfer create-user \
    --server-id s-0123456789abcdef0 \
    --user-name jsmith \
    --role arn:aws:iam::111122223333:role/TransferFamilyFSxRole \
    --home-directory-type LOGICAL \
    --home-directory-mappings '[
        {
            "Entry": "/inbox",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith/inbox"
        },
        {
            "Entry": "/outbox",
            "Target": "/my-fsx-ap-aqfqprnstn7aefdfbarligizwgyfouse1a-ext-s3alias/users/jsmith/outbox"
        }
    ]'

配置文件传输客户端

在 Transfer Family 中使用 FSx 文件系统时，必须将文件传输客户端配置为禁用不支持的功能。

WinSCP 配置

默认情况下，WinSCP 使用临时重命名功能，FSX 的 S3 接入点不支持该功能。

或者，您可以为现有会话禁用此设置：

其他 SFTP 客户端

对于其他 SFTP 客户端，请禁用以下功能（如果有）：

有关具体的配置步骤，请查阅您的客户端文档。

对 FSx 存储进行故障排除

本节介绍如何识别和解决将 Transfer Family 与 FSx 文件系统配合使用时的常见问题。

文件操作问题

权限被拒绝

如果您收到权限被拒绝的错误：

使用 WinSCP 上传失败

如果使用 WinSCP 上传文件失败，请禁用临时重命名：

有关更多信息，请参阅 配置文件传输客户端。

文件上传失败

如果文件上传失败：