Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

# Stockez les clés d'hôte du serveur SFTP dans AWS Secrets Manager
<a name="server-host-key-storage"></a>

Au lieu de laisser Transfer Family gérer le matériel de vos clés d'hôte, vous pouvez stocker les clés d'hôte de votre SFTP-enabled serveur secret dans AWS Secrets Manager (Gestionnaire de secrets). Avec le stockage Secrets Manager, Transfer Family stocke la clé d'hôte dans un secret que vous pouvez crypter avec le vôtre AWS Key Management Service (AWS KMS) clé.

Choisissez le stockage Secrets Manager lorsque vous souhaitez récupérer le matériel de votre clé d'hôte et réutiliser la même clé d'hôte sur tous les serveurs et Régions AWS. Vous pouvez également choisir le stockage Secrets Manager lorsque vous souhaitez chiffrer le matériel de votre clé hôte avec un AWS KMS clé que vous gérez, ou lorsque vous souhaitez définir et auditer l'accès à la clé d'hôte dans Secrets Manager. Pour utiliser le stockage de Secrets Manager, définissez le type de stockage sur `SECRETS_MANAGER`, comme décrit dans la section suivante.

## Configuration du type de stockage des clés d'hôte
<a name="server-host-key-storage-configure"></a>

Vous définissez le type de stockage lorsque vous créez un serveur ou lorsque vous importez ou mettez à jour une clé d'hôte. Vous pouvez utiliser le Console de gestion AWS, le AWS CLI, ou le AWS API. Dans le AWS Transfer Family console, les nouveaux serveurs sont définis par défaut sur AWS Secrets Manager rangement. Dans le AWS CLI et le AWS API, les nouveaux serveurs sont définis par défaut sur `SERVICE_MANAGED` stockage si vous ne configurez pas `HostKeyStorageType`. Transfer Family génère une clé d'hôte pour vous si vous n'en fournissez pas.
+ Lorsque vous créez un serveur avec [CreateServer](https://docs.aws.amazon.com/transfer/latest/APIReference/API_CreateServer) Fonctionnement de l'API, définissez `HostKeyStorageType` paramètre pour `SERVICE_MANAGED` ou `SECRETS_MANAGER`.
+ Lorsque vous importez ou mettez à jour une clé d'hôte avec [ImportHostKey](https://docs.aws.amazon.com/transfer/latest/APIReference/API_ImportHostKey) ou [UpdateHostKey](https://docs.aws.amazon.com/transfer/latest/APIReference/API_UpdateHostKey) Fonctionnement de l'API, définissez `StorageType` paramètre pour `SERVICE_MANAGED` ou `SECRETS_MANAGER`.

Pour chiffrer le secret de Secrets Manager à l'aide d'une clé gérée par le client, définissez l'option `KmsKey` paramètre du nom de ressource Amazon (ARN) d'un AWS KMS lorsque vous importez ou mettez à jour la clé d'hôte. Si vous ne spécifiez pas de clé, Transfer Family utilise AWS clé gérée pour Secrets Manager. Pour modifier la clé d'une clé d'hôte qui utilise déjà le stockage de Secrets Manager, appelez UpdateHostKey avec le nouveau `KmsKey`, et Transfer Family rechiffre le secret sous la nouvelle clé. Pour utiliser une clé gérée par le client, vous devez également mettre à jour sa politique de clé. Pour plus d’informations, consultez [Autoriser l'accès à une clé gérée par le client](#server-host-key-storage-kms).

**Note**  
Quand tu appelles UpdateHostKey avec `StorageType` réglé sur `SECRETS_MANAGER`, votre identité IAM doit avoir le `transfer:ExportHostKey` autorisation, même si la clé d'hôte utilise déjà le stockage de Secrets Manager. `transfer:ExportHostKey` est une action soumise à autorisation uniquement qui ne correspond pas à une opération d'API.  
Vous pouvez modifier le type de stockage d'une clé d'hôte existante depuis `SERVICE_MANAGED` pour `SECRETS_MANAGER` uniquement si vous avez importé la clé d'hôte le 14 octobre 2026 ou après cette date. Pour déplacer une ancienne clé d'hôte vers le stockage de Secrets Manager, contactez AWS Support pour demander une exception. Incluez votre Compte AWS Identifiant figurant dans votre demande.

La première fois que vous utilisez le stockage de Secrets Manager, Transfer Family crée AWSServiceRoleForTransfer rôle lié à un service sur votre compte. Votre identité IAM doit avoir le `iam:CreateServiceLinkedRole` autorisation pour cet appel. Pour plus d’informations, consultez [Utilisation de rôles liés à des services pour AWS Transfer Family](using-service-linked-roles.md).

Le [DescribeHostKey](https://docs.aws.amazon.com/transfer/latest/APIReference/API_DescribeHostKey) et [ListHostKeys](https://docs.aws.amazon.com/transfer/latest/APIReference/API_ListHostKeys) Les opérations d'API signalent le `StorageType` de chaque clé d'hôte. Pour une clé d'hôte qui utilise le stockage de Secrets Manager, la réponse inclut également le `SecretId` du secret du Secrets Manager qui contient le matériel clé.

## Comment Transfer Family gère le secret de Secrets Manager
<a name="server-host-key-storage-slr"></a>

Lorsque vous utilisez le stockage de Secrets Manager, Transfer Family crée un secret dans votre compte dont le nom commence par `transfer!` préfixe. Transfer Family utilise le AWSServiceRoleForTransfer rôle lié à un service pour lire le secret et fournir la clé d'hôte aux connexions entrantes. Pour de plus amples informations sur ce rôle lié à un service, consultez [Utilisation de rôles liés à des services pour AWS Transfer Family](using-service-linked-roles.md).

**Note**  
Le secret est un secret géré. Vous pouvez le voir dans AWS Secrets Manager console, mais Transfer Family contrôle son cycle de vie. Nous vous recommandons donc de ne pas la modifier ni de la supprimer manuellement. Le AWSServiceRoleForTransfer le rôle lié à un service inclut des autorisations qui permettent à Transfer Family de nettoyer à terme les secrets orphelins qui ne sont plus associés à une clé d'hôte. Pour plus d'informations, voir [AWS Secrets Manager secrets gérés par d'autres AWS services](https://docs.aws.amazon.com/secretsmanager/latest/userguide/service-linked-secrets.html).

## Travaillez avec le secret Secrets Manager
<a name="server-host-key-storage-manage"></a>

La liste suivante décrit ce que vous pouvez et ne pouvez pas faire avec le secret Secrets Manager créé par Transfer Family pour votre clé d'hôte :
+ *Trouver le secret* — Transférez les noms de famille et le secret à l'aide d'un `transfer!` préfixe. Pour vous aider à définir l'accès ou à filtrer les secrets dans la console Secrets Manager, Transfer Family applique les balises `aws:transfer:owningServerArn` et `aws:transfer:owningHostKeyArn`, en plus de l'étiquette de service propriétaire `aws:secretsmanager:owningService=transfer`.
+ *Modification ou rotation de la touche hôte* — Vous ne pouvez pas modifier la valeur de la clé d'hôte via l'API Transfer Family ou dans la console Secrets Manager, et Transfer Family n'utilise pas la rotation automatique de Secrets Manager pour ces secrets. Pour alterner une clé d'hôte, importez une nouvelle clé d'hôte et supprimez l'ancienne. Pour plus d’informations, consultez [Faites pivoter les clés d'hôte du serveur](server-host-key-rotate.md).
+ *Ajouter des balises* — Vous pouvez ajouter vos propres balises au secret.
+ *Modification de la clé de chiffrement* — Téléphoner `UpdateHostKey` avec le `KmsKey` paramètre. Transfer Family rechiffre le secret sous la nouvelle clé. Pour plus d’informations, consultez [Configuration du type de stockage des clés d'hôte](#server-host-key-storage-configure).
+ *Supprimer le secret* — Pour supprimer une clé d'hôte, utilisez le `DeleteHostKey` Fonctionnement de l'API. Lorsque vous supprimez une clé d'hôte ou son serveur, Transfer Family planifie la suppression du secret. Pour plus d’informations, consultez [Supprimer la clé d'hôte d'un serveur](server-host-key-delete.md).

**Important**  
Nous vous recommandons vivement de ne pas supprimer ce secret manuellement. La suppression du secret empêche Transfer Family de lire la clé d'hôte et perturbe votre SFTP-enabled serveur. De même, si vous supprimez l'accès du rôle lié au service au secret ou à son AWS KMS clé, les nouvelles connexions à votre serveur échouent. Les opérations sur les clés hôtes sont finalement cohérentes.

## Autoriser l'accès à une clé gérée par le client
<a name="server-host-key-storage-kms"></a>

Si vous chiffrez le secret Secrets Manager à l'aide d'une clé gérée par le client, la politique de clé doit autoriser le rôle lié au service Transfer Family à appeler `kms:Decrypt`. La politique gérée du rôle lié à un service n'accorde pas `kms:Decrypt`, donc sans cette déclaration de politique clé, Transfer Family ne peut pas lire le contenu de la clé hôte pour le diffuser aux connexions entrantes.

L'exemple de déclaration de politique clé suivant accorde cet accès. Les conditions limitent l'octroi aux appels que Secrets Manager passe au nom de Transfer Family, pour des secrets dont le nom commence par `transfer!`. Remplacer {{111122223333}} avec votre Compte AWS Identifiant et {{us-east-1}} avec votre Région AWS. Si votre région se trouve dans une partition autre que `aws`, remplacez également `arn:aws` avec le préfixe ARN de votre partition.

```
{
  "Sid": "Enable Transfer SLR to access",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::{{111122223333}}:role/aws-service-role/transfer.amazonaws.com/AWSServiceRoleForTransfer"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "secretsmanager.{{us-east-1}}.amazonaws.com"
    },
    "StringLike": {
      "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:{{us-east-1}}:{{111122223333}}:secret:transfer!*"
    }
  }
}
```