FTPS 対応サーバーを作成する

File Transfer Protocol over SSL (FTPS) は FTP の拡張版です。Transport Layer Security (TLS) および Secure Sockets Layer (SSL) 暗号化プロトコルを使用して、トラフィックを暗号化します。FTPS を利用すると、制御チャネルとデータチャネルの接続の両方を同時に、または個別に暗号化できます。

FTPS 対応サーバーを作成するには

https://console.aws.amazon.com/transfer/ で AWS Transfer Family コンソールを開き、ナビゲーションペインからサーバーを選択し、サーバーの作成を選択します。
[Choose protocols] (プロトコルの選択) で FTPS を選択してから [Next] (次へ) を選択します。

[Server certificate] (サーバー証明書) で、クライアントが FTPS 経由でサーバーに接続するときにサーバーを識別するために使用される AWS Certificate Manager (ACM) に保存されている証明書を選択してから [Next] (次へ) を選択します。

新しいパブリック証明書をリクエストするには、AWS Certificate Manager ユーザーガイドの「パブリック証明書をリクエストする」を参照してください。

既存の証明書を ACM にインポートするには、AWS Certificate Manager ユーザーガイドの「ACM に証明書をインポートする」を参照してください。

プライベート IP アドレス経由で FTPS を使用できるようにプライベート証明書をリクエストするには、AWS Certificate Manager ユーザーガイドの「プライベート証明書のリクエスト」を参照してください。

以下の暗号化アルゴリズムとキーサイズの証明書がサポートされています。
- 2048 ビット RSA (RSA_2048)
- 4096 ビット RSA (RSA_4096)
- 楕円素数曲線 256 ビット (EC_Prime256v1)
- 楕円素数曲線 384 ビット (EC_secp384R1)
- 楕円素数曲線 521 ビット (EC_secp521R1)
注記
証明書は、FQDN または IP アドレスが指定された有効な SSL/TLS X.509 バージョン 3 証明書で、発行者に関する情報が含まれている必要があります。
[Choose an identity provider] (ID プロバイダーの選択) で、ユーザーアクセスの管理に使用したい ID プロバイダーを選択します。次のオプションがあります。
- AWS Directory Service for Microsoft Active Directory – エンドポイントにアクセスするための AWS Directory Service ディレクトリを指定します。そうすることで、Active Directory に保存されている認証情報を使用してユーザーを認証できるようになります。 AWS Managed Microsoft AD ID プロバイダーの操作の詳細については、「」を参照してくださいAWS Directory Service ID プロバイダーの使用。
  注記
  クロスアカウントディレクトリと共有ディレクトリは、ではサポートされていません AWS Managed Microsoft AD。
  
  Directory Service を ID プロバイダーとしてサーバーを設定するには、いくつかの AWS Directory Service アクセス許可を追加する必要があります。詳細については、「の使用を開始する前に AWS Directory Service for Microsoft Active Directory」を参照してください。
- 「Custom Identity Provider」ー以下のいずれかのオプションを選択する：
  - AWS Lambda を使用して ID プロバイダーを接続する – Lambda 関数にバックアップされた既存の ID プロバイダーを使用できます。Lambda 関数の名前を指定します。詳細については、「AWS Lambda を使用して ID プロバイダーを統合する」を参照してください。
  - 「Amazon API Gateway を使って ID プロバイダーに接続する」ー ID プロバイダーとして使用するために、Lambda 関数に裏打ちされた API ゲートウェイメソッドを作成することができます。Amazon API Gateway URL と呼び出しロールを指定します。詳細については、「Amazon API Gateway を使用して ID プロバイダーを統合する」を参照してください。
[次へ] をクリックします。
[Choose an endpoint] (エンドポイントの選択) で、次のように操作します。

注記
Transfer Family の FTPS サーバーは、ポート 21（コントロールチャネル）とポート範囲 8192-8200（データチャネル）で動作します。
1. [Endpoint type] (エンドポイントタイプ) で、サーバーのエンドポイントのホストになる VPC ホステッドエンドポイントタイプを選択します。VPC ホストエンドポイントの設定については、「Virtual Private Cloud でサーバーを作成する」を参照してください。
  
  注記
  パブリックにアクセス可能なエンドポイントはサポートされません。
2. (オプション) [FIPS Enabled] (FIPS 対応) で、[FIPS Enabled endpoint] (FIPS 対応エンドポイント) チェックボックスをオンにして、エンドポイントが連邦情報処理標準 (FIPS) に準拠することを確認します。
  
  注記
  FIPS 対応エンドポイントは、北米 AWS リージョンでのみ使用できます。利用可能なリージョンについては、「AWS 全般のリファレンス」の「AWS Transfer Family エンドポイントとクォータ」を参照してください。FIPS の詳細については、連邦情報処理規格 (FIPS) 140-2 を参照してください。
3. [Next] (次へ) を選択します。
「ドメインの選択」ページで、選択したプロトコルでデータを保存およびアクセスするために使用する AWS ストレージサービスを選択します。
- Amazon S3 を選択すると、選択したプロトコル経由でファイルをオブジェクトとして保存してアクセスできます。
- Amazon EFS を選択すると、選択したプロトコル経由で Amazon EFS ファイルシステム内でファイルを保存してアクセスできます。
[Next] (次へ) を選択します。
[Configure additional details] (その他の詳細の構成) で次のように操作します。
1. ログの場合、既存のロググループを指定するか、新しいロググループを作成します (デフォルトオプション)。
  
  ロググループの作成を選択すると、 CloudWatch コンソール (https://console.aws.amazon.com/cloudwatch/) がロググループの作成ページを開きます。詳細については、「ログ」の CloudWatch 「ロググループの作成」を参照してください。
2. (オプション)[管理対象ワークフローの場合]、ワークフローの実行時に Transfer Family が引き受けるワークフロー ID (および対応するロール) を選択します。完全なアップロード時に実行するワークフローと、部分的なアップロード時に実行するワークフローを選択できます。マネージドワークフローを使用したファイルの処理の詳細については、AWS Transfer Family マネージドワークフローを参照してください。
3. [Cryptographic algorithm options] (暗号化アルゴリズムオプション) で、サーバーで使用できる暗号化アルゴリズムを含むセキュリティポリシーを選択します。最新のセキュリティポリシーがデフォルトです。詳細については、「」を参照してくださいAWS Transfer Family サーバーのセキュリティポリシー。
4. 「サーバーホストキー」は空白のままにしておきます。
5. (オプション) [Tags] (タグ) の [Key] (キー) と [Value] (値) にキーバリューペアとして 1 つ以上のタグを入力して [Add tag] (タグの追加) を選択します。
6. Amazon S3 ディレクトリのパフォーマンスを最適化できます。例えば、ホームディレクトリに移動し、10,000 個のサブディレクトリがあるとします。つまり、Amazon S3 バケットには 10,000 個のフォルダがあります。このシナリオでは、 ls (list) コマンドを実行すると、リストオペレーションに 6～8 分かかります。ただし、ディレクトリを最適化すると、このオペレーションにかかる時間はわずか数秒です。
  
  コンソールを使用してサーバーを作成すると、最適化されたディレクトリがデフォルトで有効になります。API を使用してサーバーを作成する場合、この動作はデフォルトでは有効になっていません。
7. [次へ] をクリックします。
8. （オプション) 組織のポリシーや利用規約などのカスタマイズされたメッセージをエンドユーザーに表示するように AWS Transfer Family サーバーを設定できます。認証に成功したユーザーに対して、カスタマイズされた今日のメッセージ (MOTD) を表示することもできます。
  
  [ディスプレイバナー] の場合、[プリ認証ディスプレイバナー] テキストボックスに、ユーザーが認証する前に表示したいテキストメッセージを入力し、ポスト認証ディスプレイバナーテキスト ボックスには、ユーザーが認証に成功した後に表示したいテキストを入力してください。
9. (オプション) 次の追加オプションを構成できます。
  - SetStat オプション : このオプションを有効にすると、クライアントが Amazon S3 バケットにアップロードするファイルSETSTATでを使用しようとしたときに生成されるエラーが無視されます。詳細については、ProtocolDetails「」トピックのSetStatOptionドキュメントを参照してください。
  - [TLS セッション再開]:FTPS セッションの制御接続とデータ接続の間でネゴシエートされた秘密キーを再開または共有するメカニズムを提供します。詳細については、ProtocolDetails「」トピックのTlsSessionResumptionModeドキュメントを参照してください。
  - [Passive IP]：FTP および FTPS プロトコルのパッシブモードを示します。ファイアウォール、ルーター、ロードバランサーのパブリック IP アドレスなど、単一 IPv4 アドレスを入力します。詳細については、ProtocolDetails「」トピックのPassiveIpドキュメントを参照してください。
[Review and create] (確認と作成) で選択内容を確認します。
- いずれかを編集するには、ステップの隣にある [Edit] (編集) を選択します。
  
  注記
  編集を選んだステップの後に、各ステップを見直す必要があります。
- 変更がない場合、[Create server] (サーバーの作成) を選択してサーバーを作成します。[Servers] (サーバー) ページに誘導され、次に示すように新しいサーバーの一覧が表示されます。