如何为带Lambda自定义身份提供商的AWS TransferFamily配置动态IAM策略

用户问题 #

我已成功为AWS Transfer Family配置基于Lambda的自定义身份提供商，支持用户名/密码和SSH认证。目前我为每个用户配置不同角色及对应专属文件夹权限策略，希望实现类似服务器托管用户的动态IAM策略——基于用户HomeDirectory自动适配权限，而非为每个用户创建独立角色。请问结合Lambda和Secrets Manager是否可实现该需求？

服务器托管用户的动态策略示例如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfUserFolder",
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::${transfer:HomeBucket}"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "${transfer:HomeFolder}/*",
                        "${transfer:HomeFolder}"
                    ]
                }
            }
        },
        {
            "Sid": "HomeDirObjectAccess",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObjectVersion",
                "s3:GetObjectACL",
                "s3:PutObjectACL"
            ],
            "Resource": "arn:aws:s3:::${transfer:HomeDirectory}*"
        }
    ]
}

解决方案 #

完全可以通过Lambda+Secrets Manager实现该需求，核心是用共享IAM角色配合Transfer Family内置变量或会话标签，让权限自动适配用户的HomeDirectory，无需为每个用户创建独立角色。具体步骤如下：

1. 创建共享IAM角色 #

• 新建一个通用IAM角色，附加你提供的动态策略（保留${transfer:HomeBucket}、${transfer:HomeFolder}、${transfer:HomeDirectory}这些内置变量）。
• 配置角色的信任策略，允许AWS Transfer Family服务（transfer.amazonaws.com）承担该角色，同时确保Lambda有权限将此角色传递给Transfer Family。

2. 用Secrets Manager存储用户元数据 #

• 为每个用户在Secrets Manager中创建密钥，命名规范建议为transfer/users/{username}，方便Lambda按用户名查找。
• 密钥内容需包含：用户名、验证凭证（密码/SSH公钥）、用户专属的HomeDirectory（例如s3://my-storage-bucket/user-john/）。示例密钥JSON：

{
  "username": "john",
  "password": "encrypted-password",
  "ssh_public_key": "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD...",
  "home_directory": "s3://my-storage-bucket/user-john/"
}

3. 修改Lambda身份提供商函数 #

• 当Lambda收到Transfer Family的身份验证请求时，先提取请求中的用户名。
• 调用Secrets Manager的get_secret_value API，根据用户名获取对应的用户元数据。
• 验证用户提交的凭证（密码/SSH公钥）与Secrets Manager中存储的内容是否匹配。
• 验证通过后，返回包含以下信息的响应：

  return {
      "Role": "arn:aws:iam::123456789012:role/TransferSharedRole",
      "HomeDirectory": "s3://my-storage-bucket/user-john/",
      # 可选：添加会话标签用于更细粒度的权限控制
      "SessionTags": [
          {"Key": "HomeBucket", "Value": "my-storage-bucket"},
          {"Key": "HomeFolder", "Value": "user-john"}
      ]
  }
  

4. 验证动态权限生效 #

用户登录时，Transfer Family会自动替换共享角色策略中的内置变量：

• ${transfer:HomeBucket}会替换为用户HomeDirectory对应的存储桶名
• ${transfer:HomeFolder}会替换为桶内的用户文件夹路径
• 最终策略会自动限制用户仅能访问自己的专属文件夹，无需为每个用户单独配置角色和权限。

注意事项 #

• Lambda函数需要被授予secretsmanager:GetSecretValue权限，以及传递IAM角色给Transfer Family的权限。
• 确保Secrets Manager中的用户元数据格式统一，避免Lambda解析出错。
• SSH认证场景下，需在Secrets Manager中存储用户的SSH公钥，Lambda验证时对比请求中的公钥是否一致。

内容的提问来源于stack exchange，提问作者Buvana