SFTP

RustFS には、暗号化された SSH 接続でバケットとオブジェクトを SFTP クライアントへ公開する SSH File Transfer Protocol（SFTP）ゲートウェイが含まれます。バケットの一覧と作成、オブジェクトのアップロード、ダウンロード、名前変更、削除ができます。RustFS は、認証されたアイデンティティとアクセス管理（IAM）ユーザーの権限を各操作に適用します。

SFTP は任意のコンパイル時機能であり、既定の RustFS ビルドには含まれません。リスナーを有効にする前に、sftp または full 機能を付けて RustFS をビルドします。リスナーは実行時に既定で無効です。

概要Copy Anchor Link

ゲートウェイは、SFTP のパスを RustFS のリソースへ対応付けます。

/ の直下でディレクトリを作成または削除すると、バケットが作成または削除されます。バケットより下のディレクトリはオブジェクトキーのプレフィックスに対応し、独立したファイルシステムディレクトリとしては存在しません。

RustFS は、SFTP ゲートウェイ経由で次の操作に対応しています。

SFTP のユーザー名には RustFS のアクセスキーを、パスワードにはそのシークレットキーを入力します。RustFS は、すべての操作について IAM ユーザーの S3 ポリシーを確認します。

設定Copy Anchor Link

SFTP 対応でビルドするCopy Anchor Link

SFTP 機能を付けて RustFS をビルドします。

cargo build --release --features sftp

SFTP を含むすべての任意機能を有効にするには、代わりに --features full を使います。sftp 機能なしでビルドしたバイナリでは、RUSTFS_SFTP_ENABLE=true を設定しても効果はありません。

SFTP の変数Copy Anchor Link

既定のポート 2222 は、特権が必要な SSH ポート 22 を避けます。アドレスには IPv4 または IPv6 の構文を使えます。たとえば 127.0.0.1:2222 や [::]:2222 です。

ホストキーを用意するCopy Anchor Link

永続的なホストキーのディレクトリを作成し、Ed25519 のホストキーを生成します。

mkdir -p /path/to/sftp-keys
ssh-keygen -t ed25519 \
	-f /path/to/sftp-keys/ssh_host_ed25519_key \
	-N ""
chmod 600 /path/to/sftp-keys/ssh_host_ed25519_key*

ホストキーにパスフレーズを設定してはいけません。RustFS は、復号できる ECDSA と RSA の秘密ホストキーも受け付けます。

Unix では、ホストキーディレクトリ内のすべての通常ファイルを、所有者だけがアクセスできるようにする必要があります。ssh-keygen コマンドは .pub ファイルも作成します。表示のとおり所有者だけの権限で残すか、削除します。RustFS はこのファイルを読みません。ディレクトリがない、使える秘密鍵がない、またはグループやその他の権限ビットが立った通常ファイルがある場合、RustFS は起動を拒否します。

SFTP リスナーを起動するCopy Anchor Link

次の例は、ローカルテスト用にループバックインターフェースで SFTP を起動します。

export RUSTFS_SFTP_ENABLE=true
export RUSTFS_SFTP_ADDRESS=127.0.0.1:2222
export RUSTFS_SFTP_HOST_KEY_DIR=/path/to/sftp-keys
export RUSTFS_ACCESS_KEY=<your-access-key>
export RUSTFS_SECRET_KEY=<your-secret-key>

rustfs /path/to/data

リモート接続では、適切なネットワークインターフェースにバインドし、設定した SFTP ポートへの受信 TCP トラフィックを許可します。このリスナーは、S3 API と Console のリスナーとは別です。

使い方Copy Anchor Link

次の例では、OpenSSH の sftp クライアント、標準の名前である my-bucket と hello.txt、ポート 2222 のローカルリスナーを使います。

接続するCopy Anchor Link

sftp -P 2222 <your-access-key>@127.0.0.1

パスワードを求められたら、RustFS のシークレットキーを入力します。初回接続では、表示されたホストキーのフィンガープリントを確認してから受け入れます。

バケットを一覧して作成するCopy Anchor Link

sftp のプロンプトで、IAM ユーザーから見えるバケットを一覧し、my-bucket を作成します。

sftp> ls /
sftp> mkdir /my-bucket
sftp> cd /my-bucket

バケット名は、S3 API で作成するバケットと同じ命名規則に従う必要があります。/ の直下にファイルを作成することはできません。

オブジェクトをアップロードおよびダウンロードするCopy Anchor Link

/path/to/hello.txt をアップロードし、バケットを一覧して、オブジェクトをダウンロードします。

sftp> put /path/to/hello.txt /my-bucket/hello.txt
sftp> ls /my-bucket
sftp> get /my-bucket/hello.txt hello.txt

アップロードは、ファイルの先頭から順に行う必要があります。再開、追記、その場での編集、1 つのオブジェクトを分割した複数接続アップロードには対応していません。

オブジェクトの名前を変更するCopy Anchor Link

sftp> rename /my-bucket/hello.txt /my-bucket/greeting.txt

RustFS は名前変更を、サーバー側のコピーと、そのあとのソース削除として実装します。この操作はアトミックではなく、バケットの名前変更には対応していません。IAM ユーザーには、ソースの読み取りと削除、および宛先への書き込みの権限が必要です。

オブジェクトとバケットを削除するCopy Anchor Link

オブジェクトを削除し、そのあと空のバケットを削除します。

sftp> rm /my-bucket/greeting.txt
sftp> rmdir /my-bucket

RustFS は、SFTP 経由で空でないバケットを再帰的に削除しません。

デスクトップクライアントから接続するCopy Anchor Link

FileZilla、Cyberduck、WinSCP などのグラフィカルクライアントでは、次の設定を使います。

クライアントは、ファイル全体を単一接続でアップロードする設定にします。ゲートウェイは SFTP 操作をオブジェクトストレージへ対応付けるため、シンボリックリンクや、POSIX の所有者、権限、タイムスタンプの変更には対応していません。

次のステップCopy Anchor Link

• 認証情報を管理する
• サービスの状態を確認する
• ライフサイクル管理を設定する