制限付きのキーを使ってSFTPで接続する

dosyaのSFTPはAPIキーによるパスワード認証を使用します。SSH秘密鍵は使用しません。dosyaアカウントのメールアドレスをユーザー名とし、パスワードの入力画面で完全なdos_… APIキーを入力してください。

互換性のある制限を設定する

**プロフィール → API（APIキー）**で専用の認証情報を作成し、制限と有効期限を開いてください。

1. アクセス範囲はどこまでですか？ → プロトコルで選択したもののみを選択し、SFTPのみを選択します。フォームには、選択されていないプロトコルではキーが拒否されると記載されています。
2. 必要に応じてワークスペースを使い、認証情報を1つのワークスペースに固定します。SFTPはワークスペースへの固定に対応しており、キーによる他のワークスペースへのアクセスを防ぎます。
3. フォルダーの固定は選択しないでください。フォルダーアンカーが設定された認証情報はWebDAVとS3ゲートウェイでのみ動作し、SFTPでは意図的に拒否されます。
4. 許可するIP範囲は空のままにしてください。SFTPサーバーはユーザーに代わってAPIに接続し、クライアントのアドレスを提示できないため、フォームにはSFTP stops working on this keyと明示的に警告されます。
5. Active hours: 任意の週間利用可能時間が認証情報に適用されます。その時間外の認証や操作は拒否されます。
6. 一覧表示とダウンロードにはRead onlyを選択してください。アップロード、フォルダーの作成、名前変更、移動、削除が必要なクライアントにのみフルアクセスを使用します。ワークスペースのロールによってこれらの操作が拒否される場合もあります。

表示される各ワークスペースのロールでaccess_sftpが許可されている必要があります。現在のワークスペースで許可されていない場合、連携ページにこのロールではSFTPを使用できませんが表示されます。オーナーまたは管理者がロールを変更する必要があります。別のキーを使ってもこの権限は回避できません。

手順

1. ターミナルから、説明されているsftp接続を開始します。

   sftp -P 2222 your-email@example.com@sftp.dosya.dev

2. パスワードの入力画面でdos_… APIキーを入力します。コマンドラインには入力しないでください。シェルの履歴やプロセスの出力から公開される可能性があります。

3. sftp>プロンプトでlsを実行し、認証情報とメンバーシップで許可されたワークスペースのルートを確認します。

4. 固定先または目的のワークスペースに移動し、わかっているパスを一覧表示して、getで無害なテストファイルをダウンロードします。

5. キーがフルアクセスで書き込みが必要な場合は、putで使い捨ての小さなファイルをアップロードし、dosyaのファイルで確認してから、承認された方法でテストファイルを削除してください。

保存済みのOpenSSHショートカットには、次を使用してください。

Host dosya
    HostName sftp.dosya.dev
    Port 2222
    User your-email@example.com

次にsftp dosyaを実行し、対話形式でAPIキーを入力します。

トラブルシューティング

• パスワードがすぐに拒否される場合、無効または失効したキー、キーのオーナーのメールアドレスと一致しないユーザー名、SFTPプロトコルの除外、フォルダーアンカー、IP制限、利用可能時間外が原因として考えられます。
• 同じアドレスから1分以内に認証情報が5回拒否されると、15分間の一時的なIP禁止が適用されます。推測を繰り返さずに認証情報を修正してください。
• サインイン後にワークスペースのパスが拒否された場合、そのワークスペースがキーの固定範囲外またはメンバーシップの範囲外であるか、SFTPのロール権限がありません。
• 読み取り専用のキーでは接続とダウンロードはできますが、書き込み操作はできません。フルアクセスを付与しても、ワークスペースのアップロードや削除の権限、コンテンツのロックは回避できません。
• dosyaが提供するのはSFTPサブシステムのみです。シェルとリモート実行のチャネルは拒否されるため、ssh host commandなどのコマンドによる接続テストには対応していません。
• SFTPは成功したサインインを最大60秒間キャッシュし、API認可には別のキャッシュがあります。これは失効が完了するまでの時間の上限ではありません。無効化が反映された後、新しい接続と無害な操作で拒否されることを確認してください。既存の操作でも重要な時点でワークスペースへのアクセスが再確認されます。

このAPIキーを失効させるか有効期限が切れると、以後のアクセスは停止します。転送済みのファイルは削除されません。許可されたフルアクセスのセッションでの削除は実際にクラウド上のデータを変更します。復旧できる場合は、該当するdosyaの保持方法に従って復旧してください。

期待される結果

クライアントがsftp.dosya.dev:2222で認証され、キーの固定先とメンバーの現在のアクセスで許可されたワークスペースのみが一覧表示されます。APIキーのスコープとワークスペースのロールの両方で許可された操作のみを実行できます。

関連ガイド

• WebDAVで接続する
• プロトコルへのアクセスを制限する