Eine AS2 Konfiguration einrichten

1. Erstellen Sie Zertifikate für sich und Ihren Handelspartner. Wenn Sie bereits Zertifikate haben, die Sie verwenden können, können Sie diesen Abschnitt überspringen.

   Dieser Vorgang wird unter beschriebenSchritt 1: Erstellen Sie Zertifikate für AS2.

2. Erstellen Sie einen AWS Transfer Family Server, der das AS2 Protokoll verwendet. Optional können Sie dem Server eine Elastic IP-Adresse hinzufügen, sodass er mit dem Internet verbunden ist.

   Dieser Prozess wird unter beschrieben. Schritt 2: Erstellen Sie einen Transfer Family Family-Server, der das AS2 Protokoll verwendet

   Anmerkung

   Sie müssen einen Transfer Family Family-Server nur für eingehende Übertragungen erstellen. Wenn Sie nur ausgehende Übertragungen durchführen, benötigen Sie keinen Transfer Family Family-Server.

3. Importieren Sie die Zertifikate, die Sie in Schritt 1 erstellt haben.

   Dieser Vorgang wird unter beschriebenSchritt 3: Zertifikate als Transfer Family Family-Zertifikatsressourcen importieren.

4. Um Ihre Handelspartner einzurichten, erstellen Sie ein lokales Profil und ein Partnerprofil.

   Dieser Vorgang wird unter beschriebenSchritt 4: Erstellen Sie Profile für Sie und Ihren Handelspartner.

5. Erstellen Sie eine Vereinbarung zwischen Ihnen und Ihrem Handelspartner.

   Dieser Prozess wird unter beschriebenSchritt 5: Erstellen Sie eine Vereinbarung zwischen Ihnen und Ihrem Partner.

   Anmerkung

   Sie müssen eine Vereinbarung nur für eingehende Übertragungen erstellen. Wenn Sie nur ausgehende Überweisungen durchführen, benötigen Sie keine Vereinbarung.

6. Stellen Sie eine Verbindung zwischen Ihnen und Ihrem Handelspartner her.

   Dieser Prozess wird unter beschriebenSchritt 6: Stellen Sie eine Verbindung zwischen Ihnen und Ihrem Partner her.

   Anmerkung

   Sie müssen einen Connector nur für ausgehende Übertragungen erstellen. Wenn Sie nur eingehende Übertragungen durchführen, benötigen Sie keinen Connector.

7. Testen Sie einen AS2 Dateiaustausch.

   Dieser Vorgang wird unter beschriebenSchritt 7: Testen Sie den Dateiaustausch AS2 mithilfe von Transfer Family.

Um Beispielzertifikate zu generieren

1. Führen Sie den folgenden Befehl aus, um einen RSA privaten Schlüssel mit einem 2048-Bit-Modul zu generieren.

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. Führen Sie den folgenden Befehl aus, um ein selbstsigniertes Zertifikat mit Ihrer Datei zu erstellen. root-ca-key.pem

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   Das -subj Argument besteht aus den folgenden Werten.

   	Name	Beschreibung
   C	Ländercode	Ein aus zwei Buchstaben bestehender Code für das Land, in dem Ihre Organisation ansässig ist.
   ST	Bundesland, Region oder Provinz	Das Bundesland, die Region oder die Provinz, in der Ihre Organisation ansässig ist. (In diesem Fall bezieht sich Region nicht auf Ihre AWS-Region.)
   L	Ortsname	Die Stadt, in der sich Ihre Organisation befindet.
   O	Name der Organisation	Der vollständige offizielle Name Ihrer Organisation, einschließlich LLC Suffixen wie Corp usw.
   OU	Name der Organisationseinheit	Die Abteilung in Ihrer Organisation, die sich mit diesem Zertifikat befasst.
   CN	Allgemeiner Name oder vollqualifizierter Domänenname (FQDN)	In diesem Fall erstellen wir ein Stammzertifikat, der Wert ist alsoROOTCA. In diesen Beispielen beschreiben wir den Zweck des Zertifikats. CN

3. Erstellen Sie einen Signaturschlüssel und einen Verschlüsselungsschlüssel für Ihr lokales Profil.

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   Anmerkung

   Bei einigen Servern mit AS2 aktivierter Option, z. B. OpenAS2, müssen Sie dasselbe Zertifikat sowohl für das Signieren als auch für die Verschlüsselung verwenden. In diesem Fall können Sie denselben privaten Schlüssel und dasselbe Zertifikat für beide Zwecke importieren. Führen Sie dazu diesen Befehl anstelle der beiden vorherigen Befehle aus:

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. Führen Sie die folgenden Befehle aus, um Certificate Signing Requests (CSRs) für den Stammschlüssel zum Signieren zu erstellen.

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. Als Nächstes müssen Sie eine signing-cert.conf Datei und eine encryption-cert.conf Datei erstellen.

   • Verwenden Sie einen Texteditor, um die signing-cert.conf Datei mit dem folgenden Inhalt zu erstellen:

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • Verwenden Sie einen Texteditor, um die encryption-cert.conf Datei mit dem folgenden Inhalt zu erstellen:

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. Schließlich erstellen Sie die signierten Zertifikate, indem Sie die folgenden Befehle ausführen.

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

Um einen AS2 -fähigen Server zu erstellen

1. Führen Sie den folgenden Befehl aus. Ersetzen Sie jeden user input placeholder durch Ihre Informationen.

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. (Optional) Sie können den VPC Endpunkt öffentlich machen. Sie können Elastic IP-Adressen nur über einen update-server Vorgang an einen Transfer Family Family-Server anhängen. Die folgenden Befehle stoppen den Server, aktualisieren ihn mit Elastic IP-Adressen und starten ihn dann erneut.

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   Dieser start-server Befehl erstellt automatisch einen DNS Datensatz für Sie, der die öffentliche IP-Adresse für Ihren Server enthält. Um Ihrem Handelspartner Zugriff auf den Server zu gewähren, stellen Sie ihm die folgenden Informationen zur Verfügung. your-regionBezieht sich in diesem Fall auf Ihre AWS-Region.

   s-your-server-id.server.transfer.your-region.amazonaws.com

   Der GesamtbetragURL, den Sie Ihrem Handelspartner zur Verfügung stellen, lautet wie folgt:

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. Verwenden Sie die folgenden Befehle, um zu testen, ob auf Ihren AS2 -fähigen Server zugegriffen werden kann. Stellen Sie sicher, dass auf Ihren Server entweder über die private DNS Adresse Ihres VPC Endpunkts oder über Ihren öffentlichen Endpunkt zugegriffen werden kann (wenn Sie Ihrem Endpunkt eine Elastic IP-Adresse zugeordnet haben).

   Wenn Ihr Server korrekt konfiguriert ist, ist die Verbindung erfolgreich. Sie erhalten jedoch eine Antwort mit dem HTTP Statuscode 400 (Bad Request), da Sie keine gültige AS2 Nachricht senden.

   • Führen Sie für einen öffentlichen Endpunkt (wenn Sie im vorherigen Schritt eine Elastic IP-Adresse zugewiesen haben) den folgenden Befehl aus und ersetzen Sie dabei Ihre Server-ID und Region.

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • Wenn Sie eine Verbindung innerhalb Ihres herstellenVPC, suchen Sie nach dem privaten DNS Namen Ihres VPC Endpunkts, indem Sie die folgenden Befehle ausführen.

     aws transfer describe-server --server-id s-your-server-id

     Dieser describe-server Befehl gibt Ihre VPC Endpunkt-ID im VpcEndpointId Parameter zurück. Verwenden Sie diesen Wert, um den folgenden Befehl auszuführen.

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     Dieser describe-vpc-endpoints Befehl gibt ein DNSEntries Array mit mehreren DnsName Parametern zurück. Verwenden Sie im folgenden Befehl den regionalen DNS Namen (den Namen, der die Availability Zone nicht enthält).

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     Der folgende Befehl zeigt beispielsweise Beispielwerte für die Platzhalter im vorherigen Befehl.

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. (Optional) Konfigurieren Sie eine Protokollierungsrolle. Transfer Family protokolliert den Status der gesendeten und empfangenen Nachrichten in einem strukturierten JSON Format in CloudWatch Amazon-Protokollen. Um Transfer Family Zugriff auf die CloudWatch Protokolle in Ihrem Konto zu gewähren, müssen Sie eine Protokollierungsrolle auf Ihrem Server konfigurieren.

   Erstellen Sie eine Rolle AWS Identity and Access Management (IAM), die vertrauttransfer.amazonaws.com, und fügen Sie die AWSTransferLoggingAccess verwaltete Richtlinie hinzu. Details hierzu finden Sie unter Erstellen Sie eine IAM Rolle und eine Richtlinie. Notieren Sie sich den Amazon-Ressourcennamen (ARN) der IAM Rolle, die Sie gerade erstellt haben, und verknüpfen Sie ihn mit dem Server, indem Sie den folgenden update-server Befehl ausführen:

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   Anmerkung

   Auch wenn die Logging-Rolle optional ist, empfehlen wir dringend, sie so einzurichten, dass Sie den Status Ihrer Nachrichten einsehen und Konfigurationsprobleme beheben können.