View a markdown version of this page

Gérer les certificats AS2 - AWS Transfer Family
Importer des certificats AS2Rotation des certificats AS2

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gérer les certificats AS2

Cette rubrique explique comment importer et gérer des certificats AS2. L'importation de certificats constitue la première étape du processus AS2 pour Transfer Family.

  1. Importer des certificats

  2. Création de profils AS2

  3. Création d'un serveur AS2

  4. Création d'un accord AS2

  5. Configuration des connecteurs AS2

Importer des certificats AS2

Le processus Transfer Family AS2 utilise des clés de certificat pour le chiffrement et la signature des informations transférées. Les partenaires peuvent utiliser la même clé aux deux fins, ou utiliser une clé distincte pour chacune d'elles. Si vous disposez de clés de chiffrement communes conservées sous séquestre par un tiers de confiance afin que les données puissent être déchiffrées en cas de sinistre ou de faille de sécurité, nous vous recommandons de disposer de clés de signature distinctes. En utilisant des clés de signature distinctes (que vous ne stockez pas), vous ne compromettez pas les fonctionnalités de non-répudiation de vos signatures numériques.

Note

La longueur de clé des certificats AS2 doit être d'au moins 2 048 bits et d'au plus 4 096 bits.

Les points suivants détaillent la manière dont les certificats AS2 sont utilisés au cours du processus.

  • AS2 entrant

    • Le partenaire commercial envoie sa clé publique pour le certificat de signature, et cette clé est importée dans le profil du partenaire.

    • La partie locale envoie la clé publique pour ses certificats de chiffrement et de signature. Le partenaire importe ensuite la ou les clés privées. La partie locale peut envoyer des clés de certificat distinctes pour la signature et le cryptage, ou peut choisir d'utiliser la même clé dans les deux cas.

  • AS2 sortant

    • Le partenaire envoie la clé publique pour son certificat de chiffrement, et cette clé est importée dans le profil du partenaire.

    • La partie locale envoie la clé publique du certificat à signer et importe la clé privée du certificat à signer.

    • Si vous utilisez le protocole HTTPS, vous pouvez importer un certificat TLS (Transport Layer Security) autosigné.

Pour plus d'informations sur la création de certificats, consultezÉtape 1 : Création de certificats pour AS2.

Cette procédure explique comment importer des certificats à l'aide de la console Transfer Family. Si vous souhaitez utiliser le à la AWS CLI place, consultezÉtape 2 : Importer des certificats en tant que ressources de certificats de la famille de transfert.

Pour spécifier un AS2-enabled certificat

  1. Ouvrez la AWS Transfer Family console à l'adresse https://console.aws.amazon.com/transfer/.

  2. Dans le volet de navigation de gauche, sous AS2 Trading Partners, sélectionnez Certificates.

  3. Sélectionnez Importer un certificat.

  4. Dans la section Configuration du certificat, pour Description du certificat, entrez un nom facilement identifiable pour le certificat. Assurez-vous de pouvoir identifier l'objectif du certificat grâce à sa description. Choisissez également le rôle du certificat.

  5. Dans la section Utilisation du certificat, choisissez l'objectif de ce certificat. Il peut être utilisé pour le chiffrement, la signature ou les deux.

    Conseil : Si vous choisissez Chiffrement et signature pour l'utilisation, Transfer Family crée deux certificats identiques (chacun ayant son propre identifiant) : l'un avec une valeur d'utilisation de ENCRYPTION et l'autre avec une valeur d'utilisation deSIGNING.

  6. Dans la section Contenu du certificat, indiquez un certificat public d'un partenaire commercial ou les clés publique et privée d'un certificat local.

    Remplissez la section Contenu du certificat avec les informations appropriées.

    • Si vous choisissez le Self-signed certificat, vous ne fournissez pas la chaîne de certificats.

    • Collez le texte du certificat et sa chaîne dans le champ Certificat et chaîne de certificats.

    • S'il s'agit d'un certificat local, collez sa clé privée.

  7. Choisissez Importer un certificat pour terminer le processus et enregistrer les informations relatives au certificat importé.

Note

Les certificats TLS ne peuvent être importés qu'en tant que certificat public d'un partenaire. Si vous sélectionnez Certificat public d'un partenaire, puis que vous sélectionnez Transport Layer Security (TLS) pour l'utilisation, vous recevez un avertissement. De plus, les certificats TLS doivent être auto-signés (c'est-à-dire que vous devez sélectionner Certificat auto-signé pour importer un certificat TLS).

Rotation des certificats AS2

Souvent, les certificats sont valides pour une période de six mois à un an. Vous avez peut-être configuré des profils que vous souhaitez conserver plus longtemps. Pour faciliter cela, Transfer Family propose une rotation des certificats. Vous pouvez spécifier plusieurs certificats pour un profil, ce qui vous permet de continuer à utiliser le profil pendant plusieurs années. Transfer Family utilise des certificats pour la signature (facultatif) et le cryptage (obligatoire). Vous pouvez spécifier un seul certificat pour les deux objectifs, si vous le souhaitez.

La rotation des certificats est le processus qui consiste à remplacer un ancien certificat expirant par un certificat plus récent. La transition est progressive afin d'éviter de perturber les transferts lorsqu'un partenaire du contrat n'a pas encore configuré de nouveau certificat pour les transferts sortants ou pourrait envoyer des charges utiles signées ou cryptées avec un ancien certificat alors qu'un nouveau certificat peut également être utilisé. La période intermédiaire pendant laquelle les anciens et les nouveaux certificats sont valides est appelée période de grâce.

X.509 les certificats ont Not Before et sont Not After datés. Cependant, il se peut que ces paramètres ne fournissent pas un contrôle suffisant aux administrateurs. Transfer Family fournit Active Date des Inactive Date paramètres permettant de contrôler quel certificat est utilisé pour les charges utiles sortantes et lequel est accepté pour les charges utiles entrantes.

Surveillance de l'expiration des certificats

Transfer Family publie une CloudWatch métrique Amazon DaysUntilExpiry après avoir importé un certificat. La métrique émet le nombre de jours entre la date actuelle et la date spécifiée InactiveDate sur le certificat. La métrique se trouve dans l'Transfer AWS espace de noms du tableau de bord des CloudWatch métriques.

Cette métrique aura toujours une dimension métrique CertificateId et inclura éventuellement une dimension Description si le client la fournit sur le certificat. Pour plus d'informations sur les dimensions CloudWatch métriques, consultez la section Dimension dans la référence de l'CloudWatch API.

Note

L'émission de cette métrique sur le compte client peut prendre jusqu'à une journée complète après l'importation d'un certificat pour Transfer Family.

Vous pouvez utiliser cette métrique pour créer des CloudWatch alarmes qui vous avertissent lorsque les certificats approchent de leur expiration.

La sélection des certificats sortants utilise la valeur maximale antérieure à la date du transfert en tant Inactive Date que. Les processus entrants acceptent les certificats compris entre Not Before Not After et Active Date etInactive Date.

Exemple de rotation de certificats

Le tableau suivant décrit une méthode possible pour configurer deux certificats pour un profil unique.

Deux certificats en rotation
Nom NOT BEFORE(contrôlé par l'autorité de certification) ACTIVE DATE(défini par Transfer Family) INACTIVE DATE(défini par Transfer Family) NOT AFTER(défini par l'autorité de certification)
Cert1 (ancien certificat) 01/11/2019 01/01/2020 31/12/2020 01/01/2024
Cert2 (certificat plus récent) 2020-11-01 01/06/2020 01/06/2021 01/01/2025

Notez ce qui suit :

  • Lorsque vous spécifiez un Active Date et Inactive Date pour un certificat, la plage doit se situer dans la plage comprise entre Not Before etNot After.

  • Nous vous recommandons de configurer plusieurs certificats pour chaque profil, en vous assurant que la plage de dates actives pour tous les certificats combinés couvre la durée pendant laquelle vous souhaitez utiliser le profil.

  • Nous vous recommandons de spécifier un certain délai de grâce entre le moment où votre ancien certificat devient inactif et le moment où votre nouveau certificat devient actif. Dans l'exemple précédent, le premier certificat ne devient inactif que le 31 décembre 2020, tandis que le second certificat devient actif le 01/06/2020, offrant une période de grâce de 6 mois. Pendant la période allant du 01/06/2020 au 31/12/2020, les deux certificats sont actifs.