Configurazione di una configurazione AS2

Questo tutorial illustra come impostare una configurazione dell'Applicability Statement 2 (AS2) con. AWS Transfer Family Dopo aver completato i passaggi descritti qui, avrai un AS2-enabled server pronto ad accettare messaggi AS2 da un partner commerciale di esempio. Avrai anche un connettore che può essere utilizzato per inviare messaggi AS2 al partner commerciale di esempio.

Dopo aver completato questi passaggi, puoi effettuare le seguenti operazioni:

Passaggio 1: creazione di certificati per AS2

Entrambe le parti coinvolte in un exchange AS2 necessitano di X.509 certificati. Puoi creare questi certificati nel modo che preferisci. Questo argomento descrive come utilizzare OpenSSL dalla riga di comando per creare un certificato radice e quindi firmare certificati subordinati. Entrambe le parti devono generare i propri certificati.

Per trasferire file con un partner, prendi nota di quanto segue:

Fase 2: Importa i certificati come risorse per i certificati Transfer Family

Questa procedura spiega come importare i certificati utilizzando il AWS CLI. Se invece desideri utilizzare la console Transfer Family, consultaImportazione di certificati AS2.

Per importare i certificati di firma e crittografia creati nel passaggio 1, esegui i seguenti import-certificate comandi. Se utilizzi lo stesso certificato per la crittografia e la firma, importa lo stesso certificato due volte (una volta con l'SIGNINGutilizzo e di nuovo con l'ENCRYPTIONuso).

aws transfer import-certificate --usage ENCRYPTION --certificate file://combined-cert-and-chain-file.pem

aws transfer import-certificate --usage SIGNING --certificate file://signing-cert.pem \
            --private-key file://signing-key.pem --certificate-chain file://root-ca.pem

Questo comando restituisce la tua firma. CertificateId Nella sezione successiva, questo ID del certificato viene indicato comemy-signing-cert-id.

aws transfer import-certificate --usage ENCRYPTION --certificate file://encryption-cert.pem \
            --private-key file://encryption-key.pem --certificate-chain file://root-ca.pem

Questo comando restituisce la crittografiaCertificateId. Nella sezione successiva, questo ID del certificato viene indicato comemy-encrypt-cert-id.

Quindi, importa i certificati di crittografia e firma del tuo partner eseguendo i seguenti comandi.

aws transfer import-certificate --usage ENCRYPTION --certificate file://partner-encryption-cert.pem \
--certificate-chain file://partner-root-ca.pem

Questo comando restituisce la crittografia del partnerCertificateId. Nella sezione successiva, questo ID del certificato viene indicato comepartner-encrypt-cert-id.

aws transfer import-certificate --usage SIGNING --certificate file://partner-signing-cert.pem \
--certificate-chain file://partner-root-ca.pem

Questo comando restituisce la firma del partnerCertificateId. Nella sezione successiva, questo ID del certificato viene indicato comepartner-signing-cert-id.

Fase 3: Crea profili per te e il tuo partner commerciale

Questa procedura spiega come creare profili AS2 utilizzando AWS CLI. Se invece desideri utilizzare la console Transfer Family, consulta.

Crea il tuo profilo AS2 locale eseguendo il comando seguente. Questo comando fa riferimento ai certificati che contengono le tue chiavi pubbliche e private.

aws transfer create-profile --as2-id MYCORP --profile-type LOCAL --certificate-ids \
my-signing-cert-id my-encrypt-cert-id

Questo comando restituisce l'ID del profilo. Nella sezione successiva, questo ID viene indicato comemy-profile-id.

Ora crea il profilo del partner eseguendo il seguente comando. Questo comando utilizza solo i certificati a chiave pubblica del partner. Per utilizzare questo comando, sostituiscilo user input placeholders con le tue informazioni, ad esempio il nome AS2 e gli ID dei certificati del tuo partner.

aws transfer create-profile --as2-id PARTNER-COMPANY --profile-type PARTNER --certificate-ids \
partner-signing-cert-id partner-encrypt-cert-id

Questo comando restituisce l'ID del profilo del partner. Nella sezione successiva, questo ID viene indicato comepartner-profile-id.

Fase 4: Create un server Transfer Family che utilizzi il protocollo AS2

Questa procedura spiega come creare un AS2-enabled server utilizzando Transfer Family AWS CLI.

Se invece desideri utilizzare la console, consultaCreate un server AS2 utilizzando la console Transfer Family.

Analogamente a come si crea un AWS Transfer Family server SFTP o FTPS, si crea un AS2-enabled server utilizzando il --protocols AS2 parametro del create-server AWS CLI comando. Attualmente, Transfer Family supporta solo i tipi di endpoint VPC e lo storage Amazon S3 con il protocollo AS2.

Quando crei il tuo AS2-enabled server per Transfer Family utilizzando il create-server comando, viene creato automaticamente un endpoint VPC per te. Questo endpoint espone la porta TCP 5080 in modo che possa accettare messaggi AS2.

Se desideri esporre il tuo endpoint VPC pubblicamente a Internet, puoi associare gli indirizzi IP elastici al tuo endpoint VPC.

Per utilizzare queste istruzioni, è necessario quanto segue:

Passaggio 5: crea un accordo tra te e il tuo partner

Questa procedura spiega come creare accordi AS2 utilizzando il AWS CLI. Se invece desideri utilizzare la console Transfer Family, consultaCreare un accordo AS2.

Gli accordi riuniscono i due profili (locale e partner), i relativi certificati e una configurazione del server che consente i trasferimenti AS2 in entrata tra due parti. Puoi elencare i tuoi articoli eseguendo i seguenti comandi.

aws transfer list-profiles --profile-type LOCAL
aws transfer list-profiles --profile-type PARTNER
aws transfer list-servers

Questo passaggio richiede un bucket Amazon S3 e un ruolo IAM con read/write accesso da e verso il bucket. Le istruzioni per creare questo ruolo sono le stesse dei protocolli SFTP, FTP e FTPS di Transfer Family e sono disponibili in. Crea un ruolo e una policy IAM

Per creare un accordo, sono necessari i seguenti elementi:

Salva il codice seguente in un file, ad esempio,agreementDetails.json. Sostituisci ogni user input placeholder con le tue informazioni.

{
    "Description": "ExampleAgreementName",
    "ServerId": "your-server-id",
    "LocalProfileId": "your-profile-id",
    "PartnerProfileId": "your-partner-profile-id",
    "AccessRole": "arn:aws:iam::111111111111:role/TransferAS2AccessRole",
    "Status": "ACTIVE",    
    "PreserveFilename": "ENABLED",
    "EnforceMessageSigning": "ENABLED",
    "CustomDirectories": {
        "FailedFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-failed",
        "MdnFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-mdn",
        "PayloadFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-payload",
        "StatusFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-status",
        "TemporaryFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-temp"
    }
}

Quindi, eseguire il comando riportato di seguito.

aws transfer create-agreement --cli-input-json file://agreementDetails.json

In caso di successo, questo comando restituisce l'ID dell'accordo. È quindi possibile visualizzare i dettagli dell'accordo con il comando seguente.

aws transfer describe-agreement --agreement-id agreement-id --server-id your-server-id

Passaggio 6: crea un connettore tra te e il tuo partner

Questa procedura spiega come creare connettori AS2 utilizzando. AWS CLI Se invece desideri utilizzare la console Transfer Family, consulta.

Puoi utilizzare l'operazione StartFileTransfer API per inviare file archiviati in Amazon S3 all'endpoint AS2 del tuo partner commerciale utilizzando un connettore. Puoi trovare i profili che hai creato in precedenza eseguendo il seguente comando.

aws transfer list-profiles

Quando si crea il connettore, è necessario fornire l'URL del server AS2 del partner. Copia il testo seguente in un file denominatotestAS2Config.json.

{
"Compression": "ZLIB",
"EncryptionAlgorithm": "AES256_CBC",
"LocalProfileId": "your-profile-id",
"MdnResponse": "SYNC",
"MdnSigningAlgorithm": "DEFAULT",
"MessageSubject": "Your Message Subject",
"PartnerProfileId": "partner-profile-id",
"PreserveContentType": "FALSE",
"SigningAlgorithm": "SHA256"
}

Quindi esegui il comando seguente per creare il connettore.

aws transfer create-connector --url "http://partner-as2-server-url" \
--access-role your-IAM-role-for-bucket-access \
--logging-role arn:aws:iam::your-account-id:role/service-role/AWSTransferLoggingAccess \
--as2-config file:///path/to/testAS2Config.json

Passo 7: Prova lo scambio di file su AS2 utilizzando Transfer Family

Ricevi un file dal tuo partner commerciale

Se hai associato un indirizzo IP elastico pubblico al tuo endpoint VPC, Transfer Family ha creato automaticamente un nome DNS che contiene il tuo indirizzo IP pubblico. Il sottodominio è l'ID AWS Transfer Family del tuo server (nel formato). s-1234567890abcdef0 Fornisci l'URL del tuo server al tuo partner commerciale nel seguente formato.

http://s-1234567890abcdef0.server.transfer.us-east-1.amazonaws.com:5080

Se non hai associato un indirizzo IP elastico pubblico al tuo endpoint VPC, cerca il nome host dell'endpoint VPC che può accettare messaggi AS2 su HTTP POST dai tuoi partner commerciali sulla porta 5080. Per recuperare i dettagli dell'endpoint VPC, usa il seguente comando.

aws transfer describe-server --server-id s-1234567890abcdef0

Ad esempio, supponiamo che il comando precedente restituisca un ID endpoint VPC pari a. vpce-1234abcd5678efghi Quindi, dovresti usare il seguente comando per recuperare i nomi DNS.

aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-1234abcd5678efghi

Questo comando restituisce tutti i dettagli per l'endpoint VPC di cui hai bisogno per eseguire il seguente comando.

Il nome DNS è elencato nell'array. DnsEntries Il tuo partner commerciale deve essere all'interno del tuo VPC per accedere al tuo endpoint VPC (ad esempio tramite AWS PrivateLink una VPN). Fornisci l'URL del tuo endpoint VPC al tuo partner nel seguente formato.

http://vpce-your-vpce-id.vpce-svc-your-vpce-svc-id.your-region.vpce.amazonaws.com:5080

Ad esempio, il seguente URL mostra valori di esempio per i segnaposto nei comandi precedenti.

http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

In questo esempio, i trasferimenti riusciti vengono archiviati nella posizione specificata nel base-directory parametro specificato in. Passaggio 5: crea un accordo tra te e il tuo partner Se riceviamo con successo i file denominati myfile1.txt emyfile2.txt, i file vengono archiviati come/path-defined-in-the-agreement/processed/original_filename.messageId.original_extension. Qui, i file vengono archiviati come /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile1.messageId.txt e/amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile2.messageId.txt.

Se hai configurato un ruolo di registrazione durante la creazione del server Transfer Family, puoi anche controllare CloudWatch nei log lo stato dei messaggi AS2.

Inviate un file al vostro partner commerciale

È possibile utilizzare Transfer Family per inviare messaggi AS2 facendo riferimento all'ID del connettore e ai percorsi dei file, come illustrato nel seguente comando start-file-transfer AWS Command Line Interface ()AWS CLI:

aws transfer start-file-transfer --connector-id c-1234567890abcdef0 \
--send-file-paths "/amzn-s3-demo-source-bucket/myfile1.txt" "/amzn-s3-demo-source-bucket/myfile2.txt"

Per ottenere i dettagli dei connettori, esegui il comando seguente:

aws transfer list-connectors

Il list-connectors comando restituisce gli ID dei connettori, gli URL e gli Amazon Resource Names (ARN) per i connettori.

Per restituire le proprietà di un particolare connettore, esegui il comando seguente con l'ID che desideri utilizzare:

aws transfer describe-connector --connector-id your-connector-id

Il describe-connector comando restituisce tutte le proprietà del connettore, inclusi URL, ruoli, profili, Message Disposition Notices (mDNS), tag e metriche di monitoraggio.

È possibile confermare che il partner ha ricevuto correttamente i file visualizzando i file JSON e MDN. Questi file sono denominati in base alle convenzioni descritte in. Se hai configurato un ruolo di registrazione durante la creazione del connettore, puoi anche controllare CloudWatch nei log lo stato dei messaggi AS2.