AS2 設定の設定

1. 自分用と取引相手用の証明書を作成します。使用できる既存の証明書がある場合は、このセクションをスキップできます。

   このプロセスは、「ステップ 1: の証明書を作成する AS2」で説明されています。

2. AS2 プロトコルを使用する AWS Transfer Family サーバーを作成します。オプションで、サーバーに Elastic IP アドレスを追加してインターネットに接続できるようにすることもできます。

   このプロセスは、「ステップ 2: AS2プロトコルを使用する Transfer Family サーバーを作成する」で説明されています。

   注記

   Transfer Family サーバーは、インバウンド転送専用に作成する必要があります。アウトバウンド転送のみを行う場合は、Transfer Family サーバーは必要ありません。

3. ステップ 1 で作成した証明書をインポートします。

   このプロセスは、「ステップ 3: 証明書を Transfer Family 証明書リソースとしてインポートする」で説明されています。

4. 取引相手を設定するには、ローカルプロファイルとパートナープロファイルを作成します。

   このプロセスは、「ステップ 4: 自分と取引相手のプロフィールを作成する」で説明されています。

5. 自分と取引相手との間で契約を作成してください。

   このプロセスは、「ステップ 5: 自分とパートナーとの間で契約を作成する」で説明されています。

   注記

   契約を作成する必要があるのはインバウンド転送の場合のみです。アウトバウンド転送のみを行う場合は、契約は必要ありません。

6. 自分と取引相手との間でコネクタを作成してください。

   このプロセスは、「ステップ 6: 自分とパートナーとの間でコネクタを作成する」で説明されています。

   注記

   コネクタはアウトバウンド転送専用に作成する必要があります。インバウンド転送のみを行う場合は、コネクタは必要ありません。

7. AS2 ファイル交換をテストします。

   このプロセスは、「ステップ 7: Transfer Family を使用してファイル交換AS2をテストする」で説明されています。

証明書の例を生成するには

1. 次のコマンドを実行して、2048 ビット長のモジュラスを持つRSAプライベートキーを生成します。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 次のコマンドを実行して、root-ca-key.pem ファイルを使用して自己署名証明書を作成します。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj 引数は、次の値で構成されます。

   	名前	説明
   C	国コード	組織が所在する国を表す 2 文字のコード。
   ST	州、地域、または都道府県	あなたが所属する組織の所在地の州または県。(この場合、リージョンは AWS リージョンを参照しません。)
   L	市区町村	あなたが所属する組織の所在地の市区町村。
   O	[Organization name] (組織名)	LLC、Corp などのサフィックスを含む組織の正式名。
   OU	部門名	この証明書を扱う組織内の部門。
   CN	共通名または完全修飾ドメイン名 (FQDN）	このケースでは、ルート証明書を作成するので、値は ROOTCA です。これらの例では、CN を使用して証明書の目的を説明しています。

3. ローカルプロファイル用の署名キーと暗号化キーを作成します。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注記

   Open などの一部の AS2対応サーバーではAS2、署名と暗号化の両方に同じ証明書を使用する必要があります。この場合、両方の目的で同じプライベートキーと証明書をインポートできます。そのためには、前の 2 つのコマンドの代わりに次のコマンドを実行します。

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 次のコマンドを実行して、署名するルートキーの Certificate Signing Requests (CSRs) を作成します。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 次に、signing-cert.conf ファイルと encryption-cert.conf ファイルを作成する必要があります。

   • テキストエディタを使用して、signing-cert.conf ファイルを作成し、次の内容を記述します。

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • テキストエディタを使用して、encryption-cert.conf ファイルを作成し、次の内容を記述します。

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最後に、以下のコマンドを実行して署名付き証明書を作成します。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

AS2対応サーバーを作成するには

1. 以下のコマンドを実行します。user input placeholder を、ユーザー自身の情報に置き換えます。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （オプション) VPCエンドポイントを公開できます。Elastic IP アドレスは、update-server オペレーションを通じてのみ Transfer Family サーバーにアタッチできます。以下のコマンドはサーバーを停止し、Elastic IP アドレスで更新してから再起動します。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   このstart-serverコマンドは、サーバーのパブリック IP アドレスを含むDNSレコードを自動的に作成します。取引相手にサーバーへのアクセスを許可するには、次の情報を提供します。この場合、your-region は AWS リージョンのことを指します。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   取引相手URLに提供する のは、次のとおりです。

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. AS2が有効なサーバーにアクセスできるかどうかをテストするには、次のコマンドを使用します。VPC エンドポイントのプライベートDNSアドレスまたはパブリックエンドポイント (Elastic IP アドレスをエンドポイントに関連付ける場合) からサーバーにアクセスできることを確認してください。

   サーバーが正しく設定されていれば、接続は成功します。ただし、有効なAS2メッセージを送信していないため、HTTPステータスコード 400 (Bad Request) レスポンスを受け取ります。

   • パブリックエンドポイント (前のステップで Elastic IP アドレスを関連付けた場合) では、サーバー ID とリージョンを代入して以下のコマンドを実行します。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 内で接続する場合はVPC、次のコマンドを実行してVPCエンドポイントのプライベートDNS名を検索します。

     aws transfer describe-server --server-id s-your-server-id

     このdescribe-serverコマンドは、 VpcEndpointIdパラメータでVPCエンドポイント ID を返します。次のコマンドを実行するには、この値を使用します。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     describe-vpc-endpoints コマンドは、複数の DnsName パラメータを含む DNSEntries 配列を返します。次のコマンドでリージョンDNS名 (アベイラビリティーゾーンを含まない名前) を使用します。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例えば、次のコマンドでは、前のコマンドのプレースホルダーのサンプル値が表示されます。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. (オプション) ロギングロールを設定します。Transfer Family は、構造化されたJSON形式で送受信されたメッセージのステータスを Amazon CloudWatch ログに記録します。Transfer Family にアカウントの CloudWatch ログへのアクセスを許可するには、サーバーでログ記録ロールを設定する必要があります。

   を信頼する AWS Identity and Access Management （IAM) ロールを作成しtransfer.amazonaws.com、 AWSTransferLoggingAccess マネージドポリシーをアタッチします。詳細については、「IAM ロールとポリシーを作成する」を参照してください。作成したIAMロールの Amazon リソースネーム (ARN) を書き留め、次のupdate-serverコマンドを実行してサーバーに関連付けます。

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注記

   ログ記録ロールはオプションですが、メッセージのステータスを確認したり、設定上の問題をトラブルシューティングしたりできるように設定することを強くお勧めします。