设置AS2配置

1. 为自己和您的交易伙伴创建证书。如果您拥有可以使用的现有证书，则可跳过此部分。

   步骤 1：为创建证书 AS2 中介绍了此过程。

2. 创建使用该AS2协议的 AWS Transfer Family 服务器。或者，您可以向服务器添加弹性 IP 地址，使其面向互联网。

   步骤 2：创建使用该AS2协议的 Transfer Family 服务器 中介绍了此过程。

   注意

   您必须仅为入站传输创建 Transfer Family 服务器。如果您只执行出站传输，则不需要 Transfer Family 服务器。

3. 导入已在第 1 步中创建的证书。

   第 3 步：将证书作为 Transfer Family 证书资源导入 中介绍了此过程。

4. 要设置您的交易伙伴，请创建本地配置文件和合作伙伴配置文件。

   第 4 步：为您和您的交易伙伴创建配置文件 中介绍了此过程。

5. 在您和您的交易伙伴之间创建协议。

   第 5 步：创建您与合作伙伴之间的协议 中介绍了此过程。

   注意

   您必须仅为入站传输创建协议。如果您只执行出站传输，则无需协议。

6. 在您和您的交易伙伴之间创建连接器。

   第 6 步：创建您与合作伙伴之间的连接器 中介绍了此过程。

   注意

   您必须仅为出站传输创建连接器。如果您仅执行入站传输，则不需要连接器。

7. 测试AS2文件交换。

   第 7 步：使用 Transfer Famil AS2 y 测试文件交换情况 中介绍了此过程。

生成示例证书

1. 运行以下命令生成模数为 2048 位的RSA私钥。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 运行以下命令以使用您的 root-ca-key.pem 文件创建自签名证书。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj 参数由以下值组成。

   	名称	描述
   C	国家/地区代码	由两个字母组成的代码，代表您的组织所在的国家/地区。
   ST	州、地区或省	组织所在的州、地区或省。（在本例中，区域不是指您的 AWS 区域。）
   L	所在地名称	组织所在的城市。
   O	组织名称	贵组织的法定完整名称，包括后缀LLC，例如 Corp 等。
   OU	组织部门名称	您组织中负责处理此证书的部门。
   CN	常用名或完全限定域名 (FQDN)	在这种情况下，我们将创建一个根证书，因此值为 ROOTCA。在这些示例中，我们使用 CN 来描述证书的用途。

3. 为您的本地配置文件创建签名密钥和加密密钥。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些AS2启用了 Open 的服务器（例如 Op AS2 en）要求您使用相同的证书进行签名和加密。在这种情况下，您可以为这两个目的导入相同的私钥和证书。为此，请运行以下命令而不是之前的两个命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 运行以下命令创建证书签名请求 (CSRs)，供根密钥签名。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下来，必须创建一个 signing-cert.conf 文件和一个 encryption-cert.conf 文件。

   • 使用文本编辑器创建包含以下内容的 signing-cert.conf 文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文本编辑器创建包含以下内容的 encryption-cert.conf 文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最后，您可以通过运行以下命令来创建签名证书。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

创建AS2启用了-的服务器

1. 运行以下命令。将每个 user input placeholder 替换为您自己的信息。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （可选）您可以将VPC终端节点设为公开。您只能通过 update-server 操作将弹性 IP 地址附加到 Transfer Family 服务器。以下命令停止服务器，使用弹性 IP 地址对其进行更新，然后重新启动服务器。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   此start-server命令会自动为您创建一条包含服务器公有 IP 地址的DNS记录。要让您的交易伙伴访问服务器，您需要向他们提供以下信息。在这种情况下，your-region 指的是您的 AWS 区域。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   您URL向贸易伙伴提供的完整信息如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 要测试AS2启用了您的服务器是否可以访问，请使用以下命令。确保可以通过VPC终端节点的私有DNS地址或公共终端节点（如果您将弹性 IP 地址与终端节点相关联）访问您的服务器。

   如果您的服务器配置正确，则连接将成功。但是，您将收到HTTP状态码 400（错误请求）响应，因为您没有发送有效的AS2消息。

   • 对于公共端点（如果您在上一步中关联了弹性 IP 地址），请运行以下命令，替换您的服务器 ID 和区域。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您在内部进行连接VPC，请运行以下命令来查找VPC终端节点的私有DNS名称。

     aws transfer describe-server --server-id s-your-server-id

     此describe-server命令在VpcEndpointId参数中返回您的VPC终端节点 ID。使用此值运行以下命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     此 describe-vpc-endpoints 命令返回一个包含多个 DnsName 参数的 DNSEntries 数组。在以下命令中使用区域DNS名称（不包括可用区的名称）。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，以下命令显示了上一个命令中占位符的示例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. （可选）配置日志记录角色。Transfer Family 以结构化JSON格式将发送和接收的消息状态记录到亚马逊 CloudWatch 日志中。要让 Transfer Family 能够访问您账户中的 CloudWatch 日志，您必须在服务器上配置日志角色。

   创建信任transfer.amazonaws.com的 AWS Identity and Access Management (IAM) 角色并附加AWSTransferLoggingAccess托管策略。有关详细信息，请参阅创建IAM角色和策略。记下您刚刚创建的IAM角色的 Amazon 资源名称 (ARN)，然后通过运行以下update-server命令将其与服务器关联：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   尽管日志记录角色是可选的，但我们强烈建议您对其进行设置，以便您可以查看消息的状态并对配置问题进行故障排除。