設定 AS2 組態

1. 為您自己和交易夥伴建立憑證。如果您有可以使用的現有憑證，則可以略過本節。

   此程序會在中描述步驟 1：為 AS2 建立憑證。

2. 建立使用 AS2 通訊協定的 AWS Transfer Family 伺服器。或者，您可以將彈性 IP 地址添加到服務器以使其面向互聯網。

   此程序會在中描述步驟 2：建立使用 AS2 通訊協定的 Transfer Family 伺服器。

   注意

   您必須建立 Transfer Family 伺服器，只能用於輸入轉移作業。如果您只執行對外傳輸，則不需要 Transfer Family 伺服器。

3. 匯入您在步驟 1 中建立的憑證。

   此程序會在中描述步驟 3：將憑證匯入為 Transfer Family 憑證資源。

4. 若要設定您的交易夥伴，請建立當地個人檔案和合作夥伴個人檔案。

   此程序會在中描述步驟 4：為您和您的交易夥伴建立個人檔案。

5. 建立您與交易夥伴之間的協議。

   此程序會在中描述步驟 5：建立您與合作夥伴之間的協議。

   注意

   您必須僅針對入埠移轉建立協議。如果您只執行對外轉移，則不需要合約。

6. 在您與交易夥伴之間建立連接器。

   此程序會在中描述步驟 6：在您和合作夥伴之間建立連接器。

   注意

   您必須僅為輸出傳輸建立連接器。如果您只執行輸入傳輸，則不需要連接器。

7. 測試 AS2 檔案交換。

   此程序會在中描述第 7 步：使用 Transfer Family 列測試在 AS2 上交換文件。

若要產生範例憑證

1. 執行下列命令以產生具有 2048 位元長模數的 RSA 私密金鑰。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 執行下列命令，以使用您的root-ca-key.pem檔案建立自我簽署憑證。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   引-subj數由下列值組成。

   	名稱	描述
   C	國家代碼	組織所在國家/地區的兩個字母代碼。
   ST	州、地區或省	貴組織所在的州、地區或省。（在這種情況下，地區不是指您的 AWS 區域。）
   L	Locality name (地區名稱)	您的組織所在的城市。
   O	組織名稱	您組織的完整法定名稱，包括後綴，例如 LLC，Corp 等。
   OU	組織單位名稱	您組織中處理此憑證的部門。
   CN	一般名稱或完整網域名稱 (FQDN)	在這種情況下，我們正在創建一個根證書，所以值是ROOTCA。在這些例子中，我們使用CN來描述證書的目的。

3. 為您的本機設定檔建立簽署金鑰和加密金鑰。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些啟用 AS2 的伺服器 (例如 OpenAS2) 會要求您使用相同的憑證來進行簽署和加密。在這種情況下，您可以為這兩種目的導入相同的私鑰和證書。若要這麼做，請執行這個命令，而不是先前的兩個命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 執行下列命令，為要簽署的根金鑰建立憑證簽署要求 (CSR)。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下來，您必須創建一個signing-cert.conf文件和一個encryption-cert.conf文件。

   • 使用文字編輯器建立包含下列內容的signing-cert.conf檔案：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文字編輯器建立包含下列內容的encryption-cert.conf檔案：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最後，您可以執行下列命令來建立已簽署的憑證。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

若要建立已啟用 AS2 的伺服器

1. 執行下列命令。將每個 user input placeholder 替換成您自己的資訊。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. (選擇性) 您可以將 VPC 端點設為公用。您只能透過update-server作業將彈性 IP 位址附加至 Transfer Family 伺服器。下列命令會停止伺服器，使用彈性 IP 位址更新伺服器，然後再次啟動。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   此start-server命令會自動為您建立包含伺服器公用 IP 位址的 DNS 記錄。為了讓交易夥伴能夠存取伺服器，您必須向他們提供下列資訊。在這種情況下，your-region指的是您的 AWS 區域.

   s-your-server-id.server.transfer.your-region.amazonaws.com

   您提供給交易夥伴的完整網址如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 若要測試啟用 AS2 的伺服器是否可存取，請使用下列指令。確保您的伺服器可以透過 VPC 端點的私有 DNS 位址或透過公用端點存取 (如果您將彈性 IP 位址與端點相關聯) 存取。

   如果您的伺服器設定正確，連線就會成功。但是，您將收到 HTTP 狀態碼 400（錯誤請求）響應，因為您沒有發送有效的 AS2 消息。

   • 對於公共端點（如果您在上一步中關聯了彈性 IP 地址），請運行以下命令，替換您的服務器 ID 和 Region。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您要在 VPC 中進行連線，請執行下列命令來查找 VPC 端點的私人 DNS 名稱。

     aws transfer describe-server --server-id s-your-server-id

     此describe-server命令會在VpcEndpointId參數中傳回您的 VPC 端點識別碼。使用此值執行下列命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     這個describe-vpc-endpoints命令返回一個數DNSEntries組，有幾個DnsName參數。在下列命令中使用區域 DNS 名稱 (不包含可用區域的名稱)。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，下列指令展示前一個指令中預留位置的範例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. (選擇性) 設定記錄角色。Transfer Family 會將以結構化 JSON 格式傳送和接收的訊息狀態記錄到 Amazon CloudWatch 日誌。若要讓 Transfer Family 能夠存取您帳戶中的記 CloudWatch 錄，您必須在伺服器上設定記錄角色。

   建立信任的 AWS Identity and Access Management (IAM) 角色transfer.amazonaws.com，並附加受AWSTransferLoggingAccess管政策。如需詳細資訊，請參閱 建立 IAM 角色和政策。請記下您剛建立的 IAM 角色的 Amazon 資源名稱 (ARN)，並透過執行下列update-server命令將其與伺服器建立關聯：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   即使記錄角色是選用的，我們強烈建議您進行設定，以便您可以查看訊息的狀態並疑難排解組態問題。