設定AS2組態

1. 為自己和交易合作夥伴建立憑證。如果您有可使用的現有憑證，可以略過本節。

   此程序會在 中說明步驟 1：為 建立憑證 AS2。

2. 建立使用AS2通訊協定的 AWS Transfer Family 伺服器。或者，您可以將彈性 IP 地址新增至伺服器，使其面向網際網路。

   此程序會在 中說明步驟 2：建立使用AS2通訊協定的 Transfer Family 伺服器。

   注意

   您必須建立 Transfer Family 伺服器才能進行傳入傳輸。如果您只執行傳出傳輸，則不需要 Transfer Family 伺服器。

3. 匯入您在步驟 1 中建立的憑證。

   此程序會在 中說明步驟 3：將憑證匯入為 Transfer Family 憑證資源。

4. 若要設定您的交易合作夥伴，請建立本機設定檔和合作夥伴設定檔。

   此程序會在 中說明步驟 4：為您和交易合作夥伴建立設定檔。

5. 建立您與您的交易合作夥伴之間的協議。

   此程序會在 中說明步驟 5：建立您與合作夥伴之間的協議。

   注意

   您必須建立僅限傳入傳輸的協議。如果您只執行傳出傳輸，則不需要協議。

6. 在您和您的交易合作夥伴之間建立連接器。

   此程序會在 中說明步驟 6：在您與您的合作夥伴之間建立連接器。

   注意

   您必須建立僅限傳出傳輸的連接器。如果您只執行傳入傳輸，則不需要連接器。

7. 測試AS2檔案交換。

   此程序會在 中說明步驟 7：AS2使用 Transfer Family 測試交換檔案。

若要產生範例憑證

1. 執行下列命令，以產生具有 2048 位元長模數的RSA私有金鑰。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 執行下列命令，使用 root-ca-key.pem 檔案建立自我簽署憑證。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj 引數包含下列值。

   	名稱	描述
   C	國家代碼	組織所在國的雙字母代碼。
   ST	狀態、區域或省份	組織所在的州、區域或省。（在此情況下，區域不會參考您的 AWS 區域。）
   L	Locality name (地區名稱)	組織所在的城市。
   O	組織名稱	組織的完整法定名稱，包括字尾，例如 LLC、Corp 等。
   OU	組織單位名稱	您組織中處理此憑證的部門。
   CN	一般名稱或完整網域名稱 （FQDN）	在此情況下，我們正在建立根憑證，因此值為 ROOTCA。在這些範例中，我們使用 CN 來描述憑證的目的。

3. 為您的本機設定檔建立簽署金鑰和加密金鑰。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些啟用 AS2的伺服器，例如 Open AS2，會要求您使用相同的憑證來簽署和加密。在此情況下，您可以匯入相同的私有金鑰和憑證，以達成這兩個目的。若要執行此命令，請執行此命令，而非先前的兩個命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 執行下列命令，為要簽署的根金鑰建立憑證簽署請求 （CSRs）。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下來，您必須建立 signing-cert.conf 檔案和 encryption-cert.conf 檔案。

   • 使用文字編輯器建立具有下列內容signing-cert.conf的檔案：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文字編輯器建立具有下列內容encryption-cert.conf的檔案：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最後，您可以執行下列命令來建立簽署的憑證。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

若要建立AS2已啟用 的伺服器

1. 執行下列命令。將每個 user input placeholder 替換成您自己的資訊。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （選用） 您可以公開VPC端點。您只能透過 update-server操作將彈性 IP 地址連接至 Transfer Family 伺服器。下列命令會停止伺服器、使用彈性 IP 地址進行更新，然後再次啟動。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   此start-server命令會自動為您建立包含伺服器公有 IP 地址DNS的記錄。若要讓您的交易合作夥伴存取伺服器，您需要提供他們下列資訊。在此情況下， your-region會參考您的 AWS 區域。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   URL 您提供給交易合作夥伴的完整內容如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 若要測試AS2已啟用 的伺服器是否可以存取，請使用下列命令。請確定您的伺服器可以透過VPC端點的私有DNS地址或透過公有端點存取 （如果您將彈性 IP 地址與端點建立關聯）。

   如果您的伺服器設定正確，連線將會成功。不過，由於您未傳送有效AS2訊息，因此會收到HTTP狀態碼 400 （錯誤請求） 回應。

   • 對於公有端點 （如果您在上一個步驟中與彈性 IP 地址相關聯），請執行下列命令，以取代您的伺服器 ID 和區域。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您要在 中連線VPC，請執行下列命令來查詢VPC端點的私有DNS名稱。

     aws transfer describe-server --server-id s-your-server-id

     此describe-server命令會在 VpcEndpointId 參數中傳回您的VPC端點 ID。使用此值來執行下列命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     此describe-vpc-endpoints命令會傳回具有數個DnsName參數的DNSEntries陣列。在下列命令中使用區域DNS名稱 （不包含可用區域的名稱）。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，下列命令顯示上一個命令中預留位置的範例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. （選用） 設定記錄角色。Transfer Family 會將以結構化JSON格式傳送和接收的訊息狀態記錄到 Amazon CloudWatch 日誌。若要提供 Transfer Family 存取您帳戶中的 CloudWatch 日誌，您必須在伺服器上設定記錄角色。

   建立信任 的 AWS Identity and Access Management （IAM） 角色transfer.amazonaws.com，並連接 AWSTransferLoggingAccess 受管政策。如需詳細資訊，請參閱 建立IAM角色和政策。請注意您剛建立之IAM角色的 Amazon Resource Name （ARN），並執行下列update-server命令將其與伺服器建立關聯：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   即使記錄角色是選用的，我們強烈建議進行設定，以便您可以查看訊息的狀態並對組態問題進行疑難排解。