为 AS2 启用您的服务器终端节点

1. 为自己和您的贸易伙伴创建证书。如果您有可以使用的现有证书，则可以跳过本节。

   有关此过程的说明，请参见步骤 1：为 AS2 创建证书。

2. 创建使用 AS2 协议的Amazon Transfer Family服务器。或者，您可以向服务器添加弹性 IP 地址，使其面向 Internet。

   有关此过程的说明，请参见步骤 2：创建使用 AS2 协议的Transfer Family 服务器。

3. 导入已在步骤 1 中创建的证书。

   有关此过程的说明，请参见步骤 3：将证书作为 Transfer Family 证书资源导入。

4. 创建本地资料和合作伙伴档案以设置您的贸易伙伴。

   有关此过程的说明，请参见第 4 步：为您和您的贸易伙伴创建个人资料。

5. 在您和您的贸易伙伴之间创建协议。

   有关此过程的说明，请参见第 5 步：创建您与合作伙伴之间的协议。

6. 在您和您的贸易伙伴之间创建连接器。

   有关此过程的说明，请参见第 6 步：创建您和伴侣之间的连接器。

7. 测试 AS2 文件交换。

   有关此过程的说明，请参见步骤 7：使用 Transfer Family 测试在 AS2 上交换文件。

生成示例证书

1. 运行以下命令以生成模数为 2048 位的 RSA 私有密钥。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 运行以下命令使用您的root-ca-key.pem文件创建自签名证书。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj参数包含以下值。

   	名称	描述
   C	国家/地区代码	由两个字母组成的代码，代表您的组织所在的国家。
   ST	州、地区或省	组织所在州、地区或省。（地区不是指您的Amazon Web Services 区域。）
   L	所在地名称	组织所在城市。
   O	组织名称	贵组织的法定全名，包括后缀，例如 LLC、Corp 等。
   OU	组织部门名称	贵组织中处理此证书的部门。
   CN	通用名称或完全限定域名 (FQDN)	在这种情况下，我们创建的是根证书，因此值为ROOTCA。在这些示例中，我们使用CN来描述证书的用途。

3. 为您的本地个人资料创建签名密钥和加密密钥。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些支持 AS2 的服务器（例如 OpenAS2）要求您使用相同的证书进行签名和加密。在这种情况下，您可以出于两种目的导入相同的私钥和证书。为此，请运行以下命令而不是之前的两个命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 运行以下命令为要签名的根密钥创建证书签名请求 (CSR)。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下来，必须创建一个signing-cert.conf文件和一个encryption-cert.conf文件。

   • 使用文本编辑器创建包含以下内容的signing-cert.conf文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文本编辑器创建包含以下内容的encryption-cert.conf文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最后，您可以通过运行以下命令来创建签名证书。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

创建启用 AS2 的服务器

1. 运行以下命令。将每个user input placeholder替换为您自己的信息。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （可选）您可以将 VPC 终端节点设为公用。您只能通过update-server操作将弹性 IP 地址连接到 Transfer Family 服务器。以下命令停止服务器，使用弹性 IP 地址对其进行更新，然后重新启动。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc                

   aws transfer start-server --server-id your-server-id

   此start-server命令会自动为您创建一个 DNS 记录，其中包含服务器的公有 IP 地址。要让您的贸易伙伴访问服务器，您需要向他们提供以下信息。在这种情况下，your-region指的是你的Amazon Web Services 区域。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   您提供给贸易伙伴的完整网址如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 使用以下命令测试启用了 AS2 的服务器是否可通过 VPC 终端节点的私有 DNS 地址或公用终端节点（如果您将弹性 IP 地址关联到您的终端节点）进行访问。

   如果您的服务器配置正确，连接将成功，但您将收到 HTTP 状态代码 400（错误请求）响应，因为您没有发送有效的 AS2 消息。

   • 对于公用终端节点（如果您在上一步中关联了弹性 IP 地址），请运行以下命令，替换您的服务器 ID 和区域。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您在 VPC 内进行连接，请运行以下命令查找 VPC 终端节点的私有 DNS 名称。

     aws transfer describe-server --server-id s-your-server-id

     此describe-server命令在VpcEndpointId参数中返回您的 VPC 终端节点 ID。使用此值可运行以下命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     此describe-vpc-endpoints命令返回一个DNSEntries包含多个DnsName参数的数组。在以下命令中使用区域 DNS 名称（不包括可用区的名称）。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，以下命令显示了上一个命令中占位符的示例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. （可选）配置日志角色。Transfer Family 以结构化 JSON 格式记录发送和接收消息的状态到亚马逊 CloudWatch 日志。要向 Transfer Family 提供对您账户中 CloudWatch 日志的访问权限，您必须在服务器上配置日志角色。

   创建一个信任的Amazon Identity and Access Management (IAM) 角色transfer.amazonaws.com，并附加AWSTransferLoggingAccess托管策略。有关详细信息，请参阅创建 IAM 角色和策略。记下您刚创建的 IAM 角色的 Amazon Resource Name (ARN)，然后通过运行以下update-server命令将其与服务器相关联：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   尽管日志角色是可选的，但我们强烈建议您对其进行设置，以便您可以查看消息状态并解决配置问题。