设置 AS2 配置

1. 为自己和您的交易伙伴创建证书。如果您拥有可以使用的现有证书，则可跳过此部分。

   步骤 1：创建 AS2 证书 中介绍了此过程。

2. 创建使用 AS2 协议的 Amazon Transfer Family 服务器。或者，您可以向服务器添加弹性 IP 地址，使其面向互联网。

   第 2 步：创建使用 AS2 协议的 Transfer Family 服务器 中介绍了此过程。

   注意

   您必须仅为入站传输创建 Transfer Family 服务器。如果您只执行出站传输，则不需要 Transfer Family 服务器。

3. 导入已在第 1 步中创建的证书。

   第 3 步：将证书作为 Transfer Family 证书资源导入 中介绍了此过程。

4. 要设置您的交易伙伴，请创建本地配置文件和合作伙伴配置文件。

   第 4 步：为您和您的交易伙伴创建配置文件 中介绍了此过程。

5. 在您和您的交易伙伴之间创建协议。

   第 5 步：创建您与合作伙伴之间的协议 中介绍了此过程。

   注意

   您必须仅为入站传输创建协议。如果您只执行出站传输，则无需协议。

6. 在您和您的交易伙伴之间创建连接器。

   第 6 步：创建您与合作伙伴之间的连接器 中介绍了此过程。

   注意

   您必须仅为出站传输创建连接器。如果您仅执行入站传输，则不需要连接器。

7. 测试 AS2 文件交换。

   第 7 步：使用 Transfer Family 测试通过 AS2 交换文件 中介绍了此过程。

生成示例证书

1. 运行以下命令以生成带有 2048 位长度模数的 RSA 私有密钥。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 运行以下命令以使用您的root-ca-key.pem文件创建自签名证书。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj 参数由以下值组成。

   	名称	描述
   C	国家/地区代码	由两个字母组成的代码，代表您的组织所在的国家/地区。
   ST	州、地区或省	组织所在的州、地区或省。（在本例中，区域不是指您的 Amazon Web Services 区域。）
   L	所在地名称	组织所在的城市。
   O	组织名称	您组织的法定全名，包括后缀，例如 LLC、Corp 等。
   OU	组织部门名称	您组织中负责处理此证书的部门。
   CN	公用名或完全限定域名 (FQDN)	在这种情况下，我们将创建一个根证书，因此值为ROOTCA。在这些示例中，我们使用CN来描述证书的用途。

3. 为您的本地配置文件创建签名密钥和加密密钥。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些启用 AS2 的服务器（例如 OpenAS2）要求您使用相同的证书进行签名和加密。在这种情况下，您可以为这两个目的导入相同的私钥和证书。为此，请运行以下命令而不是之前的两个命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 运行以下命令创建证书签名请求 (CSR)，供根密钥签名。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下来，必须创建一个signing-cert.conf文件和一个encryption-cert.conf文件。

   • 使用文本编辑器创建包含以下内容的signing-cert.conf文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文本编辑器创建包含以下内容的encryption-cert.conf文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最后，您可以通过运行以下命令来创建签名证书。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

要创建启用 AS2 的服务器

1. 运行以下命令。将每个 user input placeholder 替换为您自己的信息。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （可选）您可以将 VPC 端点设为公有。您只能通过update-server操作将弹性 IP 地址附加到 Transfer Family 服务器。以下命令停止服务器，使用弹性 IP 地址对其进行更新，然后重新启动服务器。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   此start-server命令会自动为您创建 DNS 记录，其中包含您的服务器的公有 IP 地址。要让您的交易伙伴访问服务器，您需要向他们提供以下信息。在这种情况下，your-region指的是您的 Amazon Web Services 区域。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   您提供给交易伙伴的完整 URL 如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 要测试您启用 AS2 的服务器是否可以访问，请使用以下命令。确保可以通过您的 VPC 端点的私有 DNS 地址或公有端点（如果您将弹性 IP 地址与端点相关联）访问您的服务器。

   如果您的服务器配置正确，则连接将成功。但是，您将收到 HTTP 状态码 400（错误请求）响应，因为您没有发送有效的 AS2 消息。

   • 对于公共端点（如果您在上一步中关联了弹性 IP 地址），请运行以下命令，替换您的服务器 ID 和区域。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您在 VPC 内进行连接，请运行以下命令查找 VPC 端点的私有 DNS 名称。

     aws transfer describe-server --server-id s-your-server-id

     此describe-server命令在VpcEndpointId参数中返回您的 VPC 端点 ID。使用此值运行以下命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     此describe-vpc-endpoints命令返回一个包含多个DnsName参数的DNSEntries数组。在以下命令中使用区域 DNS 名称（不包括可用区的名称）。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，以下命令显示了上一个命令中占位符的示例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. （可选）配置日志记录角色。Transfer Family 以结构化 JSON 格式将发送和接收的消息的状态记录到亚马逊 CloudWatch 日志中。要让 Transfer Family 能够访问您账户中的 CloudWatch 日志，您必须在服务器上配置日志角色。

   创建信任transfer.amazonaws.com的 Amazon Identity and Access Management (IAM) 角色并附加AWSTransferLoggingAccess托管策略。有关更多信息，请参阅 创建 IAM 角色和策略。请注意您刚创建的 IAM 角色的 Amazon 资源名称（ARN），然后通过运行以下update-server命令将其与服务器关联：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   尽管日志记录角色是可选的，但我们强烈建议您对其进行设置，以便您可以查看消息的状态并对配置问题进行故障排除。