设置 AS2 配置

1. 为自己和您的交易伙伴创建证书。如果您拥有可以使用的现有证书，则可跳过此部分。

   步骤 1：为创建证书 AS2 中介绍了此过程。

2. 导入已在第 1 步中创建的证书。

   第 2 步：将证书作为 Transfer Family 证书资源导入 中介绍了此过程。

3. 要设置您的交易伙伴，请创建本地配置文件和合作伙伴配置文件。

   第 3 步：为您和您的贸易伙伴创建档案 中介绍了此过程。

4. 创建使用该 AS2 协议的 Amazon Transfer Family 服务器。或者，您可以向服务器添加弹性 IP 地址，使其面向互联网。

   步骤 4：创建使用该 AS2协议的 Transfer Family 服务器 中介绍了此过程。

   注意

   您必须仅为入站传输创建 Transfer Family 服务器。如果您只执行出站传输，则不需要 Transfer Family 服务器。

5. 在您和您的交易伙伴之间创建协议。

   第 5 步：创建您与合作伙伴之间的协议 中介绍了此过程。

   注意

   您必须仅为入站传输创建协议。如果您只执行出站传输，则无需协议。

6. 在您和您的交易伙伴之间创建连接器。

   第 6 步：创建您与合作伙伴之间的连接器 中介绍了此过程。

   注意

   您必须仅为出站传输创建连接器。如果您仅执行入站传输，则不需要连接器。

7. 测试 AS2 文件交换。

   第 7 步：使用 Transfer Famil AS2 y 测试文件交换情况 中介绍了此过程。

生成示例证书

1. 运行以下命令以生成带有 2048 位长度模数的 RSA 私有密钥。

   /usr/bin/openssl genrsa -out root-ca-key.pem 2048

2. 运行以下命令以使用您的 root-ca-key.pem 文件创建自签名证书。

   /usr/bin/openssl req \
   -x509 -new -nodes -sha256 \
   -days 1825 \
   -subj "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=ROOTCA" \
   -key root-ca-key.pem \
   -out root-ca.pem

   -subj 参数由以下值组成。

   	名称	说明
   C	国家/地区代码	由两个字母组成的代码，代表您的组织所在的国家/地区。
   ST	州、地区或省	组织所在的州、地区或省。（在本例中，区域不是指您的 Amazon Web Services 区域。）
   L	所在地名称	组织所在的城市。
   O	组织名称	您组织的法定全名，包括后缀，例如 LLC、Corp 等。
   OU	组织部门名称	您组织中负责处理此证书的部门。
   CN	公用名或完全限定域名 (FQDN)	在这种情况下，我们将创建一个根证书，因此值为 ROOTCA。在这些示例中，我们使用 CN 来描述证书的用途。

3. 为您的本地配置文件创建签名密钥和加密密钥。

   /usr/bin/openssl genrsa -out signing-key.pem 2048
   /usr/bin/openssl genrsa -out encryption-key.pem 2048

   注意

   某些 AS2启用了 Open 的服务器（例如 Op AS2 en）要求您使用相同的证书进行签名和加密。在这种情况下，您可以为这两个目的导入相同的私钥和证书。为此，请运行以下命令而不是之前的两个命令：

   /usr/bin/openssl genrsa -out signing-and-encryption-key.pem 2048

4. 运行以下命令创建证书签名请求 (CSRs)，供根密钥签名。

   /usr/bin/openssl req -new -key signing-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Signer" -out signing-key-csr.pem

   /usr/bin/openssl req -new -key encryption-key.pem -subj \
   "/C=US/ST=MA/L=Boston/O=TransferFamilyCustomer/OU=IT-dept/CN=Encrypter" -out encryption-key-csr.pem

5. 接下来，必须创建一个 signing-cert.conf 文件和一个 encryption-cert.conf 文件。

   • 使用文本编辑器创建包含以下内容的 signing-cert.conf 文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = digitalSignature, nonRepudiation

   • 使用文本编辑器创建包含以下内容的 encryption-cert.conf 文件：

     authorityKeyIdentifier=keyid,issuer
     keyUsage = dataEncipherment

6. 最后，您可以通过运行以下命令来创建签名证书。

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in signing-key-csr.pem -out signing-cert.pem -CA \
   root-ca.pem -CAkey root-ca-key.pem -extfile signing-cert.conf

   /usr/bin/openssl x509 -req -sha256 -CAcreateserial -days 1825 -in encryption-key-csr.pem -out encryption-cert.pem \
   -CA root-ca.pem -CAkey root-ca-key.pem -extfile encryption-cert.conf

创建 AS2启用了-的服务器

1. 运行以下命令。将每个 user input placeholder 替换为您自己的信息。

   aws transfer create-server --endpoint-type VPC \
   --endpoint-details VpcId=vpc-abcdef01,SubnetIds=subnet-abcdef01,subnet-abcdef01,subnet-
   021345ab,SecurityGroupIds=sg-abcdef01234567890,sg-1234567890abcdef0 --protocols AS2 \
   --protocol-details As2Transports=HTTP

2. （可选）您可以将 VPC 端点设为公有。您只能通过 update-server 操作将弹性 IP 地址附加到 Transfer Family 服务器。以下命令停止服务器，使用弹性 IP 地址对其进行更新，然后重新启动服务器。

   aws transfer stop-server --server-id your-server-id

   aws transfer update-server --server-id your-server-id --endpoint-details \
   AddressAllocationIds=eipalloc-abcdef01234567890,eipalloc-1234567890abcdef0,eipalloc-abcd012345ccccccc

   aws transfer start-server --server-id your-server-id

   此 start-server 命令会自动为您创建 DNS 记录，其中包含您的服务器的公有 IP 地址。要让您的交易伙伴访问服务器，您需要向他们提供以下信息。在这种情况下，your-region 指的是您的 Amazon Web Services 区域。

   s-your-server-id.server.transfer.your-region.amazonaws.com

   您提供给交易伙伴的完整 URL 如下：

   http://s-your-server-id.server.transfer.your-region.amazonaws.com:5080

3. 要测试 AS2启用了您的服务器是否可以访问，请使用以下命令。确保可以通过您的 VPC 端点的私有 DNS 地址或公有端点（如果您将弹性 IP 地址与端点相关联）访问您的服务器。

   如果您的服务器配置正确，则连接将成功。但是，您将收到 HTTP 状态码 400（错误请求）响应，因为您没有发送有效的 AS2 消息。

   • 对于公共端点（如果您在上一步中关联了弹性 IP 地址），请运行以下命令，替换您的服务器 ID 和区域。

     curl -vv -X POST http://s-your-server-id.transfer.your-region.amazonaws.com:5080

   • 如果您在 VPC 内进行连接，请运行以下命令查找 VPC 端点的私有 DNS 名称。

     aws transfer describe-server --server-id s-your-server-id

     此 describe-server 命令在 VpcEndpointId 参数中返回您的 VPC 端点 ID。使用此值运行以下命令。

     aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-your-vpc-endpoint-id

     此 describe-vpc-endpoints 命令返回一个包含多个 DnsName 参数的 DNSEntries 数组。在以下命令中使用区域 DNS 名称（不包括可用区的名称）。

     curl -vv -X POST http://vpce-your-vpce.vpce-svc-your-vpce-svc.your-region.vpce.amazonaws.com:5080

     例如，以下命令显示了上一个命令中占位符的示例值。

     curl -vv -X POST http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

4. （可选）配置日志记录角色。Transfer Family 以结构化 JSON 格式将发送和接收的消息的状态记录到亚马逊 CloudWatch 日志中。要让 Transfer Family 能够访问您账户中的 CloudWatch 日志，您必须在服务器上配置日志角色。

   创建信任transfer.amazonaws.com的 Amazon Identity and Access Management (IAM) 角色并附加AWSTransferLoggingAccess托管策略。有关更多信息，请参阅 创建 IAM 角色和策略。请注意您刚创建的 IAM 角色的 Amazon 资源名称 (ARN)，然后通过运行以下 update-server 命令将其与服务器关联：

   aws transfer update-server --server-id your-server-id --logging-role arn:aws:iam::your-account-id:role/logging-role-name

   注意

   尽管日志记录角色是可选的，但我们强烈建议您对其进行设置，以便您可以查看消息的状态并对配置问题进行故障排除。