Amazon Transfer Family 对于 AS2 - Amazon Transfer Family
AS2 用例AS2 CloudFormation 模板
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Transfer Family 对于 AS2

适用性声明 2 (AS2) 是 RFC 定义的文件传输规范，其中包括强大的消息保护和验证机制。保护传输中的有效 AS2 载荷使用带有加密和数字签名的加密消息语法 (CMS) 来提供数据保护和对等身份验证。已签名的消息处置通知（MDN）响应有效负载提供消息已接收并成功解密的验证（不可否认性）。

该 AS2 协议对于具有合规性要求的工作流程至关重要，这些工作流程依赖于在协议中内置数据保护和安全功能。 Amazon Transfer Family AS2 端点已通过 Drummond 认证，使零售、生命科学、制造业、金融服务和公用事业等行业的客户能够安全地与其业务合作伙伴进行交易。

当你 AS2 与 Transfer Family 一起使用时，可以在以下版本中 Amazon 本地访问已处理的数据：

  • 处理、分析和机器学习

  • 与企业资源规划 (ERP) 系统集成

  • 与客户关系管理 (CRM) 系统集成

要与具有 AS2启用服务器的合作伙伴交换文件，您必须：

  • 生成用于加密的公私密钥 pair

  • 生成用于签名的公私密钥 pair

  • 与您的伴侣交换公钥

重要

目前不支持 HTTPS AS2 服务器端点。您应对终止 TLS 负责。

Transfer Family 提供了一个你可以参加的研讨会，在研讨会中，你可以将 Transfer Family 端点配置为 AS2 已启用，也可以配置 Transfer Famil AS2 y 连接器。您可以在此处查看本次研讨会的详细信息。

有关在 Transfer Family AS2 中进行配置的 step-by-step说明，请参阅以下内容：

  1. 导入 AS2 证书

  2. 创建 AS2 个人资料

  3. 创建 AS2 服务器

  4. 创建 AS2 协议

  5. 配置 AS2 连接器

有关完整示例，请参阅设置 AS2 配置。

注意

要显示对 AS2 Terraform 模板的支持，请在 Transfer Family Ter raf orm 模板功能请求中添加竖起大拇指的反应 (👍)。您也可以添加评论来描述您的用例。

AS2 用例

如果您是想要与具有 AS2启用服务器的合作伙伴交换文件的 Amazon Transfer Family 客户，则设置中最复杂的部分涉及生成一个用于加密的公私密钥对，另一个用于与合作伙伴签署和交换公钥。

该图显示了使用公有-私有密钥对进行加密和签名的情况。

Amazon Transfer Family 与一起使用时，请考虑以下变体 AS2。

注意

贸易伙伴是与该合作伙伴资料关联的合作伙伴。

下表中所有提及 MDN 的内容均假定已签名 MDNs。

AS2 用例

仅限入站的使用案例

  • 将加密的 AS2 消息从交易伙伴传输到 Transfer Family 服务器。

    在此情况下，您可以执行以下操作：

    1. 为您的贸易伙伴和您自己创建档案。

    2. 创建使用该 AS2协议的 Transfer Family 服务器。

    3. 创建协议并将其添加到您的服务器。

    4. 导入带有私钥的证书并将其添加到您的个人资料中，然后将公钥导入您的合作伙伴资料进行加密。

    5. 拿到这些物品后，将证书的公有密钥发送给您的交易伙伴。

    现在，您的合作伙伴可以向您发送加密消息，您可以将其解密并存储在您的 Amazon S3 存储桶中。

  • 将加密的 AS2 消息从交易伙伴传输到 Transfer Family 服务器并添加签名。

    在这种情况下，您仍然只进行入站传输，但现在您希望让您的合作伙伴签署他们发送的消息。在这种情况下，请导入贸易伙伴的签名公钥（作为添加到合作伙伴资料中的签名证书）。

  • 将加密的 AS2 消息从交易伙伴传输到 Transfer Family 服务器，然后添加签名和发送 MDN 响应。

    在这种情况下，您仍然只进行入站传输，但是现在，除了接收已签名的有效负载外，您的交易伙伴还希望接收签名的 MDN 响应。

    1. 导入您的公有和私有签名密钥（作为签名证书导入您的配置文件中）。

    2. 将公开签名密钥发送给您的贸易伙伴。

仅限出站的使用案例

  • 将加密的 AS2 消息从 Transfer Family 服务器传输给交易伙伴。

    这种情况与仅限入站传输的用例类似，不同之处在于您无需向 AS2服务器添加协议，而是创建连接器。在这种情况下，您可以将贸易伙伴的公钥导入他们的个人资料中。

  • 将加密的 AS2 消息从 Transfer Family 服务器传输给贸易伙伴并添加签名。

    您仍然只进行出站转账，但现在您的贸易伙伴希望您在发送给他们的消息上签名。

    1. 导入您的签名私有密钥（作为签名证书添加至您的配置文件中）。

    2. 将您的公钥发送给您的贸易伙伴。

  • 将加密的 AS2 消息从 Transfer Family 服务器传输到交易伙伴，然后添加签名并发送 MDN 响应。

    您仍然只能进行出站转账，但是现在，除了发送已签名的有效载荷外，您还希望收到贸易伙伴签名的 MDN 响应。

    1. 您的贸易伙伴向您发送他们的公开签名密钥。

    2. 导入您的贸易伙伴的公钥（作为添加到您的合作伙伴资料中的签名证书）。

入站和出站使用案例

  • 在 Transfer Family 服务器和交易伙伴之间双向传输加密 AS2 消息。

    在此情况下，您可以执行以下操作：

    1. 为您的贸易伙伴和您自己创建档案。

    2. 创建使用该 AS2协议的 Transfer Family 服务器。

    3. 创建协议并将其添加到您的服务器。

    4. 创建连接器。

    5. 导入带有私钥的证书并将其添加到您的个人资料中，然后将公钥导入您的合作伙伴资料进行加密。

    6. 从您的贸易伙伴那里接收公钥并将其添加到他们的个人资料中进行加密。

    7. 拿到这些物品后，将证书的公有密钥发送给您的交易伙伴。

    现在，您和您的交易伙伴可以交换加密消息，并且双方都可以对其进行解密。您可以将接收的消息存储在 Amazon S3 存储桶中，且您的合作伙伴可以解密和存储您发送给他们的消息。

  • 在 Transfer Family 服务器和贸易伙伴之间双向传输加密 AS2 消息并添加签名。

    现在您和您的合作伙伴想要签名消息。

    1. 导入您的签名私有密钥（作为签名证书添加至您的配置文件中）。

    2. 将您的公钥发送给您的贸易伙伴。

    3. 导入贸易伙伴的签名公钥并将其添加到他们的个人资料中。

  • 在 Transfer Family 服务器和交易伙伴之间双向传输加密 AS2 消息，添加签名并发送 MDN 响应。

    现在，您想交换签名的有效负载，并且您和您的交易伙伴都想要 MDN 响应。

    1. 您的贸易伙伴向您发送他们的公开签名密钥。

    2. 导入贸易伙伴的公钥（作为合作伙伴资料的签名证书）。

    3. 将您的公钥发送给您的贸易伙伴。

AS2 CloudFormation 模板

本主题提供有关 Amazon CloudFormation 模板的信息，您可以使用这些模板来快速部署 AS2 服务器和配置 Amazon Transfer Family。这些模板可以自动执行设置过程，并帮助您实施 AS2 文件传输的最佳实践。

自定义模板 AS2

您可以自定义提供的模板以满足您的特定要求：

  1. 从 S3 网址下载模板。

  2. 修改 YAML 代码以调整配置，例如：

    • 安全设置和证书配置

    • 网络架构和 VPC 设置

    • 存储选项和文件处理

    • 监控和通知首选项

  3. 将修改后的模板上传到自己的 S3 存储桶。

  4. 使用 Amazon CloudFormation 控制台部署自定义模板或 Amazon CLI。

重要

自定义模板时，请确保保持资源之间的依赖关系并遵循安全最佳实践。

测试您的 AS2 部署

使用模板部署 AS2 服务器后，您可以测试配置：

  1. 查看 CloudFormation 堆栈输出以获取示例命令和端点信息。

  2. 使用 Amazon CLI 发送测试文件：

    aws s3api put-object --bucket your-bucket-name --key test.txt --body test.txt
aws transfer start-file-transfer --connector-id your-connector-id --send-file-paths /your-bucket-name/test.txt

  3. 验证目标 S3 存储桶中的文件传输。

  4. 检查 CloudWatch 日志是否成功处理和 MDN 响应。

要进行更全面的测试，可以考虑使用第三方 AS2 客户端将文件发送到您的 Transfer Famil AS2 y 服务器。

AS2 模板部署的最佳实践

使用 AS2 CloudFormation 模板时，请遵循以下最佳实践：

安全性

使用强证书并定期轮换。

实施最低权限的 IAM 策略。

使用安全组限制网络访问。

可靠性

跨多个可用区部署。

对失败的传输实施监控和警报。

为失败的传输设置自动重试。

性能

为您的传输量选择合适的实例类型。

实施 S3 生命周期策略以实现高效的文件管理。

监控和优化网络配置。

成本优化

对可变的工作负载使用自动缩放。

为较旧的文件实现 S3 存储类别。

根据实际使用情况监控和调整资源。