Configuración de una AS2 configuración

Este tutorial explica cómo configurar una configuración de la Declaración de Aplicabilidad 2 (AS2) con. AWS Transfer Family Tras completar los pasos que se describen aquí, dispondrá de un servidor AS2 habilitado que estará listo para aceptar AS2 mensajes de un socio comercial de muestra. También dispondrá de un conector que se puede utilizar para enviar AS2 mensajes al socio comercial de la muestra.

Una vez completados estos pasos, podrá realizar lo siguiente:

Paso 1: Cree certificados para AS2

Ambas partes de un AS2 intercambio necesitan certificados X.509. Puede crear estos certificados de la forma que lo desee. En este tema, se describe cómo utilizar OpenSSL desde la línea de comandos para crear un certificado raíz y, a continuación, firmar los certificados subordinados. Las dos partes deben generar sus propios certificados.

Para transferir archivos con un socio, tenga en cuenta lo siguiente:

Paso 2: Importar certificados como recursos de certificados de Transfer Family

En este procedimiento, se explica cómo importar certificados mediante AWS CLI. Si en su lugar, desea utilizar la consola Transfer Family, consulte AS2 Certificados de importación.

Para importar los certificados de firma y cifrado que creó en el paso 1, ejecute los siguientes comandos import-certificate. Si utiliza el mismo certificado para cifrar y firmar, importe el mismo certificado dos veces (una con el uso SIGNING y otra con el uso ENCRYPTION).

aws transfer import-certificate --usage ENCRYPTION --certificate file://combined-cert-and-chain-file.pem

aws transfer import-certificate --usage SIGNING --certificate file://signing-cert.pem \
            --private-key file://signing-key.pem --certificate-chain file://root-ca.pem

Este comando devuelve su firma CertificateId. En la siguiente sección, este identificador de certificado se denomina my-signing-cert-id.

aws transfer import-certificate --usage ENCRYPTION --certificate file://encryption-cert.pem \
            --private-key file://encryption-key.pem --certificate-chain file://root-ca.pem

Este comando devuelve el cifrado CertificateId. En la siguiente sección, este identificador de certificado se denomina my-encrypt-cert-id.

A continuación, importe los certificados de cifrado y firma de su socio ejecutando los siguientes comandos.

aws transfer import-certificate --usage ENCRYPTION --certificate file://partner-encryption-cert.pem \
--certificate-chain file://partner-root-ca.pem

Este comando devuelve el cifrado de su socio CertificateId. En la siguiente sección, este identificador de certificado se denomina partner-encrypt-cert-id.

aws transfer import-certificate --usage SIGNING --certificate file://partner-signing-cert.pem \
--certificate-chain file://partner-root-ca.pem

Este comando devuelve la firma de su socio CertificateId. En la siguiente sección, este identificador de certificado se denomina partner-signing-cert-id.

Paso 3: Cree perfiles para usted y su socio comercial

En este procedimiento se explica cómo crear AS2 perfiles mediante el uso de AWS CLI. Si en su lugar, desea utilizar la consola Transfer Family, consulte Crear perfiles AS2 .

Cree su AS2 perfil local ejecutando el siguiente comando. Este comando hace referencia a los certificados que contienen sus claves públicas y privadas.

aws transfer create-profile --as2-id MYCORP --profile-type LOCAL --certificate-ids \
my-signing-cert-id my-encrypt-cert-id

Este comando devuelve su ID de perfil. En la siguiente sección, este ID se denomina my-profile-id.

Ahora, ejecute el siguiente comando para crear el perfil del socio. Este comando usa solo los certificados de clave pública de su socio. Para usar este comando, user input placeholders sustitúyalo por su propia información; por ejemplo, el AS2 nombre y el certificado de su pareja IDs.

aws transfer create-profile --as2-id PARTNER-COMPANY --profile-type PARTNER --certificate-ids \
partner-signing-cert-id partner-encrypt-cert-id

Este comando devuelve el ID de perfil de su socio. En la siguiente sección, este ID se denomina partner-profile-id.

Paso 4: Crear un servidor Transfer Family que utilice el AS2 protocolo

En este procedimiento se explica cómo crear un servidor AS2 habilitado mediante Transfer Family AWS CLI.

Si desea utilizar la consola en su lugar, consulte la Cree un AS2 servidor mediante la consola Transfer Family.

De forma similar a como se crea un AWS Transfer Family servidor SFTP o FTPS, se crea un servidor AS2 habilitado mediante el --protocols AS2 parámetro del comando. create-server AWS CLI Actualmente, Transfer Family solo admite los tipos de puntos de conexión de VPC y el almacenamiento de Amazon S3 con el AS2 protocolo.

Al crear un servidor AS2 habilitado para Transfer Family mediante el create-server comando, se crea automáticamente un punto de enlace de VPC. Este punto final expone el puerto TCP 5080 para que pueda aceptar mensajes. AS2

Si desea exponer su punto de conexión de VPC públicamente a Internet, puede asociar direcciones IP elásticas a su punto de conexión de VPC.

Para utilizar estas instrucciones, necesita lo siguiente:

Paso 5: creación de un acuerdo entre usted y su socio

En este procedimiento se explica cómo crear AS2 acuerdos mediante. AWS CLI Si en su lugar, desea utilizar la consola Transfer Family, consulte Crea un AS2 acuerdo.

Los acuerdos reúnen los dos perfiles (local y asociado), sus certificados y una configuración de servidor que permite las AS2 transferencias entrantes entre dos partes. Puede enumerar sus elementos si ejecuta los siguientes comandos.

aws transfer list-profiles --profile-type LOCAL
aws transfer list-profiles --profile-type PARTNER
aws transfer list-servers

Este paso requiere un bucket de Amazon S3 y un rol de IAM con read/write acceso al bucket y desde él. Las instrucciones para crear este rol son las mismas que las de los protocolos SFTP, FTP y FTPS de Transfer Family y están disponibles en Creación de una política y un rol de IAM.

Para crear un acuerdo, necesita los siguientes elementos:

Guarde el siguiente código en un archivo, por ejemplo,agreementDetails.json. Reemplace cada user input placeholder por su propia información.

{
    "Description": "ExampleAgreementName",
    "ServerId": "your-server-id",
    "LocalProfileId": "your-profile-id",
    "PartnerProfileId": "your-partner-profile-id",
    "AccessRole": "arn:aws:iam::111111111111:role/TransferAS2AccessRole",
    "Status": "ACTIVE",    
    "PreserveFilename": "ENABLED",
    "EnforceMessageSigning": "ENABLED",
    "CustomDirectories": {
        "FailedFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-failed",
        "MdnFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-mdn",
        "PayloadFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-payload",
        "StatusFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-status",
        "TemporaryFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-temp"
    }
}

A continuación, ejecute el siguiente comando.

aws transfer create-agreement --cli-input-json file://agreementDetails.json

Si se ejecuta correctamente, este comando devolverá el ID del acuerdo. A continuación, puede ver los detalles del acuerdo con el siguiente comando.

aws transfer describe-agreement --agreement-id agreement-id --server-id your-server-id

Paso 6: creación de un conector entre usted y su socio

En este procedimiento se explica cómo crear AS2 conectores mediante AWS CLI. Si en su lugar, desea utilizar la consola Transfer Family, consulte Configure AS2 los conectores.

Puede utilizar la operación de StartFileTransfer API para enviar archivos almacenados en Amazon S3 al AS2 punto de conexión de su socio comercial mediante un conector. Puede buscar los perfiles que se han creado anteriormente si ejecuta el siguiente comando.

aws transfer list-profiles

Al crear el conector, debe proporcionar la URL del AS2 servidor de su socio. Copie el siguiente texto un archivo denominado testAS2Config.json.

{
"Compression": "ZLIB",
"EncryptionAlgorithm": "AES256_CBC",
"LocalProfileId": "your-profile-id",
"MdnResponse": "SYNC",
"MdnSigningAlgorithm": "DEFAULT",
"MessageSubject": "Your Message Subject",
"PartnerProfileId": "partner-profile-id",
"PreserveContentType": "FALSE",
"SigningAlgorithm": "SHA256"
}

Ejecute el siguiente comando para crear el conector.

aws transfer create-connector --url "http://partner-as2-server-url" \
--access-role your-IAM-role-for-bucket-access \
--logging-role arn:aws:iam::your-account-id:role/service-role/AWSTransferLoggingAccess \
--as2-config file:///path/to/testAS2Config.json

Paso 7: Pruebe el intercambio de archivos AS2 mediante Transfer Family

Recibir un archivo de su socio comercial

Si asoció una dirección IP elástica pública a su punto de conexión de VPC, Transfer Family creó automáticamente un nombre DNS que contiene su dirección IP pública. El subdominio es el ID de tu AWS Transfer Family servidor (del formatos-1234567890abcdef0). Proporcione la URL de su servidor a su socio comercial en el siguiente formato.

http://s-1234567890abcdef0.server.transfer.us-east-1.amazonaws.com:5080

Si no asoció una dirección IP elástica pública a su punto de enlace de VPC, busque el nombre de host del punto de enlace de VPC que puede aceptar AS2 mensajes a través de HTTP POST de sus socios comerciales en el puerto 5080. Para recuperar los detalles del punto de conexión de VPC, utilice el siguiente comando.

aws transfer describe-server --server-id s-1234567890abcdef0

Por ejemplo, supongamos que el comando anterior devuelve un ID de punto de conexión de VPC de vpce-1234abcd5678efghi. A continuación, debe utilizar el siguiente comando para recuperar los nombres de DNS.

aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-1234abcd5678efghi

Este comando devuelve todos los detalles del punto de conexión de VPC que necesita para ejecutar el siguiente comando.

El nombre DNS aparece en la matriz DnsEntries. Su socio comercial debe estar dentro de su VPC para acceder a su punto de conexión de VPC (p. ej., a través de AWS PrivateLink o una VPN). Proporcione la URL del punto de conexión de VPC a su socio en el siguiente formato.

http://vpce-your-vpce-id.vpce-svc-your-vpce-svc-id.your-region.vpce.amazonaws.com:5080

Por ejemplo, la siguiente URL muestra valores de ejemplo para los marcadores de posición de los comandos anteriores.

http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

En este ejemplo, las transferencias correctas se almacenan en la ubicación especificada en el parámetro base-directory que especificó en Paso 5: creación de un acuerdo entre usted y su socio. Si recibimos correctamente los archivos con el nombre myfile1.txt y myfile2.txt, los archivos se almacenan como /path-defined-in-the-agreement/processed/original_filename.messageId.original_extension. Aquí, los archivos se almacenan como /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile1.messageId.txt y /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile2.messageId.txt.

Si configuró una función de registro al crear su servidor Transfer Family, también puede comprobar el estado de los AS2 mensajes en sus CloudWatch registros.

Enviar un archivo a su socio comercial

Puedes usar Transfer Family para enviar AS2 mensajes haciendo referencia al ID del conector y a las rutas de acceso a los archivos, como se muestra en el siguiente comando start-file-transfer AWS Command Line Interface (AWS CLI):

aws transfer start-file-transfer --connector-id c-1234567890abcdef0 \
--send-file-paths "/amzn-s3-demo-source-bucket/myfile1.txt" "/amzn-s3-demo-source-bucket/myfile2.txt"

Para obtener los detalles de los conectores, ejecute el siguiente comando:

aws transfer list-connectors

El list-connectors comando devuelve el conector IDs y los nombres de recursos de Amazon (ARNs) de los conectores. URLs

Para devolver las propiedades de un conector concreto, ejecute el siguiente comando con el ID que desee usar:

aws transfer describe-connector --connector-id your-connector-id

El describe-connector comando devuelve todas las propiedades del conector, incluidas su URL, funciones, perfiles, avisos de disposición de mensajes (MDNs), etiquetas y métricas de monitoreo.

Para confirmar que el socio recibió correctamente los archivos, consulte los archivos JSON y MDN. Estos archivos se nombran de acuerdo con las convenciones descritas en Nombres y ubicaciones de los archivos. Si configuró una función de registro al crear el conector, también puede comprobar el estado de los AS2 mensajes en sus CloudWatch registros.