Configuration d'une AS2 configuration

Ce didacticiel explique comment configurer une configuration Applicability Statement 2 (AS2) avec AWS Transfer Family. Après avoir effectué les étapes décrites ici, vous disposerez d'un AS2 serveur compatible prêt à accepter les AS2 messages d'un exemple de partenaire commercial. Vous disposerez également d'un connecteur qui pourra être utilisé pour envoyer AS2 des messages au partenaire commercial témoin.

Après avoir effectué ces étapes, vous pouvez effectuer les opérations suivantes :

Étape 1 : créer des certificats pour AS2

Les deux parties à un AS2 échange ont besoin de certificats X.509. Vous pouvez créer ces certificats comme bon vous semble. Cette rubrique décrit comment utiliser OpenSSL depuis la ligne de commande pour créer un certificat racine, puis signer des certificats subordonnés. Les deux parties doivent générer leurs propres certificats.

Pour transférer des fichiers avec un partenaire, prenez note des points suivants :

Étape 3 : Importer des certificats en tant que ressources de certificats Transfer Family

Cette procédure explique comment importer des certificats à l'aide du AWS CLI. Si vous souhaitez plutôt utiliser la console Transfer Family, consultez AS2 Certificats d'importation.

Pour importer les certificats de signature et de chiffrement que vous avez créés à l'étape 1, exécutez les import-certificate commandes suivantes. Si vous utilisez le même certificat pour le chiffrement et la signature, importez le même certificat deux fois (une fois avec l'SIGNINGutilisation et une fois avec l'ENCRYPTIONutilisation).

aws transfer import-certificate --usage ENCRYPTION --certificate file://combined-cert-and-chain-file.pem

aws transfer import-certificate --usage SIGNING --certificate file://signing-cert.pem \
            --private-key file://signing-key.pem --certificate-chain file://root-ca.pem

Cette commande renvoie votre signatureCertificateId. Dans la section suivante, cet ID de certificat est appelémy-signing-cert-id.

aws transfer import-certificate --usage ENCRYPTION --certificate file://encryption-cert.pem \
            --private-key file://encryption-key.pem --certificate-chain file://root-ca.pem

Cette commande renvoie votre chiffrementCertificateId. Dans la section suivante, cet ID de certificat est appelémy-encrypt-cert-id.

Importez ensuite les certificats de chiffrement et de signature de votre partenaire en exécutant les commandes suivantes.

aws transfer import-certificate --usage ENCRYPTION --certificate file://partner-encryption-cert.pem \
--certificate-chain file://partner-root-ca.pem

Cette commande renvoie le chiffrement de votre partenaireCertificateId. Dans la section suivante, cet ID de certificat est appelépartner-encrypt-cert-id.

aws transfer import-certificate --usage SIGNING --certificate file://partner-signing-cert.pem \
--certificate-chain file://partner-root-ca.pem

Cette commande renvoie la signature de votre partenaireCertificateId. Dans la section suivante, cet ID de certificat est appelépartner-signing-cert-id.

Étape 3 : Créez des profils pour vous et votre partenaire commercial

Cette procédure explique comment créer des AS2 profils à l'aide de AWS CLI. Si vous souhaitez plutôt utiliser la console Transfer Family, consultezCréation de AS2 profils.

Créez votre AS2 profil local en exécutant la commande suivante. Cette commande fait référence aux certificats contenant vos clés publiques et privées.

aws transfer create-profile --as2-id MYCORP --profile-type LOCAL --certificate-ids \
my-signing-cert-id my-encrypt-cert-id

Cette commande renvoie votre identifiant de profil. Dans la section suivante, cet identifiant est appelémy-profile-id.

Créez maintenant le profil du partenaire en exécutant la commande suivante. Cette commande utilise uniquement les certificats de clé publique de votre partenaire. Pour utiliser cette commande, remplacez le user input placeholders par vos propres informations, par exemple le AS2 nom et le certificat de votre partenaire IDs.

aws transfer create-profile --as2-id PARTNER-COMPANY --profile-type PARTNER --certificate-ids \
partner-signing-cert-id partner-encrypt-cert-id

Cette commande renvoie l'identifiant de profil de votre partenaire. Dans la section suivante, cet identifiant est appelépartner-profile-id.

Étape 4 : Création d'un serveur Transfer Family utilisant le AS2 protocole

Cette procédure explique comment créer un serveur AS2 compatible à l'aide du Transfer Family AWS CLI.

Si vous souhaitez plutôt utiliser la console, consultezCréation d'un AS2 serveur à l'aide de la console Transfer Family.

De la même manière que vous créez un AWS Transfer Family serveur SFTP ou FTPS, vous créez un serveur AS2 compatible en utilisant le --protocols AS2 paramètre de la commande. create-server AWS CLI Actuellement, Transfer Family ne prend en charge que les types de points de terminaison VPC et le stockage Amazon S3 avec le AS2 protocole.

Lorsque vous créez votre serveur AS2 compatible pour Transfer Family à l'aide de la create-server commande, un point de terminaison VPC est automatiquement créé pour vous. Ce point de terminaison expose le port TCP 5080 afin qu'il puisse accepter des messages. AS2

Si vous souhaitez exposer votre point de terminaison VPC publiquement à Internet, vous pouvez associer des adresses IP élastiques à votre point de terminaison VPC.

Pour utiliser ces instructions, vous devez disposer des éléments suivants :

Étape 5 : Créez un accord entre vous et votre partenaire

Cette procédure explique comment créer des AS2 accords à l'aide du AWS CLI. Si vous souhaitez plutôt utiliser la console Transfer Family, consultezCréation d'un AS2 accord.

Les accords réunissent les deux profils (local et partenaire), leurs certificats et une configuration de serveur qui permet les AS2 transferts entrants entre deux parties. Vous pouvez répertorier vos articles en exécutant les commandes suivantes.

aws transfer list-profiles --profile-type LOCAL
aws transfer list-profiles --profile-type PARTNER
aws transfer list-servers

Cette étape nécessite un compartiment Amazon S3 et un rôle IAM avec read/write accès au compartiment et depuis celui-ci. Les instructions pour créer ce rôle sont les mêmes que pour les protocoles SFTP, FTP et FTPS de Transfer Family et sont disponibles dans. Création d'un rôle et d'une politique IAM

Pour créer un accord, vous avez besoin des éléments suivants :

Enregistrez le code suivant dans un fichier, par exempleagreementDetails.json. Remplacez chaque user input placeholder par vos propres informations.

{
    "Description": "ExampleAgreementName",
    "ServerId": "your-server-id",
    "LocalProfileId": "your-profile-id",
    "PartnerProfileId": "your-partner-profile-id",
    "AccessRole": "arn:aws:iam::111111111111:role/TransferAS2AccessRole",
    "Status": "ACTIVE",    
    "PreserveFilename": "ENABLED",
    "EnforceMessageSigning": "ENABLED",
    "CustomDirectories": {
        "FailedFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-failed",
        "MdnFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-mdn",
        "PayloadFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-payload",
        "StatusFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-status",
        "TemporaryFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-temp"
    }
}

Exécutez ensuite la commande ci-après.

aws transfer create-agreement --cli-input-json file://agreementDetails.json

En cas de succès, cette commande renvoie l'ID de l'accord. Vous pouvez ensuite consulter les détails de l'accord à l'aide de la commande suivante.

aws transfer describe-agreement --agreement-id agreement-id --server-id your-server-id

Étape 6 : Créez un lien entre vous et votre partenaire

Cette procédure explique comment créer des AS2 connecteurs à l'aide du AWS CLI. Si vous souhaitez plutôt utiliser la console Transfer Family, consultezConfiguration des AS2 connecteurs.

Vous pouvez utiliser l'opération StartFileTransfer API pour envoyer des fichiers stockés dans Amazon S3 au point de AS2 terminaison de votre partenaire commercial à l'aide d'un connecteur. Vous pouvez retrouver les profils que vous avez créés précédemment en exécutant la commande suivante.

aws transfer list-profiles

Lorsque vous créez le connecteur, vous devez fournir l'URL du AS2 serveur de votre partenaire. Copiez le texte suivant dans un fichier nommétestAS2Config.json.

{
"Compression": "ZLIB",
"EncryptionAlgorithm": "AES256_CBC",
"LocalProfileId": "your-profile-id",
"MdnResponse": "SYNC",
"MdnSigningAlgorithm": "DEFAULT",
"MessageSubject": "Your Message Subject",
"PartnerProfileId": "partner-profile-id",
"PreserveContentType": "FALSE",
"SigningAlgorithm": "SHA256"
}

Exécutez ensuite la commande suivante pour créer le connecteur.

aws transfer create-connector --url "http://partner-as2-server-url" \
--access-role your-IAM-role-for-bucket-access \
--logging-role arn:aws:iam::your-account-id:role/service-role/AWSTransferLoggingAccess \
--as2-config file:///path/to/testAS2Config.json

Étape 7 : Testez l'échange de fichiers à AS2 l'aide de Transfer Family

Recevez un fichier de votre partenaire commercial

Si vous avez associé une adresse IP Elastic publique à votre point de terminaison VPC, Transfer Family a automatiquement créé un nom DNS contenant votre adresse IP publique. Le sous-domaine est l'ID de votre AWS Transfer Family serveur (au formats-1234567890abcdef0). Fournissez l'URL de votre serveur à votre partenaire commercial au format suivant.

http://s-1234567890abcdef0.server.transfer.us-east-1.amazonaws.com:5080

Si vous n'avez pas associé d'adresse IP élastique publique à votre point de terminaison VPC, recherchez le nom d'hôte du point de terminaison VPC qui peut accepter les AS2 messages via HTTP POST de vos partenaires commerciaux sur le port 5080. Pour récupérer les détails du point de terminaison VPC, utilisez la commande suivante.

aws transfer describe-server --server-id s-1234567890abcdef0

Supposons, par exemple, que la commande précédente renvoie un ID de point de terminaison VPC de. vpce-1234abcd5678efghi Ensuite, vous devez utiliser la commande suivante pour récupérer les noms DNS.

aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-1234abcd5678efghi

Cette commande renvoie tous les détails du point de terminaison VPC dont vous avez besoin pour exécuter la commande suivante.

Le nom DNS est répertorié dans le DnsEntries tableau. Votre partenaire commercial doit se trouver au sein de votre VPC pour accéder à votre point de terminaison VPC (par exemple via AWS PrivateLink un VPN). Fournissez l'URL de votre point de terminaison VPC à votre partenaire au format suivant.

http://vpce-your-vpce-id.vpce-svc-your-vpce-svc-id.your-region.vpce.amazonaws.com:5080

Par exemple, l'URL suivante présente des exemples de valeurs pour les espaces réservés des commandes précédentes.

http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

Dans cet exemple, les transferts réussis sont stockés à l'emplacement spécifié dans le base-directory paramètre que vous avez spécifié dansÉtape 5 : Créez un accord entre vous et votre partenaire. Si nous recevons avec succès les fichiers nommés myfile1.txt etmyfile2.txt, les fichiers sont stockés sous le nom/path-defined-in-the-agreement/processed/original_filename.messageId.original_extension. Ici, les fichiers sont stockés sous forme /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile1.messageId.txt et/amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile2.messageId.txt.

Si vous avez configuré un rôle de journalisation lors de la création de votre serveur Transfer Family, vous pouvez également consulter vos CloudWatch journaux pour connaître l'état des AS2 messages.

Envoyez un fichier à votre partenaire commercial

Vous pouvez utiliser Transfer Family pour envoyer AS2 des messages en faisant référence à l'ID du connecteur et aux chemins d'accès aux fichiers, comme illustré dans la commande suivante start-file-transfer AWS Command Line Interface (AWS CLI) :

aws transfer start-file-transfer --connector-id c-1234567890abcdef0 \
--send-file-paths "/amzn-s3-demo-source-bucket/myfile1.txt" "/amzn-s3-demo-source-bucket/myfile2.txt"

Pour obtenir les détails de vos connecteurs, exécutez la commande suivante :

aws transfer list-connectors

La list-connectors commande renvoie le connecteur IDs et Amazon Resource Names (ARNs) pour vos connecteurs. URLs

Pour renvoyer les propriétés d'un connecteur spécifique, exécutez la commande suivante avec l'ID que vous souhaitez utiliser :

aws transfer describe-connector --connector-id your-connector-id

La describe-connector commande renvoie toutes les propriétés du connecteur, notamment son URL, ses rôles, ses profils, ses notifications de disposition des messages (MDNs), ses balises et ses mesures de surveillance.

Vous pouvez vérifier que le partenaire a bien reçu les fichiers en consultant les fichiers JSON et MDN. Ces fichiers sont nommés conformément aux conventions décrites dansNoms et emplacements des fichiers. Si vous avez configuré un rôle de journalisation lors de la création du connecteur, vous pouvez également vérifier l'état des AS2 messages dans vos CloudWatch journaux.