Configurando uma AS2 configuração

Este tutorial explica como definir uma configuração da Declaração de Aplicabilidade 2 (AS2) com AWS Transfer Family. Depois de concluir as etapas descritas aqui, você terá um servidor AS2 habilitado que está pronto para aceitar AS2 mensagens de um parceiro comercial de amostra. Você também terá um conector que pode ser usado para enviar AS2 mensagens ao parceiro comercial da amostra.

Depois de concluir essas etapas, você poderá fazer o seguinte:

Etapa 1: criar certificados para AS2

Ambas as partes em uma AS2 troca precisam de certificados X.509. Você pode criar esses certificados da maneira que quiser. Este tópico descreve como usar o OpenSSL na linha de comando para criar um certificado raiz e, em seguida, assinar certificados subordinados. Ambas as partes devem gerar seus próprios certificados.

Para transferir arquivos com um parceiro, observe o seguinte:

Etapa 2: Importar certificados como recursos de certificados do Transfer Family

Este procedimento explica como importar certificados usando o AWS CLI. Se você quiser usar o console Transfer Family em vez disso, consulte AS2 Certificados de importação.

Para importar os certificados de assinatura e criptografia que você criou na etapa 1, execute os comandos import-certificate a seguir. Se você estiver usando o mesmo certificado para criptografia e assinatura, importe o mesmo certificado duas vezes (uma vez com o uso SIGNING e novamente com o uso ENCRYPTION).

aws transfer import-certificate --usage ENCRYPTION --certificate file://combined-cert-and-chain-file.pem

aws transfer import-certificate --usage SIGNING --certificate file://signing-cert.pem \
            --private-key file://signing-key.pem --certificate-chain file://root-ca.pem

Esse comando retorna sua assinatura CertificateId. Na próxima seção, esse ID de certificado é chamado de my-signing-cert-id.

aws transfer import-certificate --usage ENCRYPTION --certificate file://encryption-cert.pem \
            --private-key file://encryption-key.pem --certificate-chain file://root-ca.pem

Esse comando retorna sua criptografia CertificateId. Na próxima seção, esse ID de certificado é chamado de my-encrypt-cert-id.

Em seguida, importe os certificados de criptografia e assinatura do seu parceiro executando os comandos a seguir.

aws transfer import-certificate --usage ENCRYPTION --certificate file://partner-encryption-cert.pem \
--certificate-chain file://partner-root-ca.pem

Esse comando retorna a criptografia do seu parceiro CertificateId. Na próxima seção, esse ID de certificado é chamado de partner-encrypt-cert-id.

aws transfer import-certificate --usage SIGNING --certificate file://partner-signing-cert.pem \
--certificate-chain file://partner-root-ca.pem

Esse comando retorna a assinatura do seu parceiro CertificateId. Na próxima seção, esse ID de certificado é chamado de partner-signing-cert-id.

Etapa 3: Crie perfis para você e seu parceiro comercial

Este procedimento explica como criar AS2 perfis usando AWS CLI o. Se você quiser usar o console Transfer Family em vez disso, consulte Crie AS2 perfis.

Crie seu AS2 perfil local executando o comando a seguir. Esse comando faz referência aos certificados que contêm suas chaves públicas e privadas.

aws transfer create-profile --as2-id MYCORP --profile-type LOCAL --certificate-ids \
my-signing-cert-id my-encrypt-cert-id

Esse comando retorna o ID do seu perfil. Na próxima seção, esse ID é chamado de my-profile-id.

Agora crie o perfil do parceiro executando o comando a seguir. Esse comando usa somente os certificados de chave pública do seu parceiro. Para usar esse comando, user input placeholders substitua o por suas próprias informações; por exemplo, o AS2 nome e o certificado do seu parceiro IDs.

aws transfer create-profile --as2-id PARTNER-COMPANY --profile-type PARTNER --certificate-ids \
partner-signing-cert-id partner-encrypt-cert-id

Esse comando retorna o ID do perfil do seu parceiro. Na próxima seção, esse ID é chamado de partner-profile-id.

Etapa 4: Criar um servidor Transfer Family que use o AS2 protocolo

Este procedimento explica como criar um servidor AS2 habilitado usando o Transfer Family AWS CLI.

Se você quiser usar o em vez disso, consulte Crie um AS2 servidor usando o console Transfer Family.

Da mesma forma que você cria um AWS Transfer Family servidor SFTP ou FTPS, você cria um servidor AS2 habilitado usando o --protocols AS2 parâmetro do comando. create-server AWS CLI Atualmente, o Transfer Family oferece suporte somente aos tipos de endpoints VPC e ao armazenamento Amazon S3 com o protocolo. AS2

Quando você cria seu servidor AS2 habilitado para Transfer Family usando o create-server comando, um VPC endpoint é criado automaticamente para você. Esse endpoint expõe a porta TCP 5080 para que possa aceitar mensagens. AS2

Se você quiser expor seu endpoint da VPC publicamente à Internet, você pode associar endereços IP elásticos ao seu endpoint da VPC.

Para usar essas instruções, você precisa do seguinte:

Etapa 5: criar um acordo entre você e seu parceiro

Este procedimento explica como criar AS2 contratos usando AWS CLI o. Se você quiser usar o console Transfer Family em vez disso, consulte Crie um AS2 contrato.

Os acordos reúnem os dois perfis (local e parceiro), seus certificados e uma configuração de servidor que permite AS2 transferências de entrada entre duas partes. Você pode listar seus itens executando os comandos a seguir.

aws transfer list-profiles --profile-type LOCAL
aws transfer list-profiles --profile-type PARTNER
aws transfer list-servers

Essa etapa requer um bucket do Amazon S3 e uma função do IAM com read/write acesso de e para o bucket. As instruções para criar essa função são as mesmas dos protocolos SFTP, FTP e FTPS da Transfer Family e estão disponíveis em Criar uma política e um perfil do IAM.

Para criar um contrato, você precisa dos seguintes itens:

Salve o código a seguir em um arquivo, por exemplo,agreementDetails.json. Substitua cada user input placeholder por suas próprias informações.

{
    "Description": "ExampleAgreementName",
    "ServerId": "your-server-id",
    "LocalProfileId": "your-profile-id",
    "PartnerProfileId": "your-partner-profile-id",
    "AccessRole": "arn:aws:iam::111111111111:role/TransferAS2AccessRole",
    "Status": "ACTIVE",    
    "PreserveFilename": "ENABLED",
    "EnforceMessageSigning": "ENABLED",
    "CustomDirectories": {
        "FailedFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-failed",
        "MdnFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-mdn",
        "PayloadFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-payload",
        "StatusFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-status",
        "TemporaryFilesDirectory": "/amzn-s3-demo-destination-bucket/AS2-temp"
    }
}

Em seguida, execute o comando a seguir.

aws transfer create-agreement --cli-input-json file://agreementDetails.json

Se o comando for bem-sucedido, a ID do contrato será retornada. Você pode então exibir os detalhes do contrato com o comando a seguir.

aws transfer describe-agreement --agreement-id agreement-id --server-id your-server-id

Etapa 6: criar um conector entre você e seu parceiro

Este procedimento explica como criar AS2 conectores usando o. AWS CLI Se você quiser usar o console Transfer Family em vez disso, consulte Configurar AS2 conectores.

Você pode usar a operação de StartFileTransfer API para enviar arquivos armazenados no Amazon S3 para o AS2 endpoint do seu parceiro comercial usando um conector. Você pode encontrar os perfis que você criou anteriormente executando o comando a seguir.

aws transfer list-profiles

Ao criar o conector, você deve fornecer a URL do AS2 servidor do seu parceiro. Copie o texto a seguir em um arquivo denominado testAS2Config.json.

{
"Compression": "ZLIB",
"EncryptionAlgorithm": "AES256_CBC",
"LocalProfileId": "your-profile-id",
"MdnResponse": "SYNC",
"MdnSigningAlgorithm": "DEFAULT",
"MessageSubject": "Your Message Subject",
"PartnerProfileId": "partner-profile-id",
"PreserveContentType": "FALSE",
"SigningAlgorithm": "SHA256"
}

Em seguida, execute o seguinte comando para criar o conector.

aws transfer create-connector --url "http://partner-as2-server-url" \
--access-role your-IAM-role-for-bucket-access \
--logging-role arn:aws:iam::your-account-id:role/service-role/AWSTransferLoggingAccess \
--as2-config file:///path/to/testAS2Config.json

Etapa 7: Teste a troca de arquivos AS2 usando o Transfer Family

Receba um arquivo do seu parceiro comercial

Se você associou um endereço IP elástico público ao seu endpoint da VPC, a Transfer Family criou automaticamente um nome DNS que contém seu endereço IP público. O subdomínio é o ID AWS Transfer Family do seu servidor (do formatos-1234567890abcdef0). Forneça a URL do seu servidor ao seu parceiro comercial no formato a seguir.

http://s-1234567890abcdef0.server.transfer.us-east-1.amazonaws.com:5080

Se você não associou um endereço IP elástico público ao seu VPC endpoint, procure o nome do host do VPC endpoint que pode aceitar AS2 mensagens via HTTP POST de seus parceiros comerciais na porta 5080. Para recuperar os detalhes do endpoint da VPC, use o comando a seguir.

aws transfer describe-server --server-id s-1234567890abcdef0

Por exemplo, suponha que o comando anterior retorne um ID de endpoint da VPC de. vpce-1234abcd5678efghi Então, você usaria o comando a seguir para recuperar os nomes do DNS.

aws ec2 describe-vpc-endpoints --vpc-endpoint-ids vpce-1234abcd5678efghi

Esse comando retorna todos os detalhes do endpoint da VPC necessários para executar o comando a seguir.

O nome DNS está listado na matriz DnsEntries. Seu parceiro comercial deve estar em sua VPC para acessar seu endpoint da VPC (por exemplo, por meio de AWS PrivateLink ou de uma VPN). Forneça o URL do seu endpoint da VPC ao seu parceiro no formato a seguir.

http://vpce-your-vpce-id.vpce-svc-your-vpce-svc-id.your-region.vpce.amazonaws.com:5080

Por exemplo, o URL a seguir mostra exemplos de valores para os espaços reservados nos comandos anteriores.

http://vpce-0123456789abcdefg-fghij123.vpce-svc-11111aaaa2222bbbb.us-east-1.vpce.amazonaws.com:5080

Neste exemplo, as transferências bem-sucedidas são armazenadas no local especificado no parâmetro base-directory que você especificou em Etapa 5: criar um acordo entre você e seu parceiro. Se recebermos com sucesso os arquivos chamados myfile1.txt emyfile2.txt, os arquivos serão armazenados como /path-defined-in-the-agreement/processed/original_filename.messageId.original_extension. Aqui, os arquivos são armazenados como /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile1.messageId.txt e /amzn-s3-demo-destination-bucket/AS2-inbox/processed/myfile2.messageId.txt.

Se você configurou uma função de registro ao criar o servidor Transfer Family, também poderá verificar o status das AS2 mensagens em seus CloudWatch registros.

Envie um arquivo para seu parceiro comercial

Você pode usar o Transfer Family para enviar AS2 mensagens fazendo referência ao ID do conector e aos caminhos para os arquivos, conforme ilustrado no seguinte comando start-file-transfer AWS Command Line Interface (AWS CLI):

aws transfer start-file-transfer --connector-id c-1234567890abcdef0 \
--send-file-paths "/amzn-s3-demo-source-bucket/myfile1.txt" "/amzn-s3-demo-source-bucket/myfile2.txt"

Para obter detalhes dos conectores, execute o seguinte comando:

aws transfer list-connectors

O list-connectors comando retorna o conector e IDs URLs os Amazon Resource Names (ARNs) para seus conectores.

Para retornar as propriedades de um conector específico, execute o comando a seguir com o ID que você deseja usar:

aws transfer describe-connector --connector-id your-connector-id

O describe-connector comando retorna todas as propriedades do conector, incluindo URL, funções, perfis, avisos de disposição de mensagens (MDNs), tags e métricas de monitoramento.

Você pode confirmar que o parceiro recebeu os arquivos com êxito visualizando os arquivos JSON e MDN. Esses arquivos são nomeados de acordo com as convenções descritas em Nomes e localizações dos arquivos. Se você configurou uma função de registro ao criar o conector, também poderá verificar o status das AS2 mensagens em seus CloudWatch registros.