建立最小可行数据空间以在组织之间共享数据

克隆存储库。

要将存储库克隆到工作站，请运行以下命令：

git clone https://github.com/Think-iT-Labs/aws-patterns-edc

工作站必须有权访问您的 AWS 账户。

预调配 Kubernetes 集群并设置命名空间。

要在您的账户中部署简化的默认 EKS 集群，请在克隆存储库的工作站上运行以下 eksctl 命令：

eksctl create cluster

此命令可创建跨越三个不同可用区的 VPC 以及私有和公有子网。创建网络层后，该命令将在一个 Auto Scaling 组中创建两个m5.large EC2 实例。

有关更多信息和输出示例，请参阅 eksctl 指南。

预调配私有集群后，运行以下命令以将新的 EKS 集群添加到本地 Kubernetes 配置中：

aws eks update-kubeconfig --name <EKS CLUSTER NAME> --region <AWS REGION>

此模式使用eu-west-1 AWS 区域 来运行所有命令。但是，您可以根据自己的喜好运行相同的命令 AWS 区域。

要确认您的 EKS 节点是否正在运行并且处于就绪状态，请运行以下命令：

kubectl get nodes

设置命名空间。

要为提供者和使用者创建命名空间，请运行以下命令：

kubectl create ns provider
kubectl create ns consumer

在这种模式中，使用 provider 和 consumer 作为命名空间以适应下一步的配置，这一点非常重要。

使用部署 DAPS AWS CloudFormation。

为了便于管理 DAPS 操作，DAPS 服务器安装在实例上 EC2 。

要安装 DAPS，请使用 AWS CloudFormation 模板。您需要先决条件部分的 ACM 证书和 DNS 名称。模板会部署和配置以下资源：

您可以登录 AWS Management Console 并使用AWS CloudFormation 控制台来部署 AWS CloudFormation 模板。您也可以使用如下 AWS CLI 命令来部署模板：

aws cloudformation create-stack --stack-name daps \
  --template-body file://aws-patterns-edc/cloudformation.yml --parameters \
ParameterKey=CertificateARN,ParameterValue=<ACM Certificate ARN> \
ParameterKey=DNSName,ParameterValue=<DNS name> \
ParameterKey=InstanceType,ParameterValue=<EC2 instance type> \
ParameterKey=EnvironmentName,ParameterValue=<Environment Name> --capabilities CAPABILITY_NAMED_IAM

环境名称由您自己选择。我们建议使用有意义的术语DapsInfrastructure，例如，因为它会反映在 AWS 资源标签中。

对于此模式，t3.small 足够大，可以运行有三个 Docker 容器的 DAPS 工作流。

该模板将 EC2 实例部署在私有子网中。这意味着我们无法通过 SSH（安全外壳）从互联网直接访问这些实例。这些实例已配置必要的 IAM 角色和 AWS Systems Manager 代理，以便能够通过会话管理器访问正在运行的 AWS Systems Manager实例，该功能为。

我们建议使用会话管理器进行访问。或者，您可以预调配堡垒主机以允许从互联网访问 SSH。使用堡垒主机方法时， EC2 实例可能需要几分钟才能开始运行。

成功部署 AWS CloudFormation 模板后，将 DNS 名称指向您的 Application Load Balancer DNS 名称。要确认这一点，请运行以下命令：

dig <DNS NAME>

此输出应当类似于如下所示：

; <<>> DiG 9.16.1-Ubuntu <<>> edc-pattern.think-it.io
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42344
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;edc-pattern.think-it.io.           IN          A

;; ANSWER SECTION:
edc-pattern.think-it.io. 276        IN          CNAME    daps-alb-iap9zmwy3kn8-1328773120.eu-west-1.elb.amazonaws.com.
daps-alb-iap9zmwy3kn8-1328773120.eu-west-1.elb.amazonaws.com. 36 IN A 52.208.240.129
daps-alb-iap9zmwy3kn8-1328773120.eu-west-1.elb.amazonaws.com. 36 IN A 52.210.155.124

将参与者的连接器注册到 DAPS 服务。

在为 DAPS 预置的任何 EC2 实例中，注册参与者：

名称的选择不影响后续步骤。我们建议使用 provider 和 consumer，或者使用 companyx 和 companyy。

注册命令还将使用从创建的证书和密钥中获取的必要信息，自动配置 DAPS 服务。

登录到 DAPS 服务器时，收集后续安装步骤所需的信息：

我们建议将文本复制粘贴到工作站上以 daps- 为前缀的同名文件中。

您应该拥有提供者和 IDs 使用者的客户端，并且工作站的工作目录中应有四个文件：

克隆 Tractus-X EDC 存储库并使用 0.4.1 版本。

Tractus-X EDC 连接器的版本需要部署和使用 PostgreSQL（资产数据库）和 HashiCorp 保管库（机密管理）服务。

Tractus-X EDC Helm 图表有许多不同版本。此模式指定 0.4.1 版，因其使用 DAPS 服务器。

最新版本采用托管身份钱包（MIW），其身份服务以分布式架构实现。

在您创建了两个 Kubernetes 命名空间的工作站上，克隆 tractusx-edc 存储库，然后查看 release/0.4.1 分支。

git clone https://github.com/eclipse-tractusx/tractusx-edc

cd tractusx-edc

git checkout release/0.4.1

配置 Tractus-X EDC Helm 图表。

修改 Tractus-X Helm 图表模板配置，使两个连接器能够相互协作。

为此，您需要将命名空间添加到服务的 DNS 名称中，以便集群中的其他服务可以对其进行解析。应对 charts/tractusx-connector/templates/_helpers.tpl 文件做这些修改。此模式提供了此文件的最终修改版本供您使用。请将其复制并放在文件 charts/tractusx-connector/templates/_helpers.tpl 的 daps 部分。

请务必在 charts/tractusx-connector/Chart.yaml 为所有 DAPS 依赖项添加注释：

dependencies:
  # IDS Dynamic Attribute Provisioning Service (IAM)
  #  - name: daps
  # version: 0.0.1
  # repository: "file://./subcharts/omejdn"
  # alias: daps
  # condition: install.daps

配置连接器以在 Amazon RDS 上使用 PostgreSQL。

（可选）此模式中不需要 Amazon Relational Database Service（Amazon RDS）实例。但是，我们强烈建议使用 Amazon RDS 或 Amazon Aurora，因为它们提供高可用性、备份和恢复等功能。

要将 Kubernetes 上的 PostgreSQL 替换为 Amazon RDS，请执行以下操作：

postgresql:
  auth:
    database: edc
    password: <RDS PASSWORD>
    username: <RDS Username>
  jdbcUrl: jdbc:postgresql://<RDS DNS NAME>:5432/edc
  username: <RDS Username>
  password: <RDS PASSWORD>
  primary:
    persistence:
      enabled: false
  readReplicas:
    persistence:
      enabled: false

配置和部署提供者连接器及其服务。

要配置提供者连接器及其服务，请执行以下操作：

将证书和密钥添加到提供者备份库。

为避免混淆，请在 tractusx-edc/charts 目录之外生成以下证书。

例如，运行以下命令以更改到主目录：

cd ~

现在，您需要将提供者所需的密钥添加到备份库中。

备份库中密钥的名称是 provider_edc.yml 文件 secretNames: 部分密钥的值。其配置默认如下：

secretNames:
               transferProxyTokenSignerPrivateKey: transfer-proxy-token-signer-private-key
               transferProxyTokenSignerPublicKey: transfer-proxy-token-signer-public-key
               transferProxyTokenEncryptionAesKey: transfer-proxy-token-encryption-aes-key
               dapsPrivateKey: daps-private-key
               dapsPublicKey: daps-public-key

首先生成高级加密标准（AES）密钥、私钥、公钥和自签名证书。这些随后会作为密钥添加到备份库中。

此外，此目录应包含您从 DAPS 服务器复制的 daps-provider.cert 和 daps-provider.key 文件。

现在，您应该能够通过浏览器或 CLI 访问备份库。

浏览器

Vault CLI

CLI 也会使用您配置的端口转发。

配置和部署使用者连接器及其服务。

配置和部署使用者的步骤与您为提供者完成的步骤类似：

将证书和密钥添加到使用者备份库。

出于安全考量，我们建议为每个数据空间参与者重新生成证书和密钥。此模式会为使用者重新生成证书和密钥。

这些步骤与适用于提供者的步骤非常类似。您可以验证 consumer_edc.yml 文件中的密钥名称。

备份库中密钥的名称是 consumer_edc.yml file 的 secretNames: 部分密钥的值。其配置默认如下：

secretNames:
               transferProxyTokenSignerPrivateKey: transfer-proxy-token-signer-private-key
               transferProxyTokenSignerPublicKey: transfer-proxy-token-signer-public-key
               transferProxyTokenEncryptionAesKey: transfer-proxy-token-encryption-aes-key
               dapsPrivateKey: daps-private-key
               dapsPublicKey: daps-public-key

您从 DAPS 服务器复制的 daps-consumer.cert 和 daps-consumer.key 文件应该已经存在于此目录中。

这次的本地端口是 8201，因此您可以为生产者和使用者设置端口转发。

浏览器

您可以使用浏览器连接到 http://localhost:8201/ 以访问实用者备份库，并使用概述的名称和内容创建密钥。

包含内容的密钥和文件如下：

Vault CLI

通过 Vault CLI，您可以运行以下命令登录备份库并创建密钥：

设置端口转发。

集群是私有的，不能公开访问。要与连接器交互，请使用 Kubernetes 端口转发功能，将计算机生成的流量转发到连接器控制面板。

为提供者和使用者创建 S3 存储桶。

EDC 连接器目前不使用临时 AWS 凭证，例如通过承担角色而提供的凭证。EDC 仅支持 IAM 访问密钥 ID 和秘密访问密钥组合。

后续步骤需要两个 S3 存储桶。一个 S3 存储桶用于存储提供者提供的数据。另一个 S3 存储桶用于存储使用者接收的数据。

IAM 用户应仅被授予读取和写入两个指定存储桶中对象的权限。

需要创建并妥善保管访问密钥 ID 和秘密访问密钥对。在此 MVDS 停用后，应删除 IAM 用户。

以下代码是用户的 IAM 策略示例。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "Stmt1708699805237",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion",
        "s3:ListAllMyBuckets",
        "s3:ListBucket",
        "s3:ListBucketMultipartUploads",
        "s3:ListBucketVersions",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::<S3 Provider Bucket>",
        "arn:aws:s3:::<S3 Consumer Bucket>",
        "arn:aws:s3:::<S3 Provider Bucket>/*",
        "arn:aws:s3:::<S3 Consumer Bucket>/*"
        ]    }
  ]
}

将 Postman 设置为与连接器交互。

现在，您可以通过 EC2 实例与连接器进行交互。使用 Postman 作为 HTTP 客户端，为提供者和使用者连接器提供 Postman 集合。

将集合从aws-pattern-edc存储库导入到您的 Postman 实例。

此模式使用 Postman 集合变量来为您的请求提供输入。

准备要共享的碳排放强度数据。

首先，您需要确定要共享的数据资产。X 公司的数据代表其车队的碳排放足迹。根据（WTW）测量，重量是以吨为单位的车辆总重（GVW），排放量以克/千米（g e CO2 /t-km）为单位： CO2 Wheel-to-Well

示例数据位于 aws-patterns-edc 存储库的 carbon_emissions_data.json 文件中。

X 公司使用 Amazon S3 存储对象。

创建 S3 存储桶，并将示例数据对象存储其中。以下命令可创建采用默认安全设置的 S3 存储桶。我们强烈建议您参阅 Amazon S3 安全最佳实践。

aws s3api create-bucket <BUCKET_NAME> --region <AWS_REGION>
# You need to add '--create-bucket-configuration 
# LocationConstraint=<AWS_REGION>' if you want to create # the bucket outside of us-east-1 region

aws s3api put-object --bucket <BUCKET_NAME> \
 --key <S3 OBJECT NAME> \
 --body <PATH OF THE FILE TO UPLOAD>

S3 存储桶名称应全局唯一。有关命名规则的更多信息，请参阅 AWS 文档。

使用 Postman 将数据资产注册到提供者的连接器。

EDC 连接器数据资产包含数据名称及其位置信息。这种情况下，EDC 连接器数据资产将指向 S3 存储桶中创建的对象：

定义资产的使用策略。

EDC 数据资产必须与明确的使用策略关联。首先，在提供者连接器中创建策略定义。

X 公司的策略是允许数据空间参与者使用碳排放足迹数据。

为资产及其使用策略定义 EDC 合同要约。

为允许其他参与者请求访问您的数据，请在合同中明确规定使用条件和权限：

索取 X 公司共享的数据目录。

作为数据领域的数据使用者，Y 公司首先需要发现其他参与者正在共享的数据。

在此基本设置中，您可以要求使用者连接器直接向提供者连接器请求可用资产的目录，以达成此目的。

就 X 公司的碳排放强度数据启动合同协商

既然您已确定要使用的资产，请启动使用者连接器与提供者连接器之间的合同协商流程。

此过程可能需要一些时间才能达到“已验证”状态。

您可以使用 Get Negotiation 请求来检查合同协商的状态和相应的协议 ID。

使用来自 HTTP 端点的数据。

（选项 1）要使用 HTTP 数据面板来使用数据空间中的数据，可以使用 webhook.site 来模拟 HTTP 服务器，然后在使用者连接器中启动传输过程：

在最后一步，您必须将请求发送到使用者数据面板（正确转发端口），如有效载荷（endpoint）中所述。

直接使用 S3 存储桶中的数据。

（选项 2）将 Amazon S3 集成到 EDC 连接器中，并直接将使用者基础设施中的 S3 存储桶作为目标位置：