AWS Transfer Family für AS2

Applicability Statement 2 (AS2) ist eine Spezifikation für die RFC-defined Dateiübertragung, die starke Mechanismen zum Schutz und zur Überprüfung von Nachrichten beinhaltet. Beim Schutz einer AS2-Nutzlast während der Übertragung wird die Cryptographic Message Syntax (CMS) mit Verschlüsselung und digitalen Signaturen verwendet, um Datenschutz und Peer-Authentifizierung zu gewährleisten. Eine signierte MDN-Antwort-Nutzlast (Message Disposition Notice) dient zur Bestätigung (ohne Abstreitbarkeit), dass eine Nachricht empfangen und erfolgreich entschlüsselt wurde.

Das AS2-Protokoll ist entscheidend für Workflows mit Compliance-Anforderungen, die darauf beruhen, dass Datenschutz- und Sicherheitsfunktionen in das Protokoll integriert sind. AWS Transfer Family AS2-Endgeräte sind von Drummond zertifiziert, sodass Kunden aus Branchen wie Einzelhandel, Biowissenschaften, Fertigung, Finanzdienstleistungen und Versorgungsunternehmen sichere Transaktionen mit ihren Geschäftspartnern durchführen können.

Wenn Sie AS2 mit Transfer Family verwenden, ist der Zugriff auf die Transaktionsdaten nativ wie folgt möglich: AWS

• Verarbeitung, Analyse und maschinelles Lernen

• Integration mit ERP-Systemen (Enterprise Resource Planning)

• Integration mit Systemen für das Kundenbeziehungsmanagement (CRM)

Um Dateien mit einem Partner auszutauschen, der über einen AS2-enabled Server verfügt, müssen Sie:

• Generieren Sie ein öffentlich-privates Schlüsselpaar für die Verschlüsselung

• Generieren Sie ein öffentlich-privates Schlüsselpaar zum Signieren

• Tauschen Sie die öffentlichen Schlüssel mit Ihrem Partner aus

Wichtig

HTTPS-AS2-Serverendpunkte werden derzeit nicht unterstützt. Sie sind für die TLS-Terminierung verantwortlich.

Transfer Family bietet einen Workshop an, an dem Sie teilnehmen können, in dem Sie einen Transfer Family-Endpunkt mit aktiviertem AS2 und einen Transfer Family AS2-Connector konfigurieren können. Die Details zu diesem Workshop finden Sie hier.

Eine schrittweise Anleitung zur Konfiguration von AS2 in Transfer Family finden Sie im Folgenden:

1. Importieren Sie AS2-Zertifikate

2. AS2-Profile erstellen

3. Erstellen Sie einen AS2-Server

4. Erstellen Sie eine AS2-Vereinbarung

5. Konfigurieren Sie AS2-Konnektoren

Ein vollständiges Beispiel finden Sie unterEinrichtung einer AS2-Konfiguration.

Anmerkung

Um die Unterstützung für AS2-Terraform-Vorlagen anzuzeigen, fügen Sie der Funktionsanfrage für Terraform-Vorlagen zur Übertragung von Terraform-Vorlagen eine Daumen-hoch-Reaktion (👍) hinzu. Sie können auch einen Kommentar hinzufügen, der Ihren Anwendungsfall beschreibt.

AS2-Anwendungsfälle

Wenn Sie ein AWS Transfer Family Kunde sind, der Dateien mit einem Partner austauschen möchte, der über einen AS2-enabled Server verfügt, besteht der komplexeste Teil der Einrichtung darin, ein öffentlich-privates Schlüsselpaar für die Verschlüsselung und ein weiteres für das Signieren und Austauschen der öffentlichen Schlüssel mit dem Partner zu generieren.

Ziehen Sie die folgenden Varianten für die Verwendung AWS Transfer Family mit AS2 in Betracht.

Anmerkung

Handelspartner ist der Partner, der mit diesem Partnerprofil verknüpft ist.

Bei allen Erwähnungen von MDN in der folgenden Tabelle wird von signierten mDNS ausgegangen.

AS2-Anwendungsfälle

Inbound-only Anwendungsfälle Übertragen Sie verschlüsselte AS2-Nachrichten von einem Handelspartner auf einen Transfer Family-Server. Führen Sie in diesem Fall folgende Schritte aus: Erstellen Sie Profile für Ihren Handelspartner und sich selbst. Erstellen Sie einen Transfer Family-Server, der das AS2-Protokoll verwendet. Erstellen Sie eine Vereinbarung und fügen Sie sie Ihrem Server hinzu. Importieren Sie ein Zertifikat mit einem privaten Schlüssel und fügen Sie es Ihrem Profil hinzu. Importieren Sie dann den öffentlichen Schlüssel zur Verschlüsselung in Ihr Partnerprofil. Nachdem Sie diese Elemente erhalten haben, senden Sie den öffentlichen Schlüssel für Ihr Zertifikat an Ihren Handelspartner. Jetzt kann Ihr Partner Ihnen verschlüsselte Nachrichten senden und Sie können sie entschlüsseln und in Ihrem Amazon S3-Bucket speichern. Übertragen Sie verschlüsselte AS2-Nachrichten von einem Handelspartner auf einen Transfer Family-Server und fügen Sie eine Signatur hinzu. In diesem Szenario führen Sie immer noch nur eingehende Übertragungen durch, aber jetzt möchten Sie, dass Ihr Partner die von ihm gesendeten Nachrichten signiert. Importieren Sie in diesem Fall den öffentlichen Signaturschlüssel des Handelspartners (als Signaturzertifikat, das dem Profil Ihres Partners hinzugefügt wurde). Übertragen Sie verschlüsselte AS2-Nachrichten von einem Handelspartner auf einen Transfer Family-Server und fügen Sie das Signieren und Senden einer MDN-Antwort hinzu. In diesem Szenario führen Sie immer noch nur eingehende Transfers durch, aber jetzt möchte Ihr Geschäftspartner nicht nur signierte Payloads erhalten, sondern auch eine signierte MDN-Antwort erhalten. Importieren Sie Ihre öffentlichen und privaten Signaturschlüssel (als Signaturzertifikat in Ihr Profil). Senden Sie den öffentlichen Signaturschlüssel an Ihren Handelspartner.

Outbound-only Anwendungsfälle Übertragen Sie verschlüsselte AS2-Nachrichten von einem Transfer Family-Server an einen Handelspartner. Dieser Fall ähnelt dem Anwendungsfall für reine eingehende Übertragung, mit der Ausnahme, dass Sie, anstatt Ihrem AS2-Server eine Vereinbarung hinzuzufügen, einen Connector erstellen. In diesem Fall importieren Sie den öffentlichen Schlüssel Ihres Handelspartners in dessen Profil. Übertragen Sie verschlüsselte AS2-Nachrichten von einem Transfer Family-Server an einen Handelspartner und fügen Sie eine Signatur hinzu. Sie tätigen immer noch nur ausgehende Überweisungen, aber jetzt möchte Ihr Handelspartner, dass Sie die Nachricht, die Sie an ihn senden, unterschreiben. Importieren Sie Ihren privaten Signaturschlüssel (als Signaturzertifikat, das Ihrem Profil hinzugefügt wurde). Senden Sie Ihrem Handelspartner Ihren öffentlichen Schlüssel. Übertragen Sie verschlüsselte AS2-Nachrichten von einem Transfer Family-Server an einen Handelspartner, fügen Sie eine Signatur hinzu und senden Sie eine MDN-Antwort. Sie führen immer noch nur ausgehende Transfers durch, aber jetzt möchten Sie nicht nur signierte Payloads senden, sondern auch eine signierte MDN-Antwort von Ihrem Handelspartner erhalten. Ihr Handelspartner sendet Ihnen seinen öffentlichen Signaturschlüssel. Importieren Sie den öffentlichen Schlüssel Ihres Handelspartners (als Signaturzertifikat, das Ihrem Partnerprofil hinzugefügt wurde).

Anwendungsfälle für eingehende und ausgehende Sendungen Übertragen Sie verschlüsselte AS2-Nachrichten in beide Richtungen zwischen einem Transfer Family-Server und einem Handelspartner. Führen Sie in diesem Fall folgende Schritte aus: Erstellen Sie Profile für Ihren Handelspartner und sich selbst. Erstellen Sie einen Transfer Family-Server, der das AS2-Protokoll verwendet. Erstellen Sie eine Vereinbarung und fügen Sie sie Ihrem Server hinzu. Erstellen Sie einen Connector. Importieren Sie ein Zertifikat mit einem privaten Schlüssel und fügen Sie es Ihrem Profil hinzu. Importieren Sie dann den öffentlichen Schlüssel zur Verschlüsselung in Ihr Partnerprofil. Erhalten Sie einen öffentlichen Schlüssel von Ihrem Handelspartner und fügen Sie ihn zur Verschlüsselung zu seinem Profil hinzu. Nachdem Sie diese Artikel erhalten haben, senden Sie den öffentlichen Schlüssel für Ihr Zertifikat an Ihren Handelspartner. Jetzt können Sie und Ihr Handelspartner verschlüsselte Nachrichten austauschen, und Sie können sie beide entschlüsseln. Sie können die Nachrichten, die Sie erhalten, in Ihrem Amazon S3-Bucket speichern, und Ihr Partner kann die Nachrichten, die Sie an ihn senden, entschlüsseln und speichern. Übertragen Sie verschlüsselte AS2-Nachrichten in beide Richtungen zwischen einem Transfer Family-Server und einem Handelspartner und fügen Sie eine Signatur hinzu. Jetzt möchten Sie und Ihr Partner signierte Nachrichten. Importiere deinen privaten Signaturschlüssel (als Signaturzertifikat, das deinem Profil hinzugefügt wurde). Senden Sie Ihrem Handelspartner Ihren öffentlichen Schlüssel. Importieren Sie den öffentlichen Signaturschlüssel Ihres Handelspartners und fügen Sie ihn seinem Profil hinzu. Übertrage verschlüsselte AS2-Nachrichten in beide Richtungen zwischen einem Transfer Family-Server und einem Handelspartner, füge eine Signatur hinzu und sende eine MDN-Antwort. Jetzt möchten Sie signierte Payloads austauschen, und sowohl Sie als auch Ihr Handelspartner möchten MDN-Antworten. Ihr Handelspartner sendet Ihnen seinen öffentlichen Signaturschlüssel. Importieren Sie den öffentlichen Schlüssel Ihres Handelspartners (als Signaturzertifikat in Ihr Partnerprofil). Senden Sie Ihren öffentlichen Schlüssel an Ihren Handelspartner.

AS2-Vorlagen CloudFormation

Dieses Thema enthält Informationen zu AWS CloudFormation Vorlagen, mit denen Sie AS2-Server und Konfigurationen für schnell bereitstellen können. AWS Transfer Family Diese Vorlagen automatisieren den Einrichtungsvorgang und helfen Ihnen bei der Implementierung von Best Practices für AS2-Dateiübertragungen.

• Die grundlegende AS2-Vorlage wird beschrieben in Verwenden Sie eine Vorlage, um einen Transfer Family AS2-Demo-Stack zu erstellen

• Die AS2-Vorlage zum Anpassen von HTTP-Headern wird unter beschrieben. Passen Sie HTTP-Header für AS2-Nachrichten an

AS2-Vorlagen anpassen

Sie können die bereitgestellten Vorlagen an Ihre spezifischen Anforderungen anpassen:

1. Laden Sie die Vorlage von der S3-URL herunter.

2. Ändern Sie den YAML-Code, um Konfigurationen wie die folgenden anzupassen:

   • Sicherheitseinstellungen und Zertifikatkonfigurationen

   • Netzwerkarchitektur und VPC-Einstellungen

   • Speicheroptionen und Dateiverwaltung

   • Einstellungen für Überwachung und Benachrichtigung

3. Laden Sie Ihre geänderte Vorlage in Ihren eigenen S3-Bucket hoch.

4. Stellen Sie die benutzerdefinierte Vorlage mithilfe der CloudFormation Konsole bereit oder AWS CLI.

Wichtig

Achten Sie beim Anpassen von Vorlagen darauf, dass die Abhängigkeiten zwischen den Ressourcen gewahrt bleiben und die bewährten Sicherheitsmethoden befolgt werden.

Testen Sie Ihre AS2-Bereitstellung

Nachdem Sie einen AS2-Server mithilfe einer Vorlage bereitgestellt haben, können Sie die Konfiguration testen:

1. Suchen Sie in den CloudFormation Stack-Ausgaben nach Beispielbefehlen und Endpunktinformationen.

2. Verwenden Sie den AWS CLI , um eine Testdatei zu senden:

   aws s3api put-object --bucket your-bucket-name --key test.txt --body test.txt
   aws transfer start-file-transfer --connector-id your-connector-id --send-file-paths /your-bucket-name/test.txt

3. Überprüfen Sie die Dateizustellung im Ziel-S3-Bucket.

4. Überprüfen Sie die CloudWatch Protokolle auf erfolgreiche Verarbeitung und MDN-Antworten.

Für umfassendere Tests sollten Sie erwägen, AS2-Clients von Drittanbietern zu verwenden, um Dateien an Ihren Transfer Family AS2-Server zu senden.

Bewährte Methoden für die Bereitstellung von AS2-Vorlagen

Beachten Sie bei der Verwendung von CloudFormation AS2-Vorlagen diese bewährten Methoden:

Sicherheit

Verwenden Sie starke Zertifikate und wechseln Sie sie regelmäßig ab.

Implementieren Sie IAM-Richtlinien mit den geringsten Rechten.

Beschränken Sie den Netzwerkzugriff mithilfe von Sicherheitsgruppen.

Zuverlässigkeit

Stellen Sie es in mehreren Availability Zones bereit.

Implementieren Sie Überwachungs- und Warnmeldungen für fehlgeschlagene Übertragungen.

Richten Sie automatische Wiederholungsversuche für fehlgeschlagene Übertragungen ein.

Leistung

Wählen Sie die geeigneten Instance-Typen für Ihr Übertragungsvolumen.

Implementieren Sie S3-Lebenszyklusrichtlinien für eine effiziente Dateiverwaltung.

Überwachen und optimieren Sie Netzwerkkonfigurationen.

Kostenoptimierung

Verwenden Sie die automatische Skalierung für variable Workloads.

Implementieren Sie S3-Speicherklassen für ältere Dateien.

Überwachen Sie Ressourcen und passen Sie sie an die tatsächliche Nutzung an.