设置

转到Amazon Identity and Access Management 控制台并登录 Amazon Web Services 账户 您用于设备顾问测试的。

在左侧导航窗格中，选择 Policies（策略）。

选择 创建策略。

在 Create Policy（创建策略）下，执行以下操作。

1. 对于 Service (服务)，请选择 IoT。

2. 在操作下，执行以下操作之一：

   • （建议）根据您在上一节中创建的 IoT 事物或证书所附的策略选择操作。

   • 在筛选操作框中搜索以下操作并选择它们：

     • Connect

     • Publish

     • Subscribe

     • Receive

     • RetainPublish

3. 在资源下，限制客户端、主题和主题资源。限制这些资源是一种最佳安全实践。要限制资源，请执行以下操作：

   1. 选择 Specify client resource ARN for the Connect action（为 Connect 操作指定客户端资源 ARN）。

   2. 选择添加 ARN，然后执行以下任一操作：

      注意

      clientId 是设备用于与 Device Advisor 交互的 MQTT 客户端 ID。

      • 在可视化 ARN 编辑器中指定区域、账户 ID 和客户端 ID。

      • 手动输入要用于运行测试用例的 IoT 主题的 Amazon 资源名称（ARN）。

   3. 选择 添加。

   4. 选择为接收及另一个操作指定主题资源 ARN。

   5. 选择添加 ARN，然后执行以下任一操作：

      注意

      主题名称是设备向其发布消息的 MQTT 主题。

      • 在可视化 ARN 编辑器中指定区域、账户 ID 和主题名称。

      • 手动输入要用于运行测试用例的 IoT 主题的 ARN。

   6. 选择 添加。

   7. 选择为订阅操作指定主题筛选条件资源 ARN。

   8. 选择添加 ARN，然后执行以下任一操作：

      注意

      主题名称是您的设备订阅的 MQTT 主题。

      • 在可视化 ARN 编辑器中指定区域、账户 ID 和主题名称。

      • 手动输入要用于运行测试用例的 IoT 主题的 ARN。

   9. 选择 添加。

选择下一步：标签。

选择下一步：审核。

在查看策略下，输入策略的名称。

选择 创建策略。

在左侧导航窗格中，选择 Roles（角色）。

请选择 创建角色。

在选择可信实体下，选择自定义信任策略。

在自定义信任策略框中输入以下信任策略。为防止出现混淆代理人问题，请在策略中添加全局条件键 aws:SourceArn 和 aws:SourceAccount。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAwsIoTCoreDeviceAdvisor",
            "Effect": "Allow",
            "Principal": {
                "Service": "iotdeviceadvisor.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:iotdeviceadvisor:*:111122223333:suitedefinition/*"
                }
            }
        }
    ]
}

选择下一步。

选择您在步骤 4 中创建的策略。

（可选）在设置权限边界下，选择使用权限边界控制最大角色权限，然后选择您创建的策略。

选择下一步。

输入 Role name（角色名称）和 Role description（角色描述）。

选择 创建角色。

通过以下网址导航到 IAM 控制台：https://console.aws.amazon.com/iam/。如果提示，请输入您的 Amazon 凭证。

在左侧导航窗格中，选择 Policies（策略）。

选择 Create policy（创建策略），然后选择 JSON 选项卡。

添加必要的权限以使用 Device Advisor。可在安全最佳实践主题中找到策略文档。

选择 Review Policy（查看策略）。

输入名称和描述。

选择创建策略。

导航到 IAM 控制台：https://console.aws.amazon.com/iam/如果出现提示，请输入要登录的 Amazon 凭证。

在左侧导航窗格中，选择 Users（用户）。

选择添加用户。

输入用户名称。

如果用户想在 Amazon 外部进行交互，则需要编程访问权限 Amazon Web Services Management Console。 Amazon API 和 Amazon Command Line Interface 所需的访问密钥。可能的话，创建临时凭证，该凭证由一个访问密钥 ID、一个秘密访问密钥和一个指示凭证何时到期的安全令牌组成。

要向用户授予编程式访问权限，请选择以下选项之一。

选择下一步：权限。

要提供访问权限，请为您的用户、组或角色添加权限：

在搜索框中输入您创建的客户管理型策略的名称。然后，选中与策略名称对应的复选框。

选择下一步：标签。

选择 Next: Review (下一步: 审核)。

选择 Create user。

选择关闭。