Amazon IoT Greengrass 的设备身份验证和授权

Amazon IoT Greengrass 环境中的设备使用 X.509 证书进行身份验证，使用 Amazon IoT 策略进行授权。证书和策略可让设备在彼此之间以及与 Amazon IoT Core 和 Amazon IoT Greengrass 之间安全地相互连接。

X.509 证书属于数字证书，它按照 X.509 公有密钥基础设施标准将公有密钥与证书所含的身份相关联。X.509 证书由一家名为证书颁发机构 (CA) 的可信实体颁发。CA 持有一个或多个名为 CA 证书的特殊证书，它使用这种证书来颁发 X.509 证书。只有证书颁发机构才有权访问 CA 证书。

Amazon IoT 策略定义允许 Amazon IoT 设备执行的操作集。具体而言，它们允许和拒绝访问 Amazon IoT Core 和 Amazon IoT Greengrass 数据层面操作，如发布 MQTT 消息和检索设备阴影。

所有设备都需要在 Amazon IoT Core 注册表中有条目，并且需要带附加 Amazon IoT 策略的已激活的 X.509 证书。设备分为两类：

X.509 证书

核心设备和客户端设备之间以及设备和 Amazon IoT Core 或 Amazon IoT Greengrass 之间的通信必须经过身份验证。此双向身份验证基于注册的 X.509 设备证书和加密密钥。

在 Amazon IoT Greengrass 环境中，设备对以下传输层安全性 (TLS) 连接使用带有公钥和私钥的证书：

Amazon IoT Greengrass 核心设备在两个位置存储证书：

有关更多信息，请参阅 Amazon IoT Greengrass 核心安全主体。

证书颁发机构 (CA) 证书

核心设备和客户端设备将下载用于使用 Amazon IoT Core 和 Amazon IoT Greengrass 服务进行身份验证的根 CA 证书。我们建议您使用 Amazon Trust Services (ATS) 根 CA 证书，如 Amazon Root CA 1。有关更多信息，请参阅 Amazon IoT Core 开发人员指南中的服务器身份验证的 CA 证书。

客户端设备还将下载 Greengrass 组 CA 证书。这用于在双向身份验证期间验证 Greengrass 核心上的 MQTT 服务器证书。有关更多信息，请参阅 设备连接工作流程。MQTT 服务器证书的默认期限为 7 天。

本地 MQTT 服务器上的证书轮换

客户端设备使用本地 MQTT 服务器证书与 Greengrass 核心设备进行双向身份验证。默认情况下，此证书将在 7 天后过期。此时间期限基于安全最佳实践。MQTT 服务器证书由存储在云中的组 CA 证书签署。

要进行证书轮换，Greengrass 核心设备必须在线并能够定期直接访问 Amazon IoT Greengrass 服务。当证书过期后，核心设备将尝试连接到 Amazon IoT Greengrass 服务以获取新证书。如果连接成功，核心设备将下载新的 MQTT 服务器证书并重新启动本地 MQTT 服务。此时，连接到此核心的所有客户端设备都将断开连接。如果核心设备在过期时处于离线状态，它不会接收替换证书。任何新的连接到核心服务的尝试都会被拒绝。现有连接不会受影响。客户端设备将无法连接到核心设备，直至恢复了到 Amazon IoT Greengrass 服务的连接，并且可以下载新的 MQTT 服务器证书。

您可以将过期时间设置为 7 天到 30 天之间的任何值，具体取决于您的需要。轮换越频繁，就需要越频繁地进行云连接。轮换频率较低可能会带来安全问题。如果您要将证书过期时间值设置为高于 30 天，请联系 Amazon Web Services Support。

在 Amazon IoT 控制台中，您可以在组的 设置 页面管理证书。在 Amazon IoT Greengrass API 中，您可以使用UpdateGroupCertificateConfiguration操作。

当 MQTT 服务器证书过期后，所有验证证书的尝试都将失败。客户端设备必须能够检测故障并终止连接。

数据层面操作的 Amazon IoT 策略

使用 Amazon IoT 策略授权对 Amazon IoT Core 和 Amazon IoT Greengrass 数据层面的访问。Amazon IoT Core 数据层面由设备、用户和应用程序的操作组成，如连接到 Amazon IoT Core 和订阅主题。Amazon IoT Greengrass 数据层面由 Greengrass 设备的操作组成，如检索部署和更新连接信息。

Amazon IoT 策略是一个与 IAM 策略 类似的 JSON 文档。它包含一个或多个策略语句，用于指定以下属性：

Amazon IoT 策略支持 * 作为通配符，并将 MQTT 通配符（+和#）视为文字字符串。有关 * 通配符的更多信息，请参阅《Amazon Identity and Access Management 用户指南》中的在资源 ARN 中使用通配符。

有关更多信息，请参阅 Amazon IoT Core 开发人员指南中的 Amazon IoT策略和 Amazon IoT 策略操作。

Amazon IoT Greengrass 策略操作

Amazon IoT Greengrass 核心设备的最低 Amazon IoT 策略

以下示例策略包含为支持核心设备的基本 Greengrass 功能所需的一组最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

在 Amazon IoT 控制台中，您可以查看和编辑附加到核心证书的策略。