Amazon IoT Greengrass 的设备身份验证和授权

Amazon IoT Greengrass 环境中的设备使用 X.509 证书进行身份验证，使用 Amazon IoT 策略进行授权。证书和策略可让设备在彼此之间以及与 Amazon IoT Core 和 Amazon IoT Greengrass 之间安全地相互连接。

X.509 证书属于数字证书，它按照 X.509 公有密钥基础设施标准将公有密钥与证书所含的身份相关联。X.509 证书由一家名为证书颁发机构 (CA) 的可信实体颁发。CA 持有一个或多个名为 CA 证书的特殊证书，它使用这种证书来颁发 X.509 证书。只有证书颁发机构才有权访问 CA 证书。

Amazon IoT 策略定义允许 Amazon IoT 设备执行的操作集。具体而言，它们允许和拒绝访问 Amazon IoT Core 和 Amazon IoT Greengrass 数据层面操作，如发布 MQTT 消息和检索设备阴影。

所有设备都需要在 Amazon IoT Core 注册表中有条目，并且需要带附加 Amazon IoT 策略的已激活的 X.509 证书。设备分为两类：

X.509 证书

核心设备和客户端设备之间以及设备和之间的通信Amazon IoT Core要么Amazon IoT Greengrass必须经过身份验证。此双向身份验证基于注册的 X.509 设备证书和加密密钥。

在 Amazon IoT Greengrass 环境中，设备对以下传输层安全性 (TLS) 连接使用带有公钥和私钥的证书：

这些区域有：Amazon IoT Greengrass核心设备在两个位置存储证书：

有关更多信息，请参阅 Amazon IoT Greengrass 核心安全委托人。

证书颁发机构 (CA) 证书

核心设备和客户端设备将下载用于身份验证的根 CA 证书Amazon IoT Core和Amazon IoT Greengrass服务。我们建议您使用 Amazon Trust Services (ATS) 根 CA 证书，如 Amazon Root CA 1。有关更多信息，请参阅 。用于服务器身份验证的 CA 证书中的Amazon IoT Core开发人员指南.

客户端设备还将下载Greengrass 组 CA 证书。这用于在双向身份验证期间验证 Greengrass 核心上的 MQTT 服务器证书。有关更多信息，请参阅 设备连接工作流程。MQTT 服务器证书的默认期限为 7 天。

本地 MQTT 服务器上的证书轮换

客户端设备使用本地 MQTT 服务器证书与 Greengrass 核心设备进行双向身份验证。默认情况下，此证书将在 7 天后过期。此时间期限基于安全最佳实践。MQTT 服务器证书由存储在云中的组 CA 证书签署。

要进行证书轮换，Greengrass 核心设备必须在线并能够访问Amazon IoT Greengrass定期直接服务。当证书过期后，核心设备将尝试连接到Amazon IoT Greengrass服务以获取新证书。如果连接成功，核心设备将下载新的 MQTT 服务器证书并重新启动本地 MQTT 服务。此时，连接到此核心的所有客户端设备都将断开连接。如果核心设备在过期时处于离线状态，它不会接收替换证书。任何新的连接到核心服务的尝试都会被拒绝。现有连接不会受影响。客户端设备将无法连接到核心设备Amazon IoT Greengrass服务将恢复，并且可以下载新的 MQTT 服务器证书。

您可以将过期时间设置为 7 天到 30 天之间的任何值，具体取决于您的需要。轮换越频繁，就需要越频繁地进行云连接。轮换频率较低可能会带来安全问题。如果要将证书过期时间值设置为高于 30 天，请联系Amazon Web Services Support.

在Amazon IoT控制台上，您可以管理组的设置页. 在Amazon IoT GreengrassAPI，您可以使用UpdateGroupCertificateConfigurationaction.

当 MQTT 服务器证书过期后，所有验证证书的尝试都将失败。客户端设备必须能够检测故障并终止连接。

数据层面操作的 Amazon IoT 策略

使用 Amazon IoT 策略授权对 Amazon IoT Core 和 Amazon IoT Greengrass 数据层面的访问。Amazon IoT Core 数据层面由设备、用户和应用程序的操作组成，如连接到 Amazon IoT Core 和订阅主题。Amazon IoT Greengrass 数据层面由 Greengrass 设备的操作组成，如检索部署和更新连接信息。

网络 ACL 和安全组都允许 (因此可到达您的实例) 的发起 ping 的Amazon IoT策略是一个 JSON 文档，类似于IAM policy. 它包含一个或多个策略语句，用于指定以下属性：

Amazon IoT策略支持*作为通配符，并将 MQTT 通配符 (+和#) 作为文字字符串。有关的更多信息*通配符，请参阅在资源 ARN 中使用通配符中的Amazon Identity and Access Management用户指南.

有关更多信息，请参阅 。Amazon IoT策略和Amazon IoT策略操作中的Amazon IoT Core开发人员指南.

Amazon IoT Greengrass 策略操作

Amazon IoT Greengrass 核心设备的最低 Amazon IoT 策略

以下示例策略包含为支持核心设备的基本 Greengrass 功能所需的一组最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

在Amazon IoT控制台上，您可以查看和编辑附加到核心证书的策略。