Amazon IoT Greengrass Version 1 2023 年 6 月 30 日进入延长寿命阶段。有关更多信息，请参阅 Amazon IoT Greengrass V1 维护策略。在此日期之后，将 Amazon IoT Greengrass V1 不会发布提供功能、增强功能、错误修复或安全补丁的更新。在上面运行的设备 Amazon IoT Greengrass V1 不会中断，将继续运行并连接到云端。我们强烈建议您迁移到 Amazon IoT Greengrass Version 2，这样可以添加重要的新功能并支持其他平台。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon IoT Greengrass 中的配置和漏洞分析
IoT 环境可能由大量具有不同功能、长期存在且地理位置分散的设备组成。这些特性导致设备设置复杂且容易出错。由于设备的计算能力、内存和存储功能通常有限，因而限制了在设备本身上对加密和其它形式的安全功能的使用。此外，设备经常使用具有已知漏洞的软件。这些因素不仅令 IoT 设备成为吸引黑客的目标，而且导致难以持续保护设备安全。
Amazon IoT Device Defender 提供了识别安全问题和最佳实践偏离情况的工具，从而解决了这些难题。您可以使用 Amazon IoT Device Defender 分析、审计和监控连接设备，以检测异常行为并降低安全风险。Amazon IoT Device Defender 可以审计设备，以确保其遵守安全最佳实践，并检测设备上的异常行为。这使您能够跨多个设备实施一致的安全策略，并且能够在设备遭到破坏时快速响应。与 Amazon IoT Core 连接时，Amazon IoT Greengrass 将生成可预测的客户端 ID，您可以将其与 Amazon IoT Device Defender 结合使用。有关更多信息，请参阅 Amazon IoT Core 开发人员指南中的 Amazon IoT Device Defender。
在 Amazon IoT Greengrass 环境中，您应注意以下事项：
您有责任保护物理设备、设备上的文件系统和本地网络的安全。
Amazon IoT Greengrass 不会对用户定义的 Lambda 函数强制实施网络隔离，无论它们是否在 Greengrass 容器中运行。因此，Lambda 函数可以通过网络与系统内外运行的任何其他进程进行通信。
如果您失去了对 Greengrass 核心设备的控制，并且希望阻止客户端设备将数据传输到核心，请执行以下操作：
-
从 Greengrass 组中移除 Greengrass 核心。
-
轮换组 CA 证书。在 Amazon IoT 控制台中，您可以在组的 设置 页面上轮换 CA 证书。在 Amazon IoT Greengrass API 中，您可以使用CreateGroupCertificateAuthority操作。
如果您的核心设备的硬盘驱动器容易被盗，我们还建议使用全磁盘加密。