Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon IoT Greengrass 的设备身份验证和授权

Amazon IoT Greengrass 环境中的设备使用 X.509 证书进行身份验证，使用 Amazon IoT 策略进行授权。证书和策略可让设备在彼此之间以及与 Amazon IoT Core 和 Amazon IoT Greengrass 之间安全地相互连接。

X.509 证书属于数字证书，它按照 X.509 公有密钥基础设施标准将公有密钥与证书所含的身份相关联。X.509 证书由一家名为证书颁发机构 (CA) 的可信实体颁发。CA 持有一个或多个名为 CA 证书的特殊证书，它使用这种证书来颁发 X.509 证书。只有证书颁发机构才有权访问 CA 证书。

Amazon IoT 策略定义允许 Amazon IoT 设备执行的操作集。具体而言，它们允许和拒绝访问 Amazon IoT Core 和 Amazon IoT Greengrass 数据层面操作，如发布 MQTT 消息和检索设备阴影。

所有设备都需要在 Amazon IoT Core 注册表中有条目，并且需要带附加 Amazon IoT 策略的已激活的 X.509 证书。设备分为两类：

X.509 证书

核心设备与客户端设备之间以及设备和/ Amazon IoT Core 或之间的通信Amazon IoT Greengrass必须经过身份验证。此双向身份验证基于注册的 X.509 设备证书和加密密钥。

在 Amazon IoT Greengrass 环境中，设备对以下传输层安全性 (TLS) 连接使用带有公钥和私钥的证书：

Amazon IoT Greengrass核心设备将证书存储在 Greengrass 根文件夹中。

证书颁发机构 (CA) 证书

Greengrass 核心设备和客户端设备下载用于对Amazon IoT Core和Amazon IoT Greengrass服务进行身份验证的根 CA 证书。我们建议您使用 Amazon Trust Services (ATS) 根 CA 证书，如 Amazon Root CA 1。有关更多信息，请参阅《Amazon IoT Core开发人员指南》中的用于服务器身份验证的 CA 证书。

客户端设备还会下载 Greengrass 核心设备 CA 证书。在相互身份验证期间，他们使用此证书来验证核心设备上的 MQTT 服务器证书。

在本地 MQTT 代理上轮换证书

当您启用客户端设备支持时，Greengrass 核心设备会生成本地 MQTT 服务器证书，客户端设备使用该证书进行相互身份验证。此证书由核心设备 CA 证书签名，核心设备将其存储在Amazon IoT Greengrass云中。客户端设备在发现核心设备时会检索核心设备 CA 证书。当他们连接到核心设备时，他们使用核心设备 CA 证书来验证核心设备的 MQTT 服务器证书。核心设备 CA 证书将在 5 年后过期。

默认情况下，MQTT 服务器证书每 7 天过期一次，您可以将此期限配置为 2 到 10 天。此时间期限基于安全最佳实践。这种轮换有助于减轻攻击者窃取 MQTT 服务器证书和私钥以冒充 Greengrass 核心设备的威胁。

Greengrass 核心设备在 MQTT 服务器证书到期前 24 小时轮换。Greengrass 核心设备生成新证书并重新启动本地 MQTT 代理。发生这种情况时，所有连接到 Greengrass 核心设备的客户端设备都将断开连接。客户端设备可以在短时间后重新连接到 Greengrass 核心设备。

数据层面操作的 Amazon IoT 策略

使用Amazon IoT策略授权对Amazon IoT Core和Amazon IoT Greengrass数据平面的访问权限。Amazon IoT Core数据平面为设备、用户和应用程序提供操作。这些操作包括连接Amazon IoT Core和订阅主题的功能。该Amazon IoT Greengrass数据平面为 Greengrass 设备提供操作。有关更多信息，请参阅Amazon IoT Greengrass V2 策略操作：这些操作包括解析组件依赖关系和下载公共组件构件的功能。

Amazon IoT策略是类似于 IAM 策略的 JSON 文档。它包含一个或多个策略语句，用于指定以下属性：

Amazon IoT策略支持*作为通配符，并将 MQTT 通配符（+和#）视为文字字符串。有关*通配符的更多信息，请参阅《用户指南》中的在资源 ARN 中使用通配符。Amazon Identity and Access Management

有关更多信息，请参阅《Amazon IoT Core开发者指南》中的Amazon IoT政策和Amazon IoT政策操作。

Amazon IoT Greengrass V2 策略操作

Amazon IoT Greengrass V2定义了 Greengrass 核心设备和客户端设备可以在Amazon IoT策略中使用的以下策略操作。要指定策略操作的资源，您使用该资源的 Amazon 资源名称 (ARN)。

更新核心设备的Amazon IoT政策

您可以使用Amazon IoT Greengrass和Amazon IoT控制台或 Amazon IoT API 来查看和更新核心设备的Amazon IoT策略。

Amazon IoT Greengrass V2核心设备的最低Amazon IoT政策

以下示例策略包含为支持核心设备的基本 Greengrass 功能所需的一组最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "arn:aws:iot:region:account-id:client/core-device-thing-name*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive",
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrass/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrassv2/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iot:AssumeRoleWithCertificate",
            "Resource": "arn:aws:iot:region:account-id:rolealias/token-exchange-role-alias-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetComponentVersionArtifact",
                "greengrass:ResolveComponentCandidates",
                "greengrass:GetDeploymentConfiguration",
                "greengrass:ListThingGroupsForCoreDevice"
            ],
            "Resource": "*"
        }
    ]
}

支持客户端设备的最低Amazon IoT策略

以下示例策略包括支持与核心设备上的客户端设备交互所需的最低限度操作集。要支持客户端设备，除了基本操作的最小Amazon IoT策略外，核心设备还必须具有此Amazon IoT策略中的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:PutCertificateAuthorities",
                "greengrass:VerifyClientDeviceIdentity"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:VerifyClientDeviceIoTCertificateAssociation"
            ],
            "Resource": "arn:aws:iot:region:account-id:thing/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-device-thing-name"
            ]
        }
    ]
}

客户端设备的最低Amazon IoT政策

以下示例策略包括客户端设备发现其通过 MQTT 连接和通信的核心设备所需的最低限度操作集。客户端设备的Amazon IoT策略必须包括允许设备发现其相关 Greengrass 核心设备的连接信息的greengrass:Discover操作。Resource在本节中，指定客户端设备的亚马逊资源名称 (ARN)，而不是Greengrass核心设备的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:Discover"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/*"
            ]
        }
    ]
}