Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设备身份验证和授权 Amazon IoT Greengrass

Amazon IoT Greengrass 环境中的设备使用 X.509 证书进行身份验证，使用 Amazon IoT 策略进行授权。证书和策略可让设备在彼此之间以及与 Amazon IoT Core和 Amazon IoT Greengrass之间安全地相互连接。

X.509 证书属于数字证书，它按照 X.509 公有密钥基础设施标准将公有密钥与证书所含的身份相关联。X.509 证书由一家名为证书颁发机构 (CA) 的可信实体颁发。CA 持有一个或多个名为 CA 证书的特殊证书，它使用这种证书来颁发 X.509 证书。只有证书颁发机构才有权访问 CA 证书。

Amazon IoT 策略定义了允许 Amazon IoT 设备执行的一组操作。具体而言，它们允许和拒绝访问 Amazon IoT Core 和 Amazon IoT Greengrass 数据平面操作，例如发布 MQTT 消息和检索设备影子。

所有设备都需要在 Amazon IoT Core 注册表中输入一个条目，并附有已激活的 X.509 证书，并附有策略。 Amazon IoT 设备分为两类：

X.509 证书

核心设备与客户端设备之间以及设备和/或之间的通信 Amazon IoT Greengrass 必须经过身份验证。 Amazon IoT Core 此双向身份验证基于注册的 X.509 设备证书和加密密钥。

在 Amazon IoT Greengrass 环境中，设备使用带有公钥和私钥的证书来实现以下传输层安全 (TLS) 连接：

Amazon IoT Greengrass 核心设备将证书存储在 Greengrass 根文件夹中。

证书颁发机构 (CA) 证书

Greengrass 核心设备和客户端设备会下载用于对和服务进行身份验证的根 CA 证书。 Amazon IoT Core Amazon IoT Greengrass 我们建议您使用 Amazon Trust Services (ATS) 根 CA 证书，如 Amazon Root CA 1。有关更多信息，请参阅 Amazon IoT Core 开发人员指南中的服务器身份验证的 CA 证书。

客户端设备还将下载 Greengrass 核心设备 CA 证书。他们使用该证书在双向身份验证期间验证核心设备上的 MQTT 服务器证书。

本地 MQTT 代理的证书轮换

启用客户端设备支持后，Greengrass 核心设备会生成本地 MQTT 服务器证书，用于让客户端设备进行双向身份验证。此证书由核心设备 CA 证书签名，核心设备将其存储在 Amazon IoT Greengrass 云中。客户端设备在发现核心设备时会检索核心设备 CA 证书。连接到核心设备后，它们会使用核心设备 CA 证书来验证核心设备的 MQTT 服务器证书。核心设备 CA 证书将在 5 年后过期。

MQTT 服务器证书默认每 7 天到期，您可以将此有效期配置为 2 到 10 天之间。此时间期限基于安全最佳实践。这种轮换有助于降低攻击者窃取 MQTT 服务器证书和私钥并冒充 Greengrass 核心设备的风险。

Greengrass 核心设备会在 MQTT 服务器证书到期前 24 小时对其进行轮换。Greengrass 核心设备生成新证书并重新启动本地 MQTT 代理。发生这种情况时，连接到 Greengrass 核心设备的所有客户端设备都将断开连接。客户端设备可以在短时间后重新连接到 Greengrass 核心设备。

Amazon IoT 数据平面操作策略

使用 Amazon IoT 策略来授权访问 Amazon IoT Core 和 Amazon IoT Greengrass 数据平面。 Amazon IoT Core 数据面板为设备、用户和应用程序提供操作。这些操作包括连接 Amazon IoT Core 和订阅主题的功能。 Amazon IoT Greengrass 数据平面为 Greengrass 设备提供操作。有关更多信息，请参阅 Amazon IoT Greengrass V2 政策行动。这些操作包括解析组件依赖关系和下载公有组件构件的能力。

Amazon IoT 策略是类似于 IAM 策略的 JSON 文档。它包含一个或多个策略语句，用于指定以下属性：

Amazon IoT 策略支持*作为通配符，并将 MQTT 通配符（+和#）视为文字字符串。有关*通配符的更多信息，请参阅《Amazon Identity and Access Management 用户指南》中的在资源 ARNs中使用通配符。

有关更多信息，请参阅 Amazon IoT Core 开发人员指南中的 Amazon IoT 策略和 Amazon IoT 策略操作。

Amazon IoT Greengrass V2 政策行动

Amazon IoT Greengrass V2 定义了 Greengrass 核心设备和客户端设备可以在策略中使用的以下策略操作。 Amazon IoT 要为策略操作指定资源，必须使用资源的 Amazon 资源名称（ARN）。

更新核心设备的 Amazon IoT 政策

您可以使用 Amazon IoT Greengrass 和 Amazon IoT 控制台或 Amazon IoT API 来查看和更新核心设备的 Amazon IoT 政策。

Amazon IoT Greengrass V2 核心设备的最低 Amazon IoT 政策

以下示例策略包含为支持核心设备的基本 Greengrass 功能所需的一组最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "arn:aws:iot:region:account-id:client/core-device-thing-name*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive",
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrass/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrassv2/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iot:AssumeRoleWithCertificate",
            "Resource": "arn:aws:iot:region:account-id:rolealias/token-exchange-role-alias-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetComponentVersionArtifact",
                "greengrass:ResolveComponentCandidates",
                "greengrass:GetDeploymentConfiguration",
                "greengrass:ListThingGroupsForCoreDevice"
            ],
            "Resource": "*"
        }
    ]
}

支持客户端设备的最低 Amazon IoT 政策

以下示例策略包括支持在核心设备上与客户端设备交互所需的最低操作集。要支持客户端设备，除了基本操作的最低 Amazon IoT 策略外，核心设备还必须具有此 Amazon IoT 策略中的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:PutCertificateAuthorities",
                "greengrass:VerifyClientDeviceIdentity"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:VerifyClientDeviceIoTCertificateAssociation"
            ],
            "Resource": "arn:aws:iot:region:account-id:thing/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-device-thing-name"
            ]
        }
    ]
}

客户端设备的最低 Amazon IoT 政策

以下示例策略包括客户端设备发现其通过 MQTT 进行连接和通信的核心设备所需的最低操作集。客户端设备的 Amazon IoT 策略必须包括允许设备发现其关联的 Greengrass 核心设备的连接信息的greengrass:Discover操作。在 Resource 部分，指定客户端设备的 Amazon 资源名称（ARN），而不是 Greengrass 核心设备的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:Discover"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/*"
            ]
        }
    ]
}