对客户端设备进行身份验证和授权

使用客户端设备身份验证 IPC 服务开发可连接本地 IoT 设备（例如客户端设备）的自定义本地代理组件。

要使用这些 IPC 操作，请将客户端设备身份验证组件的 2.2.0 或更高版本作为依赖项包含在自定义组件中。然后，您可以在自定义组件中使用 IPC 操作来执行以下操作：

最低 SDK 版本

下表列出了与客户端设备身份验证 IPC 服务进行交互时必须使用的最低版本。Amazon IoT Device SDK

Authorization

要在自定义组件中使用客户端设备身份验证 IPC 服务，必须定义允许您的组件执行这些操作的授权策略。有关定义授权策略的信息，请参阅授权组件执行 IPC 操作。

客户端设备身份验证和授权的授权策略具有以下属性。

IPC 服务标识符：aws.greengrass.clientdevices.Auth

授权策略示例

您可以参考以下授权策略示例来帮助您为组件配置授权策略。

{
  "accessControl": {
    "aws.greengrass.clientdevices.Auth": {
      "com.example.MyLocalBrokerComponent:clientdevices:1": {
        "policyDescription": "Allows access to authenticate and authorize client devices.",
        "operations": [
          "aws.greengrass#VerifyClientDeviceIdentity",
          "aws.greengrass#GetClientDeviceAuthToken",
          "aws.greengrass#AuthorizeClientDeviceAction",
          "aws.greengrass#SubscribeToCertificateUpdates"
        ],
        "resources": [
          "*"
        ]
      }
    }
  }
}

VerifyClientDeviceIdentity

验证客户端设备的身份。此操作验证客户端设备是否有效Amazon IoT。

请求

此操作的请求具有以下参数：

响应

此操作的响应包含以下信息：

GetClientDeviceAuthToken

验证客户端设备的凭证并为该客户端设备创建会话。此操作返回会话令牌，您可以在后续请求中使用该令牌来授权客户端设备操作。

要成功连接客户端设备，客户端设备身份验证组件必须为客户端设备使用的客户端 ID 授予mqtt:connect权限。

请求

此操作的请求具有以下参数：

响应

此操作的响应包含以下信息：

AuthorizeClientDeviceAction

验证客户端设备是否有权对资源执行操作。客户端设备授权策略指定了客户端设备在连接到核心设备时可以执行的权限。在配置客户端设备身份验证组件时，可以定义客户端设备授权策略。

请求

此操作的请求具有以下参数：

响应

此操作的响应包含以下信息：

SubscribeToCertificateUpdates

订阅即可在核心设备每次轮换时接收其新的服务器证书。服务器证书轮换时，代理必须使用新的服务器证书重新加载。

默认情况下，客户端设备身份验证组件每 7 天轮换服务器证书。您可以将轮换间隔配置为 2 到 10 天之间。

此操作是一种订阅操作，您可以在其中订阅事件消息流。要使用此操作，请使用处理事件消息、错误和流关闭的函数定义流响应处理器。有关更多信息，请参阅订阅 IPC 事件直播：

事件消息类型：CertificateUpdateEvent

请求

此操作的请求具有以下参数：

响应

此操作的响应包含以下信息：