本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon IoT Greengrass 的安全最佳实践
本主题包含 Amazon IoT Greengrass 的安全最佳实践。
授予可能的最低权限
通过在 IAM 角色中使用最小权限集,遵循最低权限原则。限制使用*
用于通配符Action
和Resource
IAM 策略中的属性。而是在可能的情况下声明一组有限的操作和资源。有关最低权限和其他策略最佳实践的更多信息,请参阅 策略最佳实践。
最低特权最佳实践也适用于Amazon IoT你附加到你的 Greengrass 核心的政策。
不要在 Greengrass 组件中对凭证进行硬编码
不要在用户定义的 Greengrass 组件中对凭证进行硬编码。为了更好地保护您的凭证:
-
要与交互Amazon服务,请在中定义对特定操作和资源的权限Greengrass 核心设备服务角色.
-
使用密钥管理器组件以存储您的凭证。或者,如果该函数使用Amazon请使用默认凭证提供程序链中的凭证。
不要记录敏感信息
您应该禁止记录凭证和其他个人身份信息 (PII)。我们建议您实施以下保护措施,即使是在对核心设备上的本地日志的访问需要根权限,对的访问 CloudWatch 日志需要 IAM 权限。
-
不要在 MQTT 主题路径中使用敏感信息。
-
不要在 Amazon IoT Core 注册表中的设备(事物)名称、类型和属性中使用敏感信息。
-
不要在用户定义的 Greengrass 组件或 Lambda 函数中记录敏感信息。
-
不要在 Greengrass 资源的名称和 ID 中使用敏感信息:
-
核心设备
-
组件
-
部署
-
日志记录程序
-
使设备时钟保持同步
请务必确保您的设备上有准确的时间。X.509 证书具有到期日期和时间。设备上的时钟用于验证服务器证书是否仍有效。设备时钟可能会在一段时间后出现偏差,或者电池可能会放电。
有关更多信息,请参阅 。使设备的时钟保持同步中的最佳实践Amazon IoT Core开发人员指南.
另请参阅
-
中的安全最佳实践Amazon IoT Core中的Amazon IoT开发人员指南
-
IoT 解决方案的十大安全黄金法则
在开启物联网Amazon官方博客