使用 Amazon IoT Core 凭证提供者授权直接调用 Amazon 服务

配置凭证提供程序代表您的设备代入的 IAM 角色。将以下信任策略附加到该角色。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "credentials.iot.amazonaws.com"},
        "Action": "sts:AssumeRole"
    }
} 

对于您要调用的每项 Amazon 服务，请为该角色附加访问策略。凭证提供程序支持以下策略变量：

当设备在向 Amazon 服务发出的请求中提供了事物名称时，凭证提供程序会将 credentials-iot:ThingName 和 credentials-iot:ThingTypeName 作为上下文变量添加到安全令牌。如果设备没有在请求中提供事物名称，则凭证提供程序将提供 credentials-iot:AwsCertificateId 作为上下文变量。您将事物名称作为 x-amzn-iot-thingname HTTP 请求标头的值进行传递。

这三个变量仅适用于 IAM policy，而不适用于 Amazon IoT Core 策略。

确保执行下一步（创建角色别名）的用户有权将新创建的角色传递给 Amazon IoT Core。以下策略向 Amazon 用户同时授iam:PassRole予iam:GetRole和权限。iam:GetRole 权限可让用户获取有关您刚创建的角色的信息。该iam:PassRole权限允许用户将角色传递给其他 Amazon 服务。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:GetRole",
            "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::your Amazon Web Services 账户 id:role/your role name"
    }
} 

创建 Amazon IoT Core 角色别名。要直接呼叫 Amazon 服务的设备必须知道在连接时要使用哪个角色 ARN。 Amazon IoT Core对角色 ARN 进行硬编码并不是一个很好的解决方案，因为它需要您在角色 ARN 发生更改时更新设备。更好的解决方案是使用 CreateRoleAlias API 创建一个指向角色 ARN 的角色别名。如果角色 ARN 发生更改，您只需更新角色别名。无需在设备上进行任何更改。此 API 接受以下参数：

相关此 API 的更多信息，请参阅 CreateRoleAlias。

将策略附加到设备证书。附加到设备证书的策略必须向设备授予代入角色的权限。您可以通过授予对角色别名执行 iot:AssumeRoleWithCertificate 操作的权限来做到这一点，如以下示例所示。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"iot:AssumeRoleWithCertificate",
         "Resource":"arn:aws:iot:your region:your_aws_account_id:rolealias/your role alias"
      }
   ]
}

向凭证提供程序发出 HTTPS 请求来获取安全令牌。提供以下信息：

在中运行以下命令 Amazon CLI 以获取您的凭据提供程序终端节点 Amazon Web Services 账户。相关此 API 的更多信息，请参阅 DescribeEndpoint。有关启用 FIPS 的端点，请参阅Amazon IoT Core- 凭证提供者端点。

aws iot describe-endpoint --endpoint-type iot:CredentialProvider

以下 JSON 对象是 describe-endpoint 命令的示例输出。它包含您用于请求安全令牌的 endpointAddress。

{
    "endpointAddress": "your_aws_account_specific_prefix.credentials.iot.your region.amazonaws.com"
} 

使用端点向凭证提供程序发出 HTTPS 请求以返回安全令牌。以下示例命令使用 curl，但您可以使用任何 HTTP 客户端。

curl --cert your certificate --key your private key -H "x-amzn-iot-thingname: your thing name" --cacert AmazonRootCA1.pem https://your endpoint /role-aliases/your role alias/credentials

此命令返回包含 accessKeyId、secretAccessKey、sessionToken 和过期的安全令牌对象。以下 JSON 对象是 curl 命令的示例输出。

    {"credentials":{"accessKeyId":"access key","secretAccessKey":"secret access key","sessionToken":"session token","expiration":"2018-01-18T09:18:06Z"}}
                    

然后，您可以使用accessKeyIdsecretAccessKey、和sessionToken值对 Amazon 服务请求进行签名。有关演 end-to-end示，请参阅Amazon 安全博客上的 “如何使用 Amazon 凭据提供者博客文章来消除设备中对硬编码 Amazon IoT 凭据的需求”。