AWS IoT

开发人员指南

AWS 文档 » AWS IoT » 开发人员指南 » AWS IoT 的安全和身份 » 授权 » AWS IoT 策略 » AWS IoT 策略变量 » X.509 证书策略变量

X.509 证书策略变量

X.509 证书策略变量允许您根据 X.509 证书属性编写授予权限的 AWS IoT 策略。以下部分介绍如何使用这些证书策略变量。

发布者属性

以下 AWS IoT 策略变量允许您根据由证书发布者设置的证书属性来授予或拒绝权限。

主题属性

以下 AWS IoT 策略变量允许您根据由证书发布者设置的证书使用者属性来授予或拒绝权限。

X.509 证书允许这些属性包含一个或多个值。默认情况下，每个多值属性的策略变量会返回第一个值。例如，Certificate.Subject.Country 属性可能包含国家/地区名称列表。在策略中进行评估时，iot:Certificate.Subject.Country 由第一个国家/地区名称替换。您可以使用从一开始的索引请求特定的属性值。例如，iot:Certificate.Subject.Country.1 由 Certificate.Subject.Country 属性中第二个国家/地区名称替换。如果您指定不存在的属性值 (例如，如果您在只有两个值分配到属性时请求第三个值)，则不会执行替换功能，并且授权将失败。您可以在策略变量名称中使用 .List 后缀指定属性的所有值。以下示例策略允许任何客户端连接至 AWS IoT，但是，对于证书的 Certificate.Subject.Organization 属性设为 "Example Corp" 或 "AnyCompany" 的客户端，会限制发布权限。这可以通过使用为前面的操作指定条件的 "Condition" 属性来完成。本例中的条件是证书的 Certificate.Subject.Organization 属性必须包括一个列出的值。

{
    "Version":"2012-10-17",
    "Statement":[
        {
            "Effect":"Allow",
            "Action":[
                "iot:Connect"
            ],
            "Resource":[
                "*"
            ]
        },
        {
            "Effect":"Allow",
            "Action":[
                "iot:Publish"
            ],
            "Resource":[
                "*"
            ],
            "Condition":{
                "ForAllValues:StringEquals":{
                    "iot:Certificate.Subject.Organization.List":[
                        "Example Corp",
                        "AnyCompany"
                    ]
                }
            }
        }
    ]
}

发布者备用名称属性

以下 AWS IoT 策略变量允许您根据由证书发布者设置的发布者备用名称属性来授予或拒绝权限。

主题备用名称属性

以下 AWS IoT 策略变量允许您根据由证书发布者设置的使用者备用名称属性来授予或拒绝权限。

其他属性

您可以根据证书的序列号使用 iot:Certificate.SerialNumber 允许或拒绝访问 AWS IoT 资源。iot:Certificate.AvailableKeys 策略变量包含具有值的所有证书策略变量的名称。

X.509 证书策略变量限制

以下限制适用于 X.509 证书策略变量：

本页内容：

• 发布者属性
• 主题属性
• 发布者备用名称属性
• 主题备用名称属性
• 其他属性
• X.509 证书策略变量限制