Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

服务器身份验证

当您的设备或其他客户端尝试连接时 Amazon IoT Core， Amazon IoT Core 服务器将发送一个 X.509 证书，您的设备使用该证书对服务器进行身份验证。身份验证通过验证 X.509 证书链在TLS层上进行。这与您访问时浏览器使用的方法相同HTTPSURL。如果要使用您自己的证书颁发机构提供的证书，请参阅管理 CA 证书。

当您的设备或其他客户端TLS与某台设备建立连接时 Amazon IoT Core 端点， Amazon IoT Core 提供了一个证书链，设备使用该证书链来验证它们是否正在与之通信 Amazon IoT Core 而不是另一台服务器在模仿 Amazon IoT Core。 呈现的链取决于设备所连接的端点类型以及客户端和的密码套件的组合 Amazon IoT Core 在TLS握手期间进行了谈判。

端点类型

Amazon IoT Core 支持iot:Data-ATS。 iot:Data-ATS终端节点出示由亚马逊信任服务 CA 签署的服务器证书。

ATS端点提供的证书由 Starfield 进行交叉签名。某些TLS客户端实现需要验证信任根，并要求将 Starfield CA 证书安装在客户端的信任存储库中。

您可以使用describe-endpoint命令来创建您的ATS终端节点。

aws iot describe-endpoint --endpoint-type iot:Data-ATS

describe-endpoint 命令采用以下格式返回终端节点。

account-specific-prefix.iot.your-region.amazonaws.com

IotDataPlaneClient使用创建 Amazon SDK适用于 Java

要创建使用iot:Data-ATS终端节点IotDataPlaneClient的，必须执行以下操作。

以下示例执行这两项操作。

public void setup() throws Exception {
        IotClient client = IotClient.builder().credentialsProvider(CREDENTIALS_PROVIDER_CHAIN).region(Region.US_EAST_1).build();
        String endpoint = client.describeEndpoint(r -> r.endpointType("iot:Data-ATS")).endpointAddress();
        iot = IotDataPlaneClient.builder()
                                .credentialsProvider(CREDENTIALS_PROVIDER_CHAIN)
                                .endpointOverride(URI.create("https://" + endpoint))
                                .region(Region.US_EAST_1)
                                .build();
}

用于服务器身份验证的 CA 证书

根据您使用的数据端点类型以及您协商的密码套件， Amazon IoT Core 服务器身份验证证书由以下根 CA 证书之一签名：

Amazon Trust Services 终端节点（首选）

这些证书都由 Starfield 根 CA 证书进行交叉签名。全新 Amazon IoT Core 地区，从 2018 年 5 月 9 日发布开始 Amazon IoT Core 在亚太地区（孟买）区域，仅提供ATS证书。

VeriSign 终端节点（旧版）

服务器身份验证指南

有许多变量会影响设备验证的能力 Amazon IoT Core 服务器身份验证证书。例如，设备的内存可能太有限，无法容纳所有可能的根 CA 证书，或者设备可能会实施非标准的证书验证方法。由于这些原因，我们建议遵循以下准则：