使用控制对 Kinesis Video Streams 资源的访问权限Amazon IoT

以下示例命令可以创建事物类型 kvs_example_camera：

aws --profile default iot create-thing-type --thing-type-name kvs_example_camera > iot-thing-type.json

此示例命令创建kvs_example_camera_stream那件事kvs_example_camera事物类型：

aws --profile default  iot create-thing --thing-name kvs_example_camera_stream --thing-type-name kvs_example_camera > iot-thing.json

创建一个 IAM 角色。

以下示例命令可创建一个名为 KVSCameraCertificateBasedIAMRole 的 IAM 角色：

aws --profile default iam create-role --role-name KVSCameraCertificateBasedIAMRole --assume-role-policy-document 'file://iam-policy-document.json' > iam-role.json

您可以将以下信任策略 JSON 用于 iam-policy-document.json：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "credentials.iot.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

接下来，将权限策略附加到您之前创建的 IAM 角色。此权限策略允许对以下对象进行选择性访问控制（支持的操作子集）Amazon资源。在这种情况下，Amazon资源是你希望你的摄像机发送数据的视频流。换句话说，所有配置步骤完成后，您的摄像机将只能向该视频流发送数据。

aws --profile default iam put-role-policy --role-name KVSCameraCertificateBasedIAMRole --policy-name KVSCameraIAMPolicy --policy-document 'file://iam-permission-document.json' 

您可以使用以下 IAM 策略 JSON 用于iam-permission-document.json：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia",
                "kinesisvideo:TagStream",
                "kinesisvideo:GetDataEndpoint"
            ],
            "Resource": "arn:aws:kinesisvideo:*:*:stream/${credentials-iot:ThingName}/*"
        }
    ]
}

请注意，此政策仅授权对视频流进行指定操作（Amazon资源) 由占位符 ($ {credentials-iot:ThingName})。这个占位符取代 IoT 事物属性的值ThingName当 IoT 凭证提供商在请求中发送视频流名称时。

接下来，为您的 IAM 角色创建一个角色别名。角色别名是一个指向 IAM 角色的备用数据模型。IoT 证书提供者请求必须包含角色别名，以指明要扮演哪个 IAM 角色才能从 STS 获取临时证书。

以下示例命令可以创建一个称作 KvsCameraIoTRoleAlias 的角色别名。

aws --profile default iot create-role-alias --role-alias KvsCameraIoTRoleAlias --role-arn $(jq --raw-output '.Role.Arn' iam-role.json) --credential-duration-seconds 3600 > iot-role-alias.json

现在，您可以创建策略，让 IoT 使用该角色别名代入具有证书（证书附加后）的角色。

以下示例命令可以创建一个名为 KvsCameraIoTPolicy 的 IoT 策略。

aws --profile default iot create-policy --policy-name KvsCameraIoTPolicy --policy-document 'file://iot-policy-document.json'

您可以使用以下命令来创建iot-policy-document.json 文档 JSON：

cat > iot-policy-document.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "$(jq --raw-output '.roleAliasArn' iot-role-alias.json)"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:AssumeRoleWithCertificate"
            ],
            "Resource": "$(jq --raw-output '.roleAliasArn' iot-role-alias.json)"
        }
    ]
}
EOF

创建证书，您必须将之前创建的 IoT 策略附加到该证书。

aws --profile default iot create-keys-and-certificate --set-as-active --certificate-pem-outfile certificate.pem --public-key-outfile public.pem.key --private-key-outfile private.pem.key > certificate

附上 IoT 政策 (KvsCameraIoTPolicy之前创建的）到这个证书。

aws --profile default iot attach-policy --policy-name KvsCameraIoTPolicy --target $(jq --raw-output '.certificateArn' certificate)

将您的 IoT 事物 (kvs_example_camera_stream) 附加到刚才创建的证书：

aws --profile default iot attach-thing-principal --thing-name kvs_example_camera_stream --principal $(jq --raw-output '.certificateArn' certificate)

要通过 IoT 凭证提供商批准请求，您需要 IoT 凭证终端节点，这是您独有的Amazon Web Services 账户ID。您可以使用以下命令获取 IoT 凭证终端节点。

aws --profile default iot describe-endpoint --endpoint-type iot:CredentialProvider --output text > iot-credential-provider.txt

除了先前创建的 X.509 证书外，您还必须拥有 CA 证书才能通过 TLS 与后端服务建立信任。您可以使用以下命令获取 CA 证书：

curl --silent 'https://www.amazontrust.com/repository/SFSRootCAG2.pem' --output cacert.pem

首先，创建一个要用于测试此配置的 Kinesis 视频流。

aws kinesisvideo create-stream --data-retention-in-hours 24 --stream-name kvs_example_camera_stream

接下来，调用 IoT 凭证提供程序来获取临时凭证：

curl --silent -H "x-amzn-iot-thingname:kvs_example_camera_stream" --cert certificate.pem --key private.pem.key https://IOT_GET_CREDENTIAL_ENDPOINT/role-aliases/KvsCameraIoTRoleAlias/credentials --cacert ./cacert.pem > token.json

IOT_GET_CREDENTIAL_ENDPOINT=`cat iot-credential-provider.txt`

输出 JSON 包含 AccessKey、SecretKey 和 SessionToken，您可以使用它们来访问 Kinesis 视频流。

在测试中，您可以使用这些凭据调用 Kinesis 视频直播DescribeStream示例的 APIkvs_example_camera_stream视频直播。

AWS_ACCESS_KEY_ID=$(jq --raw-output '.credentials.accessKeyId' token.json) AWS_SECRET_ACCESS_KEY=$(jq --raw-output '.credentials.secretAccessKey' token.json) AWS_SESSION_TOKEN=$(jq --raw-output '.credentials.sessionToken' token.json) aws kinesisvideo describe-stream --stream-name kvs_example_camera_stream

将前面步骤中生成的 X.509 证书、私钥和 CA 证书复制到摄像机的文件系统中。指定这些文件的存储路径、角色别名以及运行 gst-launch-1.0 命令或示例应用程序的 IOT 凭证端点。

以下示例命令使用 IoT 证书授权将视频发送到 Kinesis Video Streams：

gst-launch-1.0 rtspsrc location=rtsp://YourCameraRtspUrl short-header=TRUE ! rtph264depay ! video/x-h264, format=avc,alignment=au ! h264parse ! kvssink stream-name="kvs_example_camera_stream" aws-region="YourAWSRegion" iot-certificate="iot-certificate,endpoint=iot-credential-endpoint-host-name,cert-path=/path/to/certificate.pem,key-path=/path/to/private.pem.key,ca-path=/path/to/cacert.pem,role-aliases=KvsCameraIoTRoleAlias"