Aprovisionamiento de dispositivos que no tienen certificados de dispositivo mediante el aprovisionamiento de flotas

Llame a CreateProvisioningTemplate para crear una plantilla de aprovisionamiento. Esta API devuelve un ARN de plantilla. Para obtener más información, consulte API de MQTT de aprovisionamiento de dispositivos.

También puedes crear una plantilla de aprovisionamiento de flotas en la AWS IoT consola.

1. En el panel de navegación, seleccione el menú desplegable Conectar muchos dispositivos. A continuación, elija Conectar muchos dispositivos.

2. Seleccione Crear plantilla de aprovisionamiento.

3. Elija la opción Situación de aprovisionamiento que mejor se adapte a los procesos de instalación. A continuación, elija Siguiente.

4. Complete el flujo de trabajo de la plantilla.

Cree los certificados y las claves privadas asociadas que se utilizarán como certificados de reclamación de aprovisionamiento.

Registre estos certificados AWS IoT y asocie una política de IoT que restrinja el uso de los certificados. El siguiente ejemplo de política de IoT restringe el uso del certificado asociado a esta política para aprovisionar dispositivos.

Conceda permiso al AWS IoT servicio para crear o actualizar recursos de IoT, como objetos y certificados, en su cuenta al aprovisionar dispositivos. Para ello, asocie la política AWSIoTThingsRegistration gestionada a una función de IAM (denominada función de aprovisionamiento) que confíe en el principal del servicio. AWS IoT

Fabricar el dispositivo con el certificado de reclamación de aprovisionamiento incrustado de forma segura en él.

El dispositivo usa el AWS IoT SDKs para dispositivos, SDKs para dispositivos móviles y AWS IoT Cliente de dispositivo para conectarse y autenticarse AWS IoT mediante el certificado de notificación de aprovisionamiento que está instalado en el dispositivo.

El dispositivo obtiene un certificado permanente y una clave privada mediante una de estas opciones. El dispositivo utilizará el certificado y la clave para todas las autenticaciones futuras. AWS IoT

1. Llame CreateKeysAndCertificate para crear un certificado y una clave privada nuevos con la autoridad de AWS certificación.

   O

2. Llame a CreateCertificateFromCsr para generar un certificado desde una solicitud de firma de certificado que mantiene su clave privada segura.

Desde el dispositivo, llame a RegisterThing para registrar el dispositivo con AWS IoT y crear recursos en la nube.

El servicio de aprovisionamiento de flotas utiliza una plantilla de aprovisionamiento para definir y crear recursos en la nube como objetos de IoT. La plantilla puede especificar los atributos y grupos a los que pertenece el objeto. Los grupos de objetos deben existir para poder agregarles el nuevo objeto.

Después de guardar el certificado permanente en el dispositivo, este debe desconectarse de la sesión que inició con el certificado de reclamación de aprovisionamiento y volver a conectarse con el certificado permanente.

Llame CreateProvisioningTemplate para crear una plantilla de aprovisionamiento y devuélvala templateArn ytemplateName.

Cree un rol de IAM que utilice un usuario de confianza para iniciar el proceso de aprovisionamiento. La plantilla de aprovisionamiento solo permite a ese usuario aprovisionar un dispositivo. Por ejemplo:

{
    "Effect": "Allow",
    "Action": [
        "iot:CreateProvisioningClaim"
    ],
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:provisioningtemplate/templateName"
    ]
}

Concede permiso al AWS IoT servicio para crear o actualizar los recursos de IoT, como elementos y certificados, de tu cuenta al aprovisionar dispositivos. Para ello, debes adjuntar la política AWSIoTThingsRegistration gestionada a una función de IAM (denominada función de aprovisionamiento) que confíe en el principal del servicio. AWS IoT

Proporcione los medios para identificar a sus usuarios de confianza, por ejemplo, proporcionándoles una cuenta que pueda autenticarlos y autorizar sus interacciones con las operaciones de AWS API necesarias para registrar sus dispositivos.

El usuario de confianza inicia sesión en su aplicación móvil o servicio web de aprovisionamiento.

La aplicación móvil o la aplicación web utiliza el rol de IAM y llama a CreateProvisioningClaim para obtener un certificado de reclamación de aprovisionamiento temporal de AWS IoT.

La aplicación móvil o la aplicación web proporcionan el certificado de aprovisionamiento temporal al dispositivo junto con toda la información de configuración requerida, como Wi-Fi las credenciales.

El dispositivo utiliza el certificado de reclamación de aprovisionamiento temporal para conectarse a AWS IoT mediante el AWS IoT SDKs para dispositivos, SDKs para dispositivos móviles y AWS IoT Cliente de dispositivo.

El dispositivo obtiene un certificado permanente y una clave privada mediante una de estas opciones a los cinco minutos de conectarse AWS IoT con el certificado de reclamación de aprovisionamiento temporal. El dispositivo utilizará el certificado y la clave que devuelvan estas opciones para cualquier autenticación futura. AWS IoT

1. Llame CreateKeysAndCertificate para crear un certificado y una clave privada nuevos con la autoridad de AWS certificación.

   O

2. Llame a CreateCertificateFromCsr para generar un certificado desde una solicitud de firma de certificado que mantiene su clave privada segura.

El dispositivo llama RegisterThing para registrarlo AWS IoT y crear recursos en la nube.

El servicio de aprovisionamiento de flotas utiliza una plantilla de aprovisionamiento para definir y crear recursos en la nube como objetos de IoT. La plantilla puede especificar los atributos y grupos a los que pertenece el objeto. Los grupos de objetos deben existir para poder agregarles el nuevo objeto.

Después de guardar el certificado permanente en el dispositivo, el dispositivo debe desconectarse de la sesión que inició con el certificado de reclamación de aprovisionamiento temporal y volver a conectarse con el certificado permanente.

Cree una función de Lambda que tenga una entrada y una salida definidas. Las funciones de Lambda son altamente personalizables. allowProvisioning y parameterOverrides son necesarias para crear enlaces previos al aprovisionamiento. Para obtener más información sobre la creación de funciones de Lambda, consulte Utilizarlas AWS Lambda con la interfaz de AWS línea de comandos.

El siguiente es un ejemplo de una salida de función de Lambda:

{
  "allowProvisioning": True,
  "parameterOverrides": {
    "incomingKey0": "incomingValue0",
    "incomingKey1": "incomingValue1"
  }
}

AWS IoT usa políticas basadas en recursos para llamar a Lambda, por lo que debe conceder AWS IoT permiso para llamar a su función de Lambda.

El siguiente ejemplo utiliza add-permission para dar permiso de IoT a su Lambda.

aws lambda add-permission \
    --function-name myLambdaFunction \
    --statement-id iot-permission \
    --action lambda:InvokeFunction \
    --principal iot.amazonaws.com

Agregue un enlace de preaprovisionamiento a una plantilla mediante el comando create-provisioning-template o update-provisioning-template .

En el siguiente ejemplo de CLI se utiliza la create-provisioning-template para crear una plantilla de aprovisionamiento que tenga enlaces de preaprovisionamiento:

aws iot create-provisioning-template \
    --template-name myTemplate \
    --provisioning-role-arn arn:aws:iam:us-east-1:1234564789012:role/myRole \
    --template-body file://template.json \
    --pre-provisioning-hook file://hooks.json

El resultado de este comando tendrá un aspecto similar al siguiente.

{
    "templateArn": "arn:aws:iot:us-east-1:1234564789012:provisioningtemplate/myTemplate",
    "defaultVersionId": 1,
    "templateName": myTemplate
}

También puede cargar un parámetro desde un archivo en lugar de escribirlo todo como un valor de parámetro de línea de comandos para ahorrar tiempo. Para obtener más información, consulte Carga de parámetros de AWS CLI desde un archivo. A continuación se muestra el parámetro template en formato JSON expandido:

{
    "Parameters" : {
        "DeviceLocation": {
            "Type": "String"
        }
    },
    "Mappings": {
        "LocationTable": {
            "Seattle": {
                "LocationUrl": "https://example.aws"
            }
        }
    },
    "Resources" : {
        "thing" : {
            "Type" : "AWS::IoT::Thing",
            "Properties" : {
                "AttributePayload" : {
                    "version" : "v1",
                    "serialNumber" : "serialNumber"
                },
                "ThingName" : {"Fn::Join":["",["ThingPrefix_",{"Ref":"SerialNumber"}]]},
                "ThingTypeName" : {"Fn::Join":["",["ThingTypePrefix_",{"Ref":"SerialNumber"}]]},
                "ThingGroups" : ["widgets", "WA"],
                "BillingGroup": "BillingGroup"
            },
            "OverrideSettings" : {
                "AttributePayload" : "MERGE",
                "ThingTypeName" : "REPLACE",
                "ThingGroups" : "DO_NOTHING"
            }
        },
        "certificate" : {
            "Type" : "AWS::IoT::Certificate",
            "Properties" : {
                "CertificateId": {"Ref": "AWS::IoT::Certificate::Id"},
                "Status" : "Active",
                "ThingPrincipalType" : "EXCLUSIVE_THING"
            }
        },
        "policy" : {
            "Type" : "AWS::IoT::Policy",
            "Properties" : {
                "PolicyDocument" : {
                    "Version": "2012-10-17",
                    "Statement": [{
                        "Effect": "Allow",
                        "Action":["iot:Publish"],
                        "Resource": ["arn:aws:iot:us-east-1:504350838278:topic/foo/bar"]
                    }]
                }
            }
        }
    },
    "DeviceConfiguration": {
        "FallbackUrl": "https://www.example.com/test-site",
        "LocationUrl": {
            "Fn::FindInMap": ["LocationTable",{"Ref": "DeviceLocation"}, "LocationUrl"]}
    }
}

A continuación se muestra el parámetro pre-provisioning-hook en formato JSON expandido:

{
     "targetArn" : "arn:aws:lambda:us-east-1:765219403047:function:pre_provisioning_test",
     "payloadVersion" : "2020-04-01"
}