Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

X.509 certificados de cliente

X.509 los certificados permiten AWS IoT autenticar las conexiones de clientes y dispositivos. Los certificados de cliente deben registrarse con ellos AWS IoT antes de que un cliente pueda comunicarse con AWS IoT ellos. Un certificado de cliente se puede registrar en varios Cuenta de AWS s en la misma región Región de AWS para facilitar la transferencia de dispositivos entre sus Cuenta de AWS servidores en la misma región. Para obtener más información, consulte Uso de certificados de X.509 cliente en varios Cuenta de AWS s con el registro de varias cuentas.

Se recomienda que cada dispositivo o cliente reciba un certificado único para permitir acciones de administración de clientes precisas, incluida la revocación de certificados. Los dispositivos y los clientes deben ser compatibles con la rotación y la sustitución de certificados para garantizar un buen funcionamiento cuando los certificados caduquen.

Para obtener información sobre el uso de X.509 certificados para admitir más de unos pocos dispositivos, consulta Aprovisionamiento de dispositivos para revisar las diferentes opciones de administración y aprovisionamiento de certificados que AWS IoT admite.

En esta sección se describe cómo administrar X.509 los certificados en AWS IoT. Puede usar la AWS IoT consola o AWS CLI realizar las siguientes operaciones de certificación:

Para obtener más información acerca de los AWS CLI comandos que realizan estas operaciones, consulte la referencia de la AWS IoT CLI.

Uso de certificados de X.509 cliente

X.509 los certificados autentican las conexiones de clientes y dispositivos a AWS IoT. X.509los certificados ofrecen varias ventajas con respecto a otros mecanismos de identificación y autenticación. X.509 los certificados permiten el uso de claves asimétricas en los dispositivos. Por ejemplo, puede grabar las claves privadas en un almacenamiento seguro en un dispositivo para que el material criptográfico confidencial nunca salga del dispositivo. X.509los certificados proporcionan una autenticación del cliente más segura que otros esquemas, como el nombre de usuario y la contraseña o los tokens de portador, ya que la clave privada nunca sale del dispositivo.

AWS IoT autentica los certificados de cliente mediante el modo de autenticación de cliente del protocolo TLS. La compatibilidad con TLS está disponible en numerosos lenguajes de programación y sistemas operativos, y se utiliza generalmente para cifrar datos. En la autenticación de clientes TLS, AWS IoT solicita un certificado de X.509 cliente y valida el estado del certificado y Cuenta de AWS comparándolo con un registro de certificados. A continuación, solicita al cliente que demuestre que es propietario de la clave privada que corresponde a la clave pública contenida en el certificado. AWS IoT exige que los clientes envíen la extensión de indicación del nombre del servidor (SNI) al protocolo Transport Layer Security (TLS). Para obtener más información sobre la configuración de la extensión SNI, consulte Seguridad del transporte en AWS IoT Core.

Para facilitar una conexión segura y uniforme del cliente con el AWS IoT núcleo, el certificado de X.509 cliente debe contener lo siguiente:

Puede crear certificados de cliente que utilicen la entidad de certificación Amazon Root y puede utilizar sus propios certificados de cliente firmados por otra entidad de certificación (CA). Para obtener más información sobre el uso de la AWS IoT consola para crear certificados que usen la Amazon Root CA, consulteCrear AWS IoT certificados de cliente. Para obtener más información sobre el uso de sus propios X.509 certificados, consulteCreación de sus propios certificados de cliente.

La fecha y la hora en que caducan los certificados firmados por un certificado de CA se establecen al crear el certificado. X.509 los certificados generados AWS IoT caducan a medianoche UTC del 31 de diciembre de 2049 (T23:59:59Z2049-12-31).

AWS IoT Device Defender puede realizar auditorías en sus dispositivos Cuenta de AWS y en sus dispositivos de acuerdo con las mejores prácticas comunes de seguridad de la IoT. Esto incluye gestionar las fechas de caducidad de X.509 los certificados firmados por su CA o la CA raíz de Amazon. Para obtener más información sobre la administración de la fecha de vencimiento de un certificado, consulte El certificado de dispositivo está caducando y El certificado de entidad de certificación está caducando.

En el AWS IoT blog oficial, se profundiza en la gestión de la rotación de certificados de dispositivos y en las mejores prácticas de seguridad en la sección Cómo gestionar la rotación de certificados de dispositivos mediante el IoT AWS IoT.

Uso de certificados de X.509 cliente en varios Cuenta de AWS s con el registro de varias cuentas

Multi-account el registro permite mover dispositivos entre tus Cuenta de AWS s en la misma región o en diferentes regiones. Puede registrar, probar y configurar un dispositivo en una cuenta de preproducción y, a continuación, registrar y utilizar el mismo dispositivo y certificado de dispositivo en una cuenta de producción. También puede registrar el certificado de cliente en el dispositivo o los certificados del dispositivo sin una CA con la que esté registrada AWS IoT. Para obtener más información, consulte Registrar un certificado de cliente firmado por una entidad de certificación no registrada (CLI).

Los dispositivos que utilizan el registro con varias cuentas deben enviar la extensión de indicación del nombre del servidor (SNI) al protocolo de seguridad de la capa de transporte (TLS) y proporcionar la dirección completa del punto final en el host_name campo cuando se conecten. AWS IoT AWS IoT usa la dirección del punto final host_name para enrutar la conexión a la cuenta correcta. AWS IoT Los dispositivos existentes que no envíen una dirección de punto de conexión válida en host_name seguirán funcionando, pero no podrán utilizar las características que requiere esta información. Para obtener más información acerca de la extensión SNI y para aprender a identificar la dirección del punto de conexión del campo host_name, consulte Seguridad del transporte en AWS IoT Core.

Algoritmos de firma de certificados compatibles con AWS IoT

AWS IoT admite los siguientes algoritmos de firma de certificados:

Para obtener más información acerca de la autenticación y la seguridad de los certificados, consulte Calidad de la clave del certificado del dispositivoy.

Algoritmos clave compatibles con AWS IoT

En la siguiente tabla se muestra cómo se admiten los algoritmos de clave:

Para crear un certificado usando CreateCertificateFromCSR, puedes usar un algoritmo de claves compatible para generar una clave pública para tu CSR. Para registrar tu propio certificado mediante RegisterCertificate o RegisterCertificateWithoutCA, puedes usar un algoritmo de claves compatible para generar una clave pública para el certificado.

Para obtener más información, consulte Security policies.