Authentification et autorisation d'appareil pour AWS IoT Greengrass

Dans les environnements AWS IoT Greengrass, les appareils utilisent des certificats X.509 pour l'authentification et des stratégies AWS IoT pour l'autorisation. Les certificats et les stratégies permettent aux appareils de se connecter en toute sécurité avec d’autres appareils, AWS IoT Core et AWS IoT Greengrass.

Les certificats X.509 sont des certificats numériques qui font appel à la norme d'infrastructure de clé publique X.509 pour associer une clé publique à l’identité contenue dans un certificat. Les certificats X.509 sont émis par une entité de confiance appelée autorité de certification (CA). Celle-ci gère un ou plusieurs certificats spéciaux appelés certificats d'autorité de certification, qu'elle utilise pour émettre des certificats X.509. Seule l'autorité du certificat a accès aux certificats d'autorité de certification.

Les stratégies AWS IoT définissent l'ensemble des opérations autorisées pour les appareils AWS IoT. Plus précisément, elles autorisent et refusent l'accès aux opérations de plan de données AWS IoT Core et AWS IoT Greengrass, telles que la publication de messages MQTT et la récupération de shadows d’appareil.

Tous les périphériques nécessitent une entrée dans le registre AWS IoT Core et un certificat X.509 activé avec une stratégie AWS IoT jointe. Les appareils se répartissent en deux catégories :

Certificats X.509

La communication entre les appareils principaux et clients et entre les appareils AWS IoT Core et/ou AWS IoT Greengrass doit être authentifiée. Cette authentification mutuelle est basée sur les certificats d'appareils X.509 enregistrés et sur des clés de chiffrement.

Dans un environnement AWS IoT Greengrass, les appareils utilisent des certificats avec des clés publiques et privées pour les connexions TLS (Transport Layer Security) suivantes :

L'appareil AWS IoT Greengrass principal stocke les certificats à deux emplacements :

Pour plus d’informations, consultez AWS IoT Greengrass principes de sécurité fondamentaux.

Certificats d'autorité de certification (CA)

Les appareils principaux et les appareils clients téléchargent un certificat CA racine utilisé pour l'authentification AWS IoT Core et les AWS IoT Greengrass services. Nous vous recommandons d'utiliser un certificat d'autorité de certification racine Amazon Trust Services (ATS), tel que Amazon Root CA 1. Pour de plus amples informations, veuillez consulter Certificats d'autorité de certification pour l'authentification du serveur dans le Manuel du développeur AWS IoT Core.

Les appareils clients téléchargent également le certificat CA du groupe Greengrass. Cela permet de valider le certificat du serveur MQTT sur le noyau Greengrass lors de l'authentification mutuelle. Pour plus d’informations, consultez Flux de connexion des appareils. L'expiration par défaut du certificat de serveur MQTT est de sept jours.

Rotation des certificats sur le serveur MQTT local

Les appareils clients utilisent le certificat du serveur MQTT local pour l'authentification mutuelle avec le périphérique principal de Greengrass. Par défaut, ce certificat expire au bout de 7 jours. Cette période limitée est basée sur les bonnes pratiques en matière de sécurité. Le certificat du serveur MQTT est signé par le certificat de l'autorité de certification de groupe, stocké dans le cloud.

Pour que la rotation des certificats ait lieu, votre appareil principal Greengrass doit être en ligne et pouvoir accéder directement au AWS IoT Greengrass service de façon régulière. Lorsque le certificat expire, le périphérique principal tente de se connecter au AWS IoT Greengrass service pour obtenir un nouveau certificat. Si la connexion réussit, l'appareil noyau télécharge un nouveau certificat de serveur principal MQTT et redémarre le service MQTT local. À ce stade, tous les appareils clients connectés au cœur sont déconnectés. Si le périphérique principal est hors ligne au moment de l'expiration, il ne reçoit pas le certificat de remplacement. Toute nouvelle tentative de connexion à l'appareil principal est rejetée. Les connexions existantes ne sont pas interrompues. Les appareils clients ne peuvent pas se connecter au périphérique principal tant que la connexion au AWS IoT Greengrass service n'est pas rétablie et qu'un nouveau certificat de serveur MQTT ne peut pas être téléchargé.

Vous pouvez définir le délai d'expiration sur une valeur comprise entre 7 et 30 jours, en fonction de vos besoins. Les rotations plus fréquentes nécessitent des connexions cloud plus fréquentes. Une rotation moins fréquente peut entraîner des problèmes de sécurité. Si vous souhaitez définir l'expiration du certificat sur une valeur supérieure à 30 jours, contactezAWS Support.

Dans la AWS IoT console, vous pouvez gérer le certificat sur la page Paramètres du groupe. Dans l'AWS IoT GreengrassAPI, vous pouvez utiliser l'UpdateGroupCertificateConfigurationaction.

Une fois le certificat de serveur MQTT expiré, toutes les tentatives effectuées pour sa validation échouent. Les appareils clients doivent être en mesure de détecter la panne et de mettre fin à la connexion.

Stratégies AWS IoT pour les opérations de plan de données

Utilisez des stratégies AWS IoT pour autoriser l'accès au plan de données AWS IoT Core et AWS IoT Greengrass. Le plan de données AWS IoT Core comprend des opérations pour les appareils, les utilisateurs et les applications, telles que la connexion à AWS IoT Core et l'abonnement aux rubriques. Le plan de données AWS IoT Greengrass comprend des opérations pour les appareils Greengrass, telles que la récupération de déploiements et la mise à jour des informations de connectivité.

Une AWS IoT politique est un document JSON similaire à une politique IAM. Elle contient une ou plusieurs instructions de stratégie qui spécifient les propriétés suivantes :

AWS IoTles politiques * le prennent en charge en tant que caractère générique et traitent les caractères génériques MQTT (+et#) comme des chaînes littérales. Pour plus d'informations sur le * caractère générique, consultez la section Utilisation du caractère générique dans les ARN des ressources du Guide de l'AWS Identity and Access Managementutilisateur.

Pour de plus amples informations, veuillez consulter Stratégies AWS IoT et Actions de stratégie AWS IoT dans le Manuel du développeur AWS IoT Core.

Actions de stratégie AWS IoT Greengrass

Stratégie AWS IoT minimale pour l'appareil principal AWS IoT Greengrass (noyau)

L'exemple de stratégie suivant comprend l'ensemble d'actions minimum requis pour prendre en charge la fonctionnalité Greengrass de base pour l'appareil de votre noyau.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

Dans la AWS IoT console, vous pouvez consulter et modifier la politique attachée au certificat de votre noyau.