Resource-based authentication AWS IoT Droits de travail pour déployer des versions de packages AWS IoT Droits de tâche permettant de mettre à jour l'ombre nommée réservée AWS IoT Autorisations de téléchargement de jobs depuis Amazon S3 Autorisations de mise à jour de la nomenclature logicielle pour une version de package

Préparation de la sécurité

Cette section décrit les principales exigences de sécurité pour AWS IoT Device Management Software Package Catalog.

Resource-based authentication

Le Catalogue de Logiciels utilise une autorisation basée sur les ressources pour renforcer la sécurité lors de la mise à jour des logiciels de votre flotte. Cela signifie que vous devez créer une politique Gestion des identités et des accès AWS (IAM) qui accorde les droits d'exécutioncreate, read updatedelete, et d'listactions pour les packages logiciels et les versions de packages, et référencer les packages logiciels et les versions de packages spécifiques que vous souhaitez déployer dans la Resources section. Vous avez également besoin de ces droits pour pouvoir mettre à jour l'ombre nommée réservée. Vous référencez les packages logiciels et les versions des packages en incluant un Amazon Resource Name (ARN) pour chaque entité.

Note

Si vous souhaitez que la politique accorde des droits pour les appels d'API de version de package (tels que CreatePackageVersion UpdatePackageVersion,, DeletePackageVersion), vous devez inclure à la fois les ARN du package logiciel et de la version du package dans la politique. Si vous souhaitez que la politique accorde des droits pour les appels d'API des packages logiciels (tels que CreatePackage UpdatePackage, et DeletePackage), vous devez inclure uniquement l'ARN du package logiciel dans la politique.

Structurez le package logiciel et les ARN de version du package comme suit :

Package logiciel : arn:aws:iot:<region>:<accountID>:package/<packageName>/package
Version du package : arn:aws:iot:<region>:<accountID>:package/<packageName>/version/<versionName>

Note

Il existe d'autres droits connexes que vous pouvez inclure dans cette politique. Par exemple, vous pouvez inclure un ARN pour le job, thinggroup, etjobtemplate. Pour plus d'informations et une liste complète des options de politique, consultez la section Sécurisation des utilisateurs et des appareils grâce à AWS IoT Jobs.

Par exemple, si vous disposez d'un package logiciel et d'une version de package nommés comme suit :

AWS IoT chose : myThing
Nom du package : samplePackage
Version 1.0.0

La politique doit ressembler à l'exemple suivant :


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:createPackage",
                "iot:createPackageVersion",
                "iot:updatePackage",
                "iot:updatePackageVersion"
            ],
            "Resource": [
               "arn:aws:iot:us-east-1:111122223333:package/samplePackage",
               "arn:aws:iot:us-east-1:111122223333:package/samplePackage/version/1.0.0"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow"
            ],
            "Resource": "arn:aws:iot:us-east-1:111122223333:thing/myThing/$package"
        }
    ]
}

AWS IoT Droits de travail pour déployer des versions de packages

Pour des raisons de sécurité, il est important que vous accordiez les droits de déploiement de packages et de versions de packages, et que vous nommiez les packages et versions de packages spécifiques qu'ils sont autorisés à déployer. Pour ce faire, vous créez un rôle et une politique IAM qui autorisent le déploiement de tâches avec des versions de package. La politique doit spécifier les versions du package de destination en tant que ressource.

Politique IAM

La politique IAM accorde le droit de créer une tâche qui inclut le package et la version nommés dans la Resource section.


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:CreateJob",
                "iot:CreateJobTemplate"
            ],
            "Resource":[
                "arn:aws:iot:*:111122223333:job/<jobId>",
                "arn:aws:iot:*:111122223333:thing/<thingName>/$package",
                "arn:aws:iot:*:111122223333:thinggroup/<thingGroupName>",
                "arn:aws:iot:*:111122223333:jobtemplate/<jobTemplateName>",
                "arn:aws:iot:*:111122223333:package/<packageName>/version/<versionName>"
            ]
        }
    ]
}

Note

Si vous souhaitez déployer une tâche qui désinstalle un package logiciel et une version de package, vous devez autoriser un ARN contenant la version du package$null, comme dans le cas suivant :


arn:aws:iot:<regionCode>:111122223333:package/<packageName>/version/$null

AWS IoT Droits de tâche permettant de mettre à jour l'ombre nommée réservée

Pour permettre aux tâches de mettre à jour le nom réservé de l'objet lorsque la tâche est terminée avec succès, vous devez créer un rôle et une politique IAM. Il existe deux manières de procéder dans la AWS IoT console. La première consiste à créer un package logiciel dans la console. Si la boîte de dialogue Activer les dépendances pour la gestion des packages s'affiche, vous pouvez choisir d'utiliser un rôle existant ou d'en créer un nouveau. Dans la AWS IoT console, vous pouvez également choisir Gérer l'indexation dans Paramètres, puis Gérer l'indexation pour les packages et les versions des appareils.

Note

Si vous choisissez de demander au service AWS IoT Job de mettre à jour l'ombre nommée réservée lorsqu'une tâche est terminée avec succès, l'appel d'API est pris en compte dans le calcul de votre Device Shadow et des opérations de registre et peut entraîner des frais. Pour en savoir plus, consultez Pricing AWS IoT Core (Tarification).

Lorsque vous utilisez l'option Créer un rôle, le nom du rôle généré commence par aws-iot-role-update-shadows et contient les politiques suivantes :

Configuration de rôles

Permissions

La politique d'autorisation accorde le droit d'interroger et de mettre à jour l’ombre d’objet. Le $package paramètre de l'ARN de la ressource cible l'ombre nommée réservée.


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iot:DescribeEndpoint",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow"
            ],
            "Resource": [
            "arn:aws:iot:us-east-1:111122223333:thing/<thingName>/$package"
            ]
        }
    ]
}

Relation d’approbation

Outre la politique d'autorisations, le rôle nécessite une relation de confiance avec AWS IoT Core enfin que entité peut assumer le rôle et mettre à jour le nom d'ombre réservé.


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "iot.amazonaws.com"
        },
            "Action": "sts:AssumeRole"
        }
    ]
}

Configuration d'une politique utilisateur

iam : autorisation PassRole

Enfin, vous devez être autorisé à transmettre le rôle au AWS IoT Core moment où vous appelez l'opération UpdatePackageConfiguration d'API.


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iot:UpdatePackageConfiguration"
            ],
            "Resource": "arn:aws:iam::111122223333:role/<roleName>"
        }
    ]
}

AWS IoT Autorisations de téléchargement de jobs depuis Amazon S3

Le document de travail est enregistré dans Amazon S3. Vous vous référez à ce fichier lorsque vous expédiez via AWS IoT Jobs. Vous devez donner à AWS IoT Jobs le droit de télécharger le fichier (s3:GetObject). Vous devez également établir une relation de confiance entre Amazon S3 et AWS IoT Jobs. Pour obtenir des instructions sur la création de ces politiques, consultez la section URL présignées dans Gestion des tâches.

Autorisations de mise à jour de la nomenclature logicielle pour une version de package

Pour mettre à jour la nomenclature logicielle d'une version de package dans l'état DraftPublished, ou dans l'état Deprecated du cycle de vie, vous avez besoin d'un Gestion des identités et des accès AWS rôle et de politiques pour localiser la nouvelle nomenclature logicielle dans Amazon S3 et mettre à jour la version du package dans AWS IoT Core.

Tout d'abord, vous allez placer la nomenclature logicielle mise à jour dans votre compartiment Amazon S3 versionné et appeler l'opération d'UpdatePackageVersionAPI avec le sboms paramètre inclus. Ensuite, votre responsable autorisé assumera le rôle IAM que vous avez créé, localisera la nomenclature logicielle mise à jour dans Amazon S3 et mettra à jour la version du package dans le catalogue AWS IoT Core des packages logiciels.

Les politiques suivantes sont requises pour effectuer cette mise à jour :

Stratégies

Politique de confiance Politique établissant une relation de confiance avec le principal autorisé assumant le rôle IAM afin qu'il puisse localiser la nomenclature logicielle mise à jour à partir de votre compartiment versionné dans Amazon S3 et mettre à jour la version du package dans. AWS IoT Core


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
        },
            "Action": "sts:AssumeRole"
        }
    ]
}


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "iot.amazonaws.com"
        },
            "Action": "sts:AssumeRole"
        }
    ]
}

Politique d'autorisations : politique permettant d'accéder au compartiment versionné Amazon S3 dans lequel la nomenclature logicielle est stockée pour une version du package et de mise à jour de la version du package dans AWS IoT Core.


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket1"
            ]
        }
    ]
}


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:UpdatePackageVersion"
            ],
            "Resource": [
                "arn:aws:iot:*:111122223333:package/<packageName>/version/<versionName>"
            ]
        }
    ]
}

Autorisations de transmission des rôles : politique accordant l'autorisation de transmettre le rôle IAM à Amazon S3 et AWS IoT Core lorsque vous appelez l'opération UpdatePackageVersion d'API.


{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole",
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::awsexamplebucket1"
      ]
    }
  ]
}


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iot:UpdatePackageVersion"
            ],
            "Resource": "arn:aws:iam::111122223333:role/<roleName>"
        }
    ]
}

Note

Vous ne pouvez pas mettre à jour la nomenclature logicielle d'une version de package qui est passée à l'état de Deleted cycle de vie.

Pour plus d'informations sur la création d'un rôle IAM pour un AWS service, consultez Création d'un rôle pour déléguer des autorisations à un AWS service.

Pour plus d'informations sur la création d'un compartiment Amazon S3 et le téléchargement d'objets dans celui-ci, consultez Création d'un compartiment et Téléchargement d'objets.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Préparation à l'utilisation du Catalogue de Logiciels

Préparation de l'indexation de la flotte