Mengotorisasi panggilan langsung ke AWS layanan menggunakan penyedia AWS IoT Core kredensyal

Konfigurasikan peran IAM yang diasumsikan oleh penyedia kredensyal atas nama perangkat Anda. Lampirkan kebijakan kepercayaan berikut ke peran tersebut.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "credentials.iot.amazonaws.com"},
        "Action": "sts:AssumeRole"
    }
} 

Untuk setiap AWS layanan yang ingin Anda panggil, lampirkan kebijakan akses ke peran tersebut. Penyedia kredensyal mendukung variabel kebijakan berikut:

Ketika perangkat memberikan nama benda dalam permintaannya ke AWS layanan, penyedia kredensyal menambahkan credentials-iot:ThingName dan credentials-iot:ThingTypeName sebagai variabel konteks ke token keamanan. Penyedia kredensyal menyediakan credentials-iot:AwsCertificateId sebagai variabel konteks meskipun perangkat tidak memberikan nama benda dalam permintaan. Anda meneruskan nama benda sebagai nilai header permintaan x-amzn-iot-thingname HTTP.

Ketiga variabel ini hanya berfungsi untuk kebijakan IAM, bukan AWS IoT Core kebijakan.

Pastikan bahwa pengguna yang melakukan langkah berikutnya (membuat alias peran) memiliki izin untuk meneruskan peran yang baru dibuat. AWS IoT Core Kebijakan berikut memberikan keduanya iam:GetRole dan iam:PassRole izin kepada AWS pengguna. iam:GetRoleIzin memungkinkan pengguna untuk mendapatkan informasi tentang peran yang baru saja Anda buat. iam:PassRoleIzin memungkinkan pengguna untuk meneruskan peran ke AWS layanan lain.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:GetRole",
            "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::your Akun AWS id:role/your role name"
    }
} 

Buat alias AWS IoT Core peran. Perangkat yang akan melakukan panggilan langsung ke AWS layanan harus tahu peran ARN mana yang akan digunakan saat menghubungkan. AWS IoT Core Hard-coding peran ARN bukanlah solusi yang baik karena mengharuskan Anda untuk memperbarui perangkat setiap kali peran ARN berubah. Solusi yang lebih baik adalah dengan menggunakan CreateRoleAlias API untuk membuat alias peran yang menunjuk ke peran ARN. Jika peran ARN berubah, Anda cukup memperbarui alias peran. Tidak ada perubahan yang diperlukan pada perangkat. API ini mengambil parameter berikut:

Untuk informasi selengkapnya tentang API ini, lihat CreateRoleAlias.

Lampirkan kebijakan ke sertifikat perangkat. Kebijakan yang dilampirkan pada sertifikat perangkat harus memberikan izin perangkat untuk mengambil peran. Anda melakukan ini dengan memberikan izin untuk iot:AssumeRoleWithCertificate tindakan ke alias peran, seperti pada contoh berikut.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"iot:AssumeRoleWithCertificate",
         "Resource":"arn:aws:iot:your region:your_aws_account_id:rolealias/your role alias"
      }
   ]
}

Buat permintaan HTTPS ke penyedia kredensyal untuk mendapatkan token keamanan. Berikan informasi berikut:

Jalankan perintah berikut di AWS CLI untuk mendapatkan titik akhir penyedia kredensyal untuk Anda. Akun AWS Untuk informasi selengkapnya tentang API ini, lihat DescribeEndpoint. Untuk titik akhir yang mendukung FIPS, lihat. AWS IoT Core- titik akhir penyedia kredensi

aws iot describe-endpoint --endpoint-type iot:CredentialProvider

Objek JSON berikut adalah contoh output dari describe-endpoint perintah. Ini berisi endpointAddress yang Anda gunakan untuk meminta token keamanan.

{
    "endpointAddress": "your_aws_account_specific_prefix.credentials.iot.your region.amazonaws.com"
} 

Gunakan titik akhir untuk membuat permintaan HTTPS ke penyedia kredensyal untuk mengembalikan token keamanan. Contoh perintah berikut menggunakancurl, tetapi Anda dapat menggunakan klien HTTP apa pun.

curl --cert your certificate --key your private key -H "x-amzn-iot-thingname: your thing name" --cacert AmazonRootCA1.pem https://your endpoint /role-aliases/your role alias/credentials

Perintah ini mengembalikan objek token keamanan yang berisiaccessKeyId, a, a secretAccessKeysessionToken, dan kedaluwarsa. Objek JSON berikut adalah contoh output dari curl perintah.

    {"credentials":{"accessKeyId":"access key","secretAccessKey":"secret access key","sessionToken":"session token","expiration":"2018-01-18T09:18:06Z"}}
                    

Anda kemudian dapat menggunakanaccessKeyId,secretAccessKey, dan sessionToken nilai untuk menandatangani permintaan ke AWS layanan. Untuk end-to-end demonstrasi, lihat Cara Menghilangkan Kebutuhan AWS Kredensyal Hard-Coded di Perangkat dengan Menggunakan posting blog Penyedia AWS IoT Kredensyal di Blog Keamanan.AWS