Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

X.509 sertifikat klien

X.509 sertifikat menyediakan AWS IoT kemampuan untuk mengotentikasi koneksi klien dan perangkat. Sertifikat klien harus didaftarkan AWS IoT sebelum klien dapat berkomunikasi dengannya AWS IoT. Sertifikat klien dapat didaftarkan dalam beberapa Akun AWS s secara bersamaan Wilayah AWS untuk memfasilitasi pemindahan perangkat antara Anda Akun AWS di wilayah yang sama. Untuk informasi selengkapnya, lihat Menggunakan sertifikat X.509 klien dalam beberapa Akun AWS s dengan pendaftaran multi-akun.

Kami menyarankan agar setiap perangkat atau klien diberikan sertifikat unik untuk mengaktifkan tindakan manajemen klien yang halus, termasuk pencabutan sertifikat. Perangkat dan klien juga harus mendukung rotasi dan penggantian sertifikat untuk membantu memastikan kelancaran operasi saat sertifikat kedaluwarsa.

Untuk informasi tentang menggunakan X.509 sertifikat untuk mendukung lebih dari beberapa perangkat, lihat Penyediaan perangkat untuk meninjau berbagai opsi manajemen dan penyediaan sertifikat yang AWS IoT mendukung.

Bagian ini menjelaskan cara mengelola X.509 sertifikat di AWS IoT. Anda dapat menggunakan AWS IoT konsol atau AWS CLI untuk melakukan operasi sertifikat ini:

Untuk informasi selengkapnya tentang AWS CLI perintah yang melakukan operasi ini, lihat Refer ensi AWS IoT CLI.

Menggunakan sertifikat X.509 klien

X.509 sertifikat mengotentikasi koneksi klien dan perangkat ke AWS IoT. X.509sertifikat memberikan beberapa manfaat dibandingkan mekanisme identifikasi dan otentikasi lainnya. X.509 sertifikat memungkinkan kunci asimetris untuk digunakan dengan perangkat. Misalnya, Anda dapat membakar kunci pribadi ke penyimpanan aman di perangkat sehingga materi kriptografi sensitif tidak pernah meninggalkan perangkat. X.509sertifikat memberikan otentikasi klien yang lebih kuat dibandingkan skema lain, seperti nama pengguna dan kata sandi atau token pembawa, karena kunci pribadi tidak pernah meninggalkan perangkat.

AWS IoT mengotentikasi sertifikat klien menggunakan mode otentikasi klien protokol TLS. Dukungan TLS tersedia dalam banyak bahasa pemrograman dan sistem operasi dan biasanya digunakan untuk mengenkripsi data. Dalam otentikasi klien TLS, AWS IoT meminta sertifikat X.509 klien dan memvalidasi status sertifikat dan Akun AWS terhadap registri sertifikat. Kemudian menantang klien untuk bukti kepemilikan kunci pribadi yang sesuai dengan kunci publik yang terkandung dalam sertifikat. AWS IoT mengharuskan klien untuk mengirim ekstensi Server Name Indication (SNI) ke protokol Transport Layer Security (TLS). Untuk informasi selengkapnya tentang mengkonfigurasi ekstensi SNI, lihatKeamanan transportasi di AWS IoT Core.

Untuk memfasilitasi koneksi klien yang aman dan konsisten ke AWS IoT inti, sertifikat X.509 klien harus memiliki yang berikut:

Anda dapat membuat sertifikat klien yang menggunakan CA Root Amazon dan Anda dapat menggunakan sertifikat klien Anda sendiri yang ditandatangani oleh otoritas sertifikat (CA) lain. Untuk informasi selengkapnya tentang menggunakan AWS IoT konsol untuk membuat sertifikat yang menggunakan CA Root Amazon, lihatBuat AWS IoT sertifikat klien. Untuk informasi selengkapnya tentang menggunakan X.509 sertifikat Anda sendiri, lihatBuat sertifikat klien Anda sendiri.

Tanggal dan waktu ketika sertifikat yang ditandatangani oleh sertifikat CA kedaluwarsa ditetapkan saat sertifikat dibuat. X.509 sertifikat yang dihasilkan oleh AWS IoT kedaluwarsa pada tengah malam UTC pada tanggal 31 Desember 2049 (2049- T23:59:59Z 12-31).

AWS IoT Device Defender dapat melakukan audit pada Anda Akun AWS dan perangkat yang mendukung praktik terbaik keamanan IoT umum. Ini termasuk mengelola tanggal kedaluwarsa X.509 sertifikat yang ditandatangani oleh CA Anda atau CA Root Amazon. Untuk informasi selengkapnya tentang mengelola tanggal kedaluwarsa sertifikat, lihat Sertifikat perangkat kedaluwarsa dan Sertifikat CA kedaluwarsa.

Di AWS IoT blog resmi, penyelaman lebih dalam ke dalam pengelolaan rotasi sertifikat perangkat dan praktik terbaik keamanan dieksplorasi di Cara mengelola rotasi sertifikat perangkat IoT menggunakan AWS IoT.

Menggunakan sertifikat X.509 klien dalam beberapa Akun AWS s dengan pendaftaran multi-akun

Multi-account pendaftaran memungkinkan untuk memindahkan perangkat antara Anda di Wil Akun AWS ayah yang sama atau di Wilayah yang berbeda. Anda dapat mendaftarkan, menguji, dan mengonfigurasi perangkat di akun pra-produksi, lalu mendaftarkan dan menggunakan perangkat dan sertifikat perangkat yang sama di akun produksi. Anda juga dapat mendaftarkan sertifikat klien pada perangkat atau sertifikat perangkat tanpa CA yang terdaftar AWS IoT. Untuk informasi selengkapnya, lihat M endaftarkan sertifikat klien yang ditandatangani oleh CA (CLI) yang tidak terdaftar.

Perangkat yang menggunakan pendaftaran multi-akun harus mengirim ekstensi Server Name Indication (SNI) ke protokol Transport Layer Security (TLS) dan memberikan alamat titik akhir lengkap di host_name lapangan, saat terhubung ke. AWS IoT AWS IoT menggunakan alamat titik akhir host_name untuk merutekan koneksi ke AWS IoT akun yang benar. Perangkat yang ada yang tidak mengirim alamat titik akhir yang valid host_name akan terus berfungsi, tetapi mereka tidak akan dapat menggunakan fitur yang memerlukan informasi ini. Untuk informasi selengkapnya tentang ekstensi SNI dan mempelajari cara mengidentifikasi alamat titik akhir untuk host_name bidang tersebut, lihatKeamanan transportasi di AWS IoT Core.

Algoritma penandatanganan sertifikat didukung oleh AWS IoT

AWS IoT mendukung algoritma penandatanganan sertifikat berikut:

Untuk informasi selengkapnya tentang otentikasi dan keamanan sertifikat, lihat Kualitas kunci sertifikat perangkat.

Algoritma kunci yang didukung oleh AWS IoT

Tabel di bawah ini menunjukkan bagaimana algoritma kunci didukung:

Untuk membuat sertifikat menggunakan CreateCertificateFromCSR, Anda dapat menggunakan algoritma kunci yang didukung untuk menghasilkan kunci publik untuk CSR Anda. Untuk mendaftarkan sertifikat Anda sendiri menggunakan RegisterCertificate or RegisterCertificateWithoutCA, Anda dapat menggunakan algoritma kunci yang didukung untuk menghasilkan kunci publik untuk sertifikat.

Untuk informasi selengkapnya, lihat Kebijakan keamanan.