Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

X.509 certificati per i clienti

X.509 i certificati offrono AWS IoT la possibilità di autenticare le connessioni di client e dispositivi. I certificati client devono essere registrati AWS IoT prima che un cliente possa comunicare con AWS IoT. Un certificato client può essere registrato in più Account AWS documenti contemporaneamente Regione AWS per facilitare lo spostamento dei dispositivi tra Account AWS i tuoi nella stessa regione. Per ulteriori informazioni, consulta Utilizzo X.509 multiplo dei certificati client Account AWS s con registrazione multiaccount.

Consigliamo che a ogni dispositivo o client sia assegnato un certificato univoco per permettere operazioni di gestione granulare del client, inclusa la revoca di certificati. I dispositivi e i client devono anche supportare la rotazione e la sostituzione dei certificati per garantire un funzionamento corretto allo scadere dei certificati.

Per informazioni sull'utilizzo X.509 dei certificati per supportare più di alcuni dispositivi, consulta la sezione Provisioning dei dispositivi per esaminare le diverse opzioni di gestione e provisioning dei certificati AWS IoT supportate.

Questa sezione descrive come gestire i X.509 certificati in AWS IoT. È possibile utilizzare la AWS IoT console o AWS CLI eseguire le seguenti operazioni relative ai certificati:

Per ulteriori informazioni sui AWS CLI comandi che eseguono queste operazioni, vedere AWS IoT CLI Reference.

Utilizzo dei certificati X.509 client

X.509 i certificati autenticano le connessioni di client e dispositivi a AWS IoT. X.509i certificati offrono diversi vantaggi rispetto ad altri meccanismi di identificazione e autenticazione. X.509 i certificati consentono l'uso di chiavi asimmetriche con i dispositivi. Ad esempio, è possibile masterizzare le chiavi private in un archivio sicuro su un dispositivo in modo che il materiale crittografico sensibile non lasci mai il dispositivo. X.509i certificati forniscono un'autenticazione del client più efficace rispetto ad altri schemi, come nome utente e password o token al portatore, poiché la chiave privata non lascia mai il dispositivo.

AWS IoT autentica i certificati client utilizzando la modalità di autenticazione client del protocollo TLS. Il supporto TLS è disponibile in molti linguaggi di programmazione e sistemi operativi e viene usato in genere per crittografare i dati. Nell'autenticazione client TLS, AWS IoT richiede un certificato X.509 client e convalida lo stato del certificato Account AWS rispetto a un registro di certificati. Quindi richiede al cliente la prova della proprietà della chiave privata che corrisponde alla chiave pubblica contenuta nel certificato. AWS IoT richiede ai client di inviare l'estensione Server Name Indication (SNI) al protocollo Transport Layer Security (TLS). Per ulteriori informazioni sulla configurazione dell'estensione SNI, consulta Sicurezza dei trasporti in AWS IoT Core.

Per facilitare una connessione client sicura e coerente al AWS IoT core, un certificato X.509 client deve possedere quanto segue:

Puoi creare certificati client che utilizzano l'autorità di certificazione root Amazon e puoi utilizzare i tuoi certificati client firmati da un'altra CA. Per ulteriori informazioni sull'utilizzo della AWS IoT console per creare certificati che utilizzano Amazon Root CA, consultaCrea AWS IoT certificati client. Per ulteriori informazioni sull'utilizzo X.509 dei tuoi certificati, consultaCreare certificati client personali.

La data e l'ora di scadenza dei certificati firmati da un certificato CA vengono impostate al momento della creazione del certificato. X.509 i certificati generati da AWS IoT scadono alla mezzanotte UTC del 31 dicembre 2049 (2049-12-31). T23:59:59Z

AWS IoT Device Defender può eseguire audit sui tuoi Account AWS dispositivi e supportando le best practice di sicurezza IoT più comuni. Ciò include la gestione delle date di scadenza dei X.509 certificati firmati dalla tua CA o da Amazon Root CA. Per ulteriori informazioni sulla gestione della data di scadenza di un certificato, consulta Scadenza del certificato del dispositivo e Scadenza del certificato CA.

Nel AWS IoT blog ufficiale, un approfondimento sulla gestione della rotazione dei certificati dei dispositivi e sulle migliori pratiche di sicurezza è illustrato in Come gestire la rotazione dei certificati dei dispositivi IoT utilizzando. AWS IoT

Utilizzo X.509 multiplo dei certificati client Account AWS s con registrazione multiaccount

Multi-account la registrazione consente di spostare i dispositivi tra Account AWS i tuoi nella stessa regione o in regioni diverse. In questo modo puoi registrare, testare e configurare un dispositivo in un account di pre-produzione, quindi registrare e utilizzare lo stesso dispositivo e certificato del dispositivo in un account di produzione. Puoi anche registrare il certificato client sul dispositivo o i certificati del dispositivo senza una CA registrata presso AWS IoT. Per ulteriori informazioni, consulta Registrazione di un certificato client firmato da una CA non registrata (CLI).

I dispositivi che utilizzano la registrazione con più account devono inviare l'estensione SNI (Server Name Indication) al protocollo Transport Layer Security (TLS) e fornire l'indirizzo completo dell'endpoint nel host_name campo, al momento della connessione. AWS IoT AWS IoT utilizza l'indirizzo dell'endpoint host_name per indirizzare la connessione all'account corretto. AWS IoT I dispositivi esistenti che non inviano un indirizzo endpoint valido in host_name continueranno a funzionare, ma non saranno in grado di utilizzare le funzionalità che richiedono queste informazioni. Per ulteriori informazioni sull'estensione SNI e per informazioni su come identificare l'indirizzo endpoint per il campo host_name, vedere Sicurezza dei trasporti in AWS IoT Core.

Algoritmi di firma dei certificati supportati da AWS IoT

AWS IoT supporta i seguenti algoritmi di firma dei certificati:

Per ulteriori informazioni sull'autenticazione e la sicurezza dei certificati, vedere Qualità della chiave del certificato del dispositivo. https://docs.aws.amazon.com/iot-device-defender/latest/devguide/audit-chk-device-cert-key-quality.html

Algoritmi chiave supportati da AWS IoT

La tabella seguente mostra come sono supportati gli algoritmi chiave:

Per creare un certificato utilizzando CreateCertificateFromCSR, puoi utilizzare un algoritmo a chiave supportato per generare una chiave pubblica per la tua CSR. Per registrare il tuo certificato utilizzando RegisterCertificate or RegisterCertificateWithoutCA, puoi utilizzare un algoritmo a chiave supportato per generare una chiave pubblica per il certificato.

Per ulteriori informazioni, consulta Politiche di sicurezza.