AWS IoT Greengrass セキュリティの概要 - AWS IoT Greengrass
デバイス接続のワークフローAWS IoT Greengrass セキュリティの設定セキュリティプリンシパルMQTT メッセージングワークフローにおけるマネージドサブスクリプションTLS 暗号スイートのサポート

AWS IoT Greengrass Version 1 は 2023 年 6 月 30 日に延長ライフフェーズに参加しました。詳細については、「AWS IoT Greengrass V1 メンテナンスポリシー」を参照してください。この日以降、 AWS IoT Greengrass V1 は機能、機能強化、バグ修正、またはセキュリティパッチを提供する更新をリリースしません。で実行されるデバイスは中断 AWS IoT Greengrass V1 されず、引き続き動作し、クラウドに接続します。に移行 AWS IoT Greengrass Version 2することを強くお勧めします。これにより、重要な新機能が追加され、プラットフォームのサポートが追加されます。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS IoT Greengrass セキュリティの概要

AWS IoT Greengrass は、X.509 証明書、AWS IoT のポリシー、IAM のポリシーとロールを使用して、ローカル Greengrass 環境のデバイスで実行されるアプリケーションを保護します。

次の図は、AWS IoT Greengrass セキュリティモデルのコンポーネントを示しています。

Greengrass サービスアーキテクチャの図。AWS のサービス、Greengrass コアデバイスと接続デバイス、それらの証明書のやり取りを示しています。
A - Greengrass サービスロール

AWS IoT Core、AWS Lambda、および AWS のその他のサービスの AWS リソースへのアクセス時に AWS IoT Greengrass が引き受ける、お客様が作成した IAM ロール。詳細については、「Greengrass サービスロール」を参照してください。

B - コアデバイス証明書

AWS IoT Core および AWS IoT Greengrass を使用して Greengrass コアを認証するために使用される X.509 証明書。詳細については、「AWS IoT Greengrass のデバイス認証と認可」を参照してください。

C - デバイス証明書

AWS IoT Core と AWS IoT Greengrass でクライアントデバイス (接続済みデバイスとも呼ばれる) を認証するために使用される X.509 証明書。詳細については、「AWS IoT Greengrass のデバイス認証と認可」を参照してください。

D - グループロール

Greengrass コアから AWS のサービスを呼び出すときに AWS IoT Greengrass が引き受ける、お客様が作成した IAM ロール。

このロールを使用して、AWS のサービス (DynamoDB など) にアクセスするためにユーザー定義の Lambda 関数とコネクタが必要とするアクセス許可を指定します。また、AWS IoT Greengrass が、ストリームマネージャーのストリームを Lambda のサービスにエクスポートし、CloudWatch ログに書き込めるようにします。詳細については、「Greengrass グループのロール」を参照してください。

注記

AWS IoT Greengrass は、AWS Lambda で指定された Lambda 実行ロールを、Lambda 関数のクラウドバージョンには使用しません。

E - MQTT サーバー証明書

Greengrass コアデバイスと Greengrass グループ内のクライアントデバイスとの間の Transport Layer Security (TLS) 相互認証に使用される証明書。証明書は、AWS クラウド に保存されているグループ CA 証明書によって署名されます。

デバイス接続のワークフロー

このセクションでは、クライアントデバイスが AWS IoT Greengrass サービスおよび Greengrass core デバイスに接続する方法について説明します。クライアントデバイスは、コアデバイスと同じ Greengrass グループに属する登録済み AWS IoT Core デバイスです。

  • Greengrass コアデバイスは、デバイス証明書、プライベートキー、および AWS IoT Core ルート CA 証明書を使用して AWS IoT Greengrass サービスに接続します。コアデバイスでは、設定ファイル内の crypto オブジェクトがこれらの項目のファイルパスを指定します。

  • Greengrass コアデバイスは、AWS IoT Greengrass サービスからグループメンバーシップ情報をダウンロードします。

  • Greengrass コアデバイスに対してデプロイが行われた場合に、Device Certificate Manager (DCM) は Greengrass コアデバイスに対してローカルサーバー証明書管理を行います。

  • クライアントデバイスは、デバイス証明書、プライベートキー、および AWS IoT Core ルート CA 証明書を使用して AWS IoT Greengrass サービスに接続します。クライアントデバイスは、接続後に Greengrass Discovery Service を使用して Greengrass コアデバイスの IP アドレスを見つけます。また、クライアントデバイスはグループ CA 証明書をダウンロードします。この証明書は、Greengrass コアデバイスとの TLS 相互認証に使用されます。

  • クライアントデバイスは Greengrass コアデバイスへの接続を試み、そのデバイス証明書とクライアント ID を渡します。クライアント ID がクライアントデバイスのモノ名と一致し、証明書が有効である (その Greengrass グループに所属する) 場合、接続が実行されます。それ以外の場合は、接続は終了します。

クライアントデバイスの AWS IoT ポリシーでは、コアの接続情報を検出することをデバイスに許可する greengrass:Discover アクセス許可をグラントする必要があります。このポリシーステートメントの詳細については、「検出の認可」を参照してください。

AWS IoT Greengrass セキュリティの設定

Greengrass アプリケーションのセキュリティを設定するには

  1. Greengrass コアデバイスの AWS IoT Core モノを作成します。

  2. Greengrass コアデバイスのキーペアとデバイス証明書を生成します。

  3. AWS IoT ポリシーを作成してデバイス証明書にアタッチします。証明書とポリシーにより、Greengrass コアデバイスは AWS IoT Core および AWS IoT Greengrass サービスにアクセスできます。詳細については、「コアデバイスの最小限の AWS IoT ポリシー」を参照してください。

    注記

    コアデバイスの AWS IoT ポリシーではモノのポリシー変数 (iot:Connection.Thing.*) の使用はサポートされていません。コアは同じデバイス証明書を使用して AWS IoT Core への複数の接続を行いますが、接続のクライアント ID がコアのモノ名と完全に一致しない可能性があります。

  4. Greengrass サービスロールを作成します。この IAM ロールでは、ユーザーに代わって AWS の他のサービスのリソースにアクセスすることを AWS IoT Greengrass に許可します。これにより、AWS IoT Greengrass は AWS Lambda 関数を取得したり、デバイスシャドウを管理するなど、重要なタスクを実行できます。

    AWS リージョン間で同じサービスロールを使用できますが、AWS IoT Greengrass を使用するすべての AWS リージョンでお客様の AWS アカウントに関連付けられている必要があります。

  5. (オプション) Greengrass グループロールを作成します。この IAM ロールは、Greengrass コアで実行されている Lambda 関数とコネクタに対して、AWS のサービスを呼び出すためのアクセス許可を付与します。例えば、Kinesis Firehose コネクタには、Amazon Data Firehose 配信システムにレコードを書き込むアクセス許可が必要です。

    Greengrass グループにアタッチできるロールは 1 つだけです。

  6. Greengrass コアに接続するデバイスごとに、AWS IoT Core モノを作成します。

    注記

    既存の AWS IoT Core モノと証明書を使用することもできます。

  7. Greengrass コアに接続するデバイスごとに、デバイス証明書、キーペア、および AWS IoT ポリシーを作成します。

AWS IoT Greengrass Core セキュリティプリンシパル

Greengrass コアは、AWS IoT クライアント、ローカル MQTT サーバー、ローカルシークレットマネージャーのセキュリティプリンシパルを使用します。これらのプリンシパルの設定は、config.json 設定ファイルの crypto オブジェクトに格納されます。詳細については、「AWS IoT Greengrass Core 設定ファイル」を参照してください。

この設定には、認証および暗号化の主要なコンポーネントが使用するプライベートキーへのパスが含まれています。AWS IoT Greengrass では、ハードウェアベースあるいはファイルシステムベース (デフォルト) の 2 種類のプライベートキーストレージがサポートされています。ハードウェアセキュリティモジュールにキーを保存する方法の詳細については、「ハードウェアセキュリティ統合」を参照してください。

AWS IoT クライアント

AWS IoT クライアント (IoT クライアント) は、Greengrass コアと AWS IoT Core 間のインターネットを介した通信を管理します。AWS IoT Greengrass は、この通信に TLS 接続を確立するときの相互認証にパブリックおよびプライベートキーで X.509 証明書を使用します。詳細については、「AWS IoT Core デベロッパーガイド」の「X.509 証明書と AWS IoT Core」を参照してください。

IoT クライアントでは RSA および EC 証明書とキーがサポートされています。証明書とプライベートキーのパスは、config.json の IoTCertificate プリンシパルで指定されています。

MQTT サーバー

ローカルの MQTT サーバーは、Greengrass コアとグループ内のクライアントデバイス間のローカルネットワークを介した通信を管理します。AWS IoT Greengrass は、この通信に TSL 接続を確立するときにパブリックおよびプライベートキーで X.509 証明書を使用します。

デフォルトでは、AWS IoT Greengrass は RSA プライベートキーを自動的に生成します。別のプライベートキーを使用するコアを設定するには、config.json で MQTTServerCertificate プリンシパルへのキーパスを指定する必要があります。お客様が用意したキーのローテーションは、お客様が行います。

プライベートキーサポート
RSA キー EC キー
キーのタイプ Supported Supported
キーのパラメータ Minimum 2048-bit length NIST P-256 or NIST P-384 curve
ディスク形式 PKCS#1, PKCS#8 SECG1, PKCS#8
最小 GGC バージョン

  • デフォルトの RSA キー使用: 1.0

  • RSA キーの指定: 1.7

  • EC キーの指定: 1.9

プライベートキーの設定は、関連するプロセスを決定します。Greengrass コアでサーバーとしてサポートされる暗号化スイートの一覧については、「TLS 暗号スイートのサポート」を参照してください。

プライベートキーが指定されていない場合 (デフォルト)

  • AWS IoT Greengrass は、ローテーション設定に基づいてキーをローテーションします。

  • コアは、証明書の生成に使用される RSA キーを生成します。

  • MQTT サーバー証明書には、RSA パブリックキーと SHA-256 RSA 署名が含まれています。

RSA プライベートキーが指定されている場合 (GGC v1.7 以降が必要)

  • キーのローテーションはお客様が行います。

  • コアは指定されたキーを使用して証明書を生成します。

  • RSA キーは、少なくとも 2048 ビットの長さにする必要があります。

  • MQTT サーバー証明書には、RSA パブリックキーと SHA-256 RSA 署名が含まれています。

EC プライベートキーが指定されている場合 (GGC v1.9 以降が必要)

  • キーのローテーションはお客様が行います。

  • コアは指定されたキーを使用して証明書を生成します。

  • EC プライベートキーは、NIST P-256 または NIST P-384 curve を使用する必要があります。

  • MQTT サーバー証明書には、EC パブリックキーと SHA-256 RSA 署名があります。

    コアが提供する MQTT サーバー証明書には、キーのタイプに関係なく、SHA-256 RSA 署名があります。このため、クライアントはコアと安全な接続を確立するために、SHA-256 RSA 証明書の検証をサポートしている必要があります。

シークレットマネージャー

ローカルのシークレットマネージャーは、AWS Secrets Manager で作成したシークレットのローカルコピーを安全に管理します。ここでは、プライベートキーを使用して、シークレットを暗号化するために使用されるデータキーを保護します。詳細については、「AWS IoT Greengrass Core にシークレットをデプロイする」を参照してください。

デフォルトでは IoT クライアントプライベートキーが使用されますが、config.json の SecretsManager プリンシパルに別のプライベートキーを指定することもできます。RSA キータイプのみがサポートされています。詳細については、「シークレット暗号化用のプライベートキーを指定する」を参照してください。

注記

現在、AWS IoT Greengrass はハードウェアベースのプライベートキーを使用する際にローカルシークレットを暗号化および復号する方法として、PKCS#1 v1.5 パディング方式のみサポートしています。ベンダーが提供する手順に従ってハードウェアベースのプライベートキーを手動で生成する場合は、必ず PKCS#1 v1.5 を選択してください。AWS IoT Greengrass は、OAEP (Optimal Asymmetric Encryption Padding) をサポートしていません。

プライベートキーサポート
RSA キー EC キー
キーのタイプ Supported Not supported
キーのパラメータ Minimum 2048-bit length Not applicable
ディスク形式 PKCS#1, PKCS#8 Not applicable
最小 GGC バージョン 1.7 Not applicable

MQTT メッセージングワークフローにおけるマネージドサブスクリプション

AWS IoT Greengrass はサブスクリプションテーブルを使用して、Greengrass グループ内のクライアントデバイス、関数、およびコネクタ間、または AWS IoT Core あるいはローカルシャドウサービスと MQTT メッセージを交換する方法を定義します。各サブスクリプションは、どのメッセージが送信あるいは受信されるかについて、送信元、送信先、MQTT トピック (またはサブジェクト) を指定します。AWS IoT Greengrass では、対応するサブスクリプションが定義されている場合のみ、送信元から送信先にメッセージを送信することが許可されます。

サブスクリプションは一方向のメッセージフローのみを定義します。双方向のメッセージ交換をサポートするには、各方向に 1 つずつ、2 つのサブスクリプションを作成する必要があります。

TLS 暗号スイートのサポート

AWS IoT Greengrass は、AWS IoT Core トランスポートセキュリティモデルを使用し、TLS 暗号スイートによりクラウドとの通信を暗号化します。さらに、AWS IoT Greengrass データは保管時には (クラウド上で) 暗号化されます。AWS IoT Core トランスポートセキュリティおよびサポートされている暗号スイートの詳細については、「AWS IoT Core デベロッパーガイド」の「トランスポートセキュリティ」を参照してください。

ローカルネットワーク通信向けにサポートされる暗号化スイート

AWS IoT Core とは異なり、AWS IoT Greengrass コアでは証明書署名アルゴリズムに以下のローカルネットワーク TLS 暗号スイートがサポートされています。プライベートキーがファイルシステムに保存されている場合、これらの暗号化スイートはすべてサポートされます。サブセットは、コアがハードウェアセキュリティモジュール (HSM) を使用するように設定されている場合にサポートされます。詳細については、「AWS IoT Greengrass Core セキュリティプリンシパル」および「ハードウェアセキュリティ統合」を参照してください。また、このテーブルにはサポートに必要な AWS IoT Greengrass Core ソフトウェアの最小バージョンが含まれています。

暗号 HSM のサポート 最小 GGC バージョン
TLSv1.2 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_128_GCM_SHA256 Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_GCM_SHA384 Not supported 1.0
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 Supported 1.9
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 Supported 1.9
TLSv1.1 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0
TLSv1.0 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0