認証されていない Cognito ロールの権限が過剰です

不適合:

arn:aws:iot:region:account-id:client/*

ワイルドカード * を使用すると、どのデバイスでも AWS IoT に接続できます。

arn:aws:iot:region:account-id:client/${iot:ClientId}

条件キーで iot:Connection.Thing.IsAttached が true に設定されていない限り、これは前の例のワイルドカード * と同等の設定です。

適合:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "iot:Connect" ],
      "Resource": [
        "arn:aws:iot:region:account-id:client/${iot:Connection.Thing.ThingName}"
      ],
      "Condition": {
        "Bool": { "iot:Connection.Thing.IsAttached": "true" }
      }
    }
  ]
}

リソースの指定に、接続に使用されるデバイス名と一致する変数が含まれます。条件ステートメントは、MQTT クライアントにより使用される証明書が、使用される名前を持つモノにアタッチされた証明書と一致することを確認することにより、アクセス許可をさらに制限します。

不適合:

arn:aws:iot:region:account-id:topic/$aws/things/*/shadow/update

これにより、デバイスはあらゆるデバイスのシャドウを更新できるようになります (* = すべてのデバイス)。

arn:aws:iot:region:account-id:topic/$aws/things/*

これにより、デバイスはあらゆるデバイスのシャドウを読み取り/更新/削除できるようになります。

適合:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "iot:Publish" ],
      "Resource": [
        "arn:aws:iot:region:account-id:topic/$aws/things/${iot:Connection.Thing.ThingName}/shadow/*"
      ],
    }
  ]
}

リソース仕様にはワイルドカードが含まれていますが、接続するためにモノの名前が使用されているデバイスのシャドウ関連のトピックにのみ一致します。

不適合:

arn:aws:iot:region:account-id:topicfilter/$aws/things/*

これにより、デバイスはすべてのデバイスの予約済みシャドウまたはジョブトピックにサブスクライブできます。

arn:aws:iot:region:account-id:topicfilter/$aws/things/*

前の例と同じですが、# ワイルドカードを使用します。

arn:aws:iot:region:account-id:topicfilter/$aws/things/+/shadow/update

これにより、デバイスはあらゆるデバイスのシャドウ更新を参照できるようになります (+ = すべてのデバイス)。

適合:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "iot:Subscribe" ],
      "Resource": [
        "arn:aws:iot:region:account-id:topicfilter/$aws/things/${iot:Connection.Thing.ThingName}/shadow/*"
        "arn:aws:iot:region:account-id:topicfilter/$aws/things/${iot:Connection.Thing.ThingName}/jobs/*"
      ],
    }
  ]
}

リソース仕様にはワイルドカードが含まれていますが、接続するためにモノの名前が使用されているデバイスのシャドウ関連のトピックとジョブ関連のトピックにのみ一致します。

適合:

arn:aws:iot:region:account-id:topicfilter/$aws/things/*

これは、サブスクライブするアクセス許可を持っているトピックからのみデバイスがメッセージを受信するため、許可されます。