への直接呼び出しの許可 AWS を使用する サービス AWS IoT Core 認証情報プロバイダー

認証情報プロバイダーがデバイスに代わって引き受けるIAMロールを設定します。次の信頼ポリシーをロールにアタッチします。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "credentials.iot.amazonaws.com"},
        "Action": "sts:AssumeRole"
    }
} 

各 について AWS 呼び出したい サービスで、アクセスポリシーをロールにアタッチします。認証情報プロバイダーは次のポリシー変数をサポートしています。

デバイスが へのリクエストでモノの名前を提供する場合 AWS 認証情報プロバイダーは、 credentials-iot:ThingNameと をコンテキスト変数credentials-iot:ThingTypeNameとしてセキュリティトークンに追加します。デバイスがリクエストでモノの名前を提供していなくても、認証情報プロバイダーは credentials-iot:AwsCertificateId をコンテキスト変数として提供します。モノの名前をx-amzn-iot-thingnameHTTPリクエストヘッダーの値として渡します。

これら 3 つの変数はポリシーでのみ機能し、IAMポリシーでは機能しません。 AWS IoT Core ポリシー。

次のステップ (ロールエイリアスの作成) を実行するユーザーに、新しく作成されたロールを に渡すアクセス許可があることを確認します。 AWS IoT Core。 次のポリシーは、 に iam:GetRoleと の両方のiam:PassRoleアクセス許可を付与します。 AWS ユーザー。iam:GetRole アクセス許可は、今作成したロールに関する情報をユーザーが取得できるようにします。アクセスiam:PassRole許可により、ユーザーはロールを別の に渡すことができます。 AWS サービス。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:GetRole",
            "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::your AWS アカウント id:role/your role name"
    }
} 

を作成する AWS IoT Core ロールエイリアス。が に直接呼び出すデバイス AWS サービスはARN、 に接続するときに使用するロールを把握している必要があります AWS IoT Core。 ロールのハードコーディングARNは、ロールARNが変更されるたびにデバイスを更新する必要があるため、適切なソリューションではありません。より良い解決策は、 を使用してCreateRoleAliasAPI、ロール を指すロールエイリアスを作成することですARN。ロールARNが変更された場合は、ロールエイリアスを更新するだけです。デバイスに変更を加える必要はありません。これにより、次のパラメータAPIが取得されます。

この の詳細については、API「」を参照してくださいCreateRoleAlias。

ポリシーをデバイス証明書にアタッチします。デバイス証明書にアタッチされているポリシーは、デバイスにそのロールを引き受ける権限を付与する必要があります。これを行うには、次の例のように、iot:AssumeRoleWithCertificate アクションへのアクセス許可をロールエイリアスに付与します。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"iot:AssumeRoleWithCertificate",
         "Resource":"arn:aws:iot:your region:your_aws_account_id:rolealias/your role alias"
      }
   ]
}

認証情報プロバイダーにセキュリティトークンの取得をHTTPSリクエストします。以下の情報を提供します。

で次のコマンドを実行します。 AWS CLI で の認証情報プロバイダーエンドポイントを取得するには AWS アカウント。 この の詳細については、API「」を参照してくださいDescribeEndpoint。が有効なエンドポイントについては、FIPS「」を参照してくださいAWS IoT Core- 認証情報プロバイダーエンドポイント。

aws iot describe-endpoint --endpoint-type iot:CredentialProvider

次のJSONオブジェクトは、 describe-endpoint コマンドのサンプル出力です。これには、セキュリティトークンをリクエストするために使用する endpointAddress が含まれています。

{
    "endpointAddress": "your_aws_account_specific_prefix.credentials.iot.your region.amazonaws.com"
} 

エンドポイントを使用して、認証情報プロバイダーにセキュリティトークンを返すHTTPSリクエストを行います。次のコマンド例では を使用していますがcurl、任意のHTTPクライアントを使用できます。

curl --cert your certificate --key your device certificate key pair -H "x-amzn-iot-thingname: your thing name" --cacert AmazonRootCA1.pem https://your endpoint /role-aliases/your role alias/credentials

このコマンドは、accessKeyId、secretAccessKey、sessionToken および有効期限を含むセキュリティトークンオブジェクトを返します。次のJSONオブジェクトは、 curl コマンドのサンプル出力です。

    {"credentials":{"accessKeyId":"access key","secretAccessKey":"secret access key","sessionToken":"session token","expiration":"2018-01-18T09:18:06Z"}}
                    

その後、accessKeyId、、および sessionToken値を使用してsecretAccessKey、 へのリクエストに署名できます。 AWS サービス。 end-to-end デモンストレーションについては、「ハードコーディングの必要性を排除する方法」を参照してください。 AWS を使用したデバイスの認証情報 AWS IoT 認証情報プロバイダーのブログ記事 AWS セキュリティブログ 。