を使用した Kinesis Video Streams リソースへのアクセスの制御 AWS IoT

次のコマンド例では、モノのタイプ kvs_example_camera が作成されます。

aws --profile default iot create-thing-type --thing-type-name kvs_example_camera > iot-thing-type.json

このコマンド例では、 kvs_example_camera_stream モノタイプのkvs_example_cameraモノを作成します。

aws --profile default  iot create-thing --thing-name kvs_example_camera_stream --thing-type-name kvs_example_camera > iot-thing.json

IAM ロールを作成します。

次のコマンド例では、 KVSCameraCertificateBasedIAMRoleという IAM ロールが作成されます。

aws --profile default iam create-role --role-name KVSCameraCertificateBasedIAMRole --assume-role-policy-document 'file://iam-policy-document.json' > iam-role.json

iam-policy-document.json には、次の信頼ポリシー JSON を使用できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "credentials.iot.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

次に、以前に作成した IAM ロールにアクセス許可ポリシーをアタッチします。このアクセス許可ポリシーは、 AWS リソースに対する選択的なアクセスコントロール (サポートされているオペレーションのサブセット) を許可します。この場合、 AWS リソースはカメラでデータを送信するビデオストリームです。つまり、すべての設定ステップが完了すると、このカメラはこのビデオストリームにのみデータを送信できるようになります。

aws --profile default iam put-role-policy --role-name KVSCameraCertificateBasedIAMRole --policy-name KVSCameraIAMPolicy --policy-document 'file://iam-permission-document.json' 

には、次の IAM ポリシー JSON を使用できますiam-permission-document.json。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia",
                "kinesisvideo:TagStream",
                "kinesisvideo:GetDataEndpoint"
            ],
            "Resource": "arn:aws:kinesisvideo:*:*:stream/${credentials-iot:ThingName}/*"
        }
    ]
}

このポリシーは、プレースホルダー で指定されたビデオストリーム (AWS リソース) でのみ、指定されたアクションを許可することに注意してください(${credentials-iot:ThingName})。このプレースホルダーは、認証情報プロバイダーがリクエストでビデオストリーム名を送信するThingNameときに AWS IoT 、 AWS IoT モノの属性の値を受け取ります。

次に、IAM ロールのロールエイリアスを作成します。ロールエイリアスは、IAM ロールをポイントする代替データモデルです。 AWS IoT 認証情報プロバイダーリクエストには、STS から一時的な認証情報を取得するために引き受ける IAM ロールを示すロールエイリアスを含める必要があります。

次のサンプルコマンドでは、KvsCameraIoTRoleAlias というロールエイリアスが作成されます。

aws --profile default iot create-role-alias --role-alias KvsCameraIoTRoleAlias --role-arn $(jq --raw-output '.Role.Arn' iam-role.json) --credential-duration-seconds 3600 > iot-role-alias.json

これで、ロールエイリアスを使用して AWS IoT 、 が (アタッチされた後に) 証明書を使用してロールを引き受けることができるポリシーを作成できます。

次のサンプルコマンドは、 AWS IoT という のポリシーを作成しますKvsCameraIoTPolicy。

aws --profile default iot create-policy --policy-name KvsCameraIoTPolicy --policy-document 'file://iot-policy-document.json'

次のコマンドを使用して、iot-policy-document.jsonドキュメント JSON を作成できます。

cat > iot-policy-document.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:AssumeRoleWithCertificate"
            ],
            "Resource": "$(jq --raw-output '.roleAliasArn' iot-role-alias.json)"
        }
    ]
}
EOF

AWS IoT 以前に作成した のポリシーをアタッチする必要がある証明書を作成します。

aws --profile default iot create-keys-and-certificate --set-as-active --certificate-pem-outfile certificate.pem --public-key-outfile public.pem.key --private-key-outfile private.pem.key > certificate

この証明書に AWS IoT （KvsCameraIoTPolicy以前に作成した) のポリシーをアタッチします。

aws --profile default iot attach-policy --policy-name KvsCameraIoTPolicy --target $(jq --raw-output '.certificateArn' certificate)

作成した証明書に AWS IoT モノ (kvs_example_camera_stream) をアタッチします。

aws --profile default iot attach-thing-principal --thing-name kvs_example_camera_stream --principal $(jq --raw-output '.certificateArn' certificate)

AWS IoT 認証情報プロバイダーを介してリクエストを承認するには、 AWS アカウント ID に固有の AWS IoT 認証情報エンドポイントが必要です。次のコマンドを使用して、 AWS IoT 認証情報エンドポイントを取得できます。

aws --profile default iot describe-endpoint --endpoint-type iot:CredentialProvider --output text > iot-credential-provider.txt

以前に作成した X.509 証明書に加えて、TLS を介してバックエンドサービスとの信頼を確立するための CA 証明書も必要です。CA 証明書は、次のコマンドを使用して取得できます。

curl --silent 'https://www.amazontrust.com/repository/SFSRootCAG2.pem' --output cacert.pem

まず、この設定のテストに使用する Kinesis ビデオストリームを作成します。

aws kinesisvideo create-stream --data-retention-in-hours 24 --stream-name kvs_example_camera_stream

次に、 AWS IoT 認証情報プロバイダーを呼び出して一時的な認証情報を取得します。

curl --silent -H "x-amzn-iot-thingname:kvs_example_camera_stream" --cert certificate.pem --key private.pem.key https://IOT_GET_CREDENTIAL_ENDPOINT/role-aliases/KvsCameraIoTRoleAlias/credentials --cacert ./cacert.pem > token.json

IOT_GET_CREDENTIAL_ENDPOINT=`cat iot-credential-provider.txt`

出力 JSON には、accessKey、secretKey、および が含まれておりsessionToken、Kinesis Video Streams へのアクセスに使用できます。

テストでは、これらの認証情報を使用して、サンプルkvs_example_camera_streamビデオストリームの Kinesis Video Streams DescribeStream API を呼び出すことができます。

AWS_ACCESS_KEY_ID=$(jq --raw-output '.credentials.accessKeyId' token.json) AWS_SECRET_ACCESS_KEY=$(jq --raw-output '.credentials.secretAccessKey' token.json) AWS_SESSION_TOKEN=$(jq --raw-output '.credentials.sessionToken' token.json) aws kinesisvideo describe-stream --stream-name kvs_example_camera_stream

X.509 証明書、プライベートキー、および前のステップで生成された CA 証明書をカメラのファイルシステムにコピーします。これらのファイルが保存される場所のパス、ロールエイリアス名、およびgst-launch-1.0コマンドまたはサンプルアプリケーションを実行するための AWS IoT 認証情報エンドポイントを指定します。

次のサンプルコマンドは、 AWS IoT 証明書認可を使用して Kinesis Video Streams に動画を送信します。

gst-launch-1.0 rtspsrc location=rtsp://YourCameraRtspUrl short-header=TRUE ! rtph264depay ! video/x-h264,format=avc,alignment=au ! h264parse ! kvssink stream-name="kvs_example_camera_stream" aws-region="YourAWSRegion" iot-certificate="iot-certificate,endpoint=credential-account-specific-prefix.credentials.iot.aws-region.amazonaws.com,cert-path=/path/to/certificate.pem,key-path=/path/to/private.pem.key,ca-path=/path/to/cacert.pem,role-aliases=KvsCameraIoTRoleAlias"