기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS IoT Greengrass에 대한 디바이스 인증 및 권한 부여

AWS IoT Greengrass 환경의 디바이스는 인증에 X.509 인증서를 사용하고 권한 부여에는 AWS IoT 정책을 사용합니다. 인증서 및 정책을 통해 디바이스끼리, 그리고 AWS IoT Core 및 AWS IoT Greengrass와 안전하게 연결할 수 있습니다.

X.509 인증서는 X.509 퍼블릭 키 인프라 표준을 사용하여 퍼블릭 키를 인증서에 포함된 자격 증명과 연결하는 디지털 인증서입니다. X.509 인증서는 인증 기관(CA)이라고 부르는, 신뢰할 수 있는 엔터티가 발행합니다. CA는 X.509 인증서 발행하는 데 사용되는 CA 인증서라고 하는 하나 이상의 특수 인증서를 유지 관리합니다. 인증 기관만 CA 인증서에 액세스할 수 있습니다.

AWS IoT 정책은 AWS IoT 디바이스에 허용되는 작업 집합을 정의합니다. 특히 MQTT 메시지 게시 및 디바이스 섀도우 검색과 같은 AWS IoT Core 및 AWS IoT Greengrass 데이터 플레인 작업에 대한 액세스를 허용하거나 거부합니다.

모든 디바이스에는 AWS IoT Core 레지스트리의 항목, AWS IoT 정책이 연결된 활성화된 X.509 인증서가 필요합니다. 디바이스는 두 가지 범주로 나뉩니다.

X.509 인증서

코어 디바이스와 클라이언트 디바이스 간, 디바이스 및/또는 디바이스 간 통신을 AWS IoT Greengrass 인증해야 합니다. AWS IoT Core 이 상호 인증은 등록된 X.509 디바이스 인증서와 암호화 키를 기반으로 수행됩니다.

AWS IoT Greengrass 환경에서 디바이스는 다음 TLS(전송 계층 보안) 연결에 퍼블릭 키와 프라이빗 키가 있는 인증서를 사용합니다.

AWS IoT Greengrass코어 디바이스는 Greengrass 루트 폴더에 인증서를 저장합니다.

CA(인증 기관) 인증서

Greengrass 코어 디바이스와 클라이언트 디바이스는 및 서비스를 통한 인증에 사용되는 루트 CA 인증서를 다운로드합니다AWS IoT Core. AWS IoT Greengrass Amazon Root CA 1 같은 Amazon Trust Services(ATS) 루트 CA 인증서를 사용하는 것이 좋습니다. 서버 인증용 CA 인증서에 대한 자세한 내용은 AWS IoT Core개발자 설명서의 인증(IoT)를 참조하세요.

또한 클라이언트 디바이스는 Greengrass 코어 디바이스 CA 인증서를 다운로드합니다. 이들은 이 인증서를 사용하여 상호 인증 중에 코어 디바이스의 MQTT 서버 인증서를 검증합니다.

로컬 MQTT 브로커의 인증서 교체

클라이언트 장치 지원을 활성화하면 Greengrass 코어 장치는 클라이언트 장치가 상호 인증에 사용하는 로컬 MQTT 서버 인증서를 생성합니다. 이 인증서는 코어 디바이스가 클라우드에 저장하는 코어 디바이스 CA 인증서에 의해 서명됩니다AWS IoT Greengrass. 클라이언트 디바이스는 코어 디바이스를 발견하면 코어 디바이스 CA 인증서를 검색합니다. 코어 디바이스에 연결할 때 코어 디바이스 CA 인증서를 사용하여 코어 디바이스의 MQTT 서버 인증서를 확인합니다. 코어 디바이스 CA 인증서는 5년 후에 만료됩니다.

MQTT 서버 인증서는 기본적으로 7일마다 만료되며 이 기간을 2일에서 10일 사이로 구성할 수 있습니다. 이 제한된 기간은 보안 모범 사례를 기반으로 합니다. 이 로테이션은 공격자가 MQTT 서버 인증서와 개인 키를 도용하여 Greengrass 코어 디바이스를 가장하려는 위협을 완화하는 데 도움이 됩니다.

Greengrass 코어 디바이스는 MQTT 서버 인증서가 만료되기 24시간 전에 교체합니다. Greengrass 코어 디바이스는 새 인증서를 생성하고 로컬 MQTT 브로커를 다시 시작합니다. 이 경우 Greengrass 코어 디바이스에 연결된 모든 클라이언트 디바이스의 연결이 끊어집니다. 클라이언트 디바이스는 잠시 후 Greengrass 코어 디바이스에 다시 연결할 수 있습니다.

데이터 영역 작업에 대한 AWS IoT 정책

AWS IoT정책을 사용하여 AWS IoT Core 및 AWS IoT Greengrass 데이터 플레인에 대한 액세스를 승인하십시오. AWS IoT Core데이터 플레인은 장치, 사용자 및 애플리케이션에 대한 작업을 제공합니다. 이러한 작업에는 주제에 연결하고 주제를 구독하는 AWS IoT Core 기능이 포함됩니다. AWS IoT Greengrass데이터 플레인은 Greengrass 디바이스에 대한 작업을 제공합니다. 자세한 설명은 AWS IoT Greengrass V2 정책 작업 섹션을 참조하세요. 이러한 작업에는 구성 요소 종속성을 해결하고 공용 구성 요소 아티팩트를 다운로드하는 기능이 포함됩니다.

AWS IoT 정책은 IAM 정책과 유사한 JSON 문서입니다. 여기에는 다음 속성을 지정하는 하나 이상의 정책 설명이 포함됩니다.

AWS IoT 정책은 *을(를) 와일드카드 문자로 지원하며 MQTT 와일드카드 문자(+ 및 #)를 리터럴 문자열로 취급합니다. * 와일드카드에 대한 자세한 내용은 AWS Identity and Access Management 사용 설명서의 리소스 ARN에서 와일드카드 사용을 참조하십시오.

자세한 내용은 AWS IoT Core 개발자 안내서의 AWS IoT 정책 및 AWS IoT 정책 조치를 참조하십시오.

AWS IoT Greengrass V2 정책 작업

AWS IoT Greengrass V2Greengrass 코어 디바이스 및 클라이언트 디바이스가 정책에서 AWS IoT 사용할 수 있는 다음과 같은 정책 조치를 정의합니다. 정책 작업에 사용할 리소스를 지정하려면 해당 리소스의 Amazon 리소스 이름 (ARN) 을 사용합니다.

코어 디바이스 정책 업데이트 AWS IoT

AWS IoT Greengrass및 AWS IoT 콘솔 또는 AWS IoT API를 사용하여 핵심 장치의 정책을 보고 업데이트할 수 있습니다. AWS IoT

AWS IoT Greengrass V2코어 디바이스에 대한 최소 AWS IoT 정책

다음 예제 정책에는 코어 디바이스용 기본 Greengrass 기능을 지원하는 데 필요한 최소 작업 세트가 포함됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "arn:aws:iot:region:account-id:client/core-device-thing-name*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive",
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrass/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrassv2/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iot:AssumeRoleWithCertificate",
            "Resource": "arn:aws:iot:region:account-id:rolealias/token-exchange-role-alias-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetComponentVersionArtifact",
                "greengrass:ResolveComponentCandidates",
                "greengrass:GetDeploymentConfiguration",
                "greengrass:ListThingGroupsForCoreDevice"
            ],
            "Resource": "*"
        }
    ]
}

클라이언트 AWS IoT 장치를 지원하기 위한 최소 정책

다음 예제 정책에는 코어 장치에서 클라이언트 장치와의 상호 작용을 지원하는 데 필요한 최소 작업 집합이 포함되어 있습니다. 클라이언트 장치를 지원하려면 코어 장치에 기본 작동을 위한 최소 AWS IoT 정책 외에도 이 AWS IoT 정책의 사용 권한이 있어야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:PutCertificateAuthorities",
                "greengrass:VerifyClientDeviceIdentity"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:VerifyClientDeviceIoTCertificateAssociation"
            ],
            "Resource": "arn:aws:iot:region:account-id:thing/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-device-thing-name"
            ]
        }
    ]
}

클라이언트 디바이스에 대한 최소 AWS IoT 정책

다음 예제 정책에는 클라이언트 장치가 MQTT를 통해 연결 및 통신하는 핵심 장치를 검색하는 데 필요한 최소 작업 집합이 포함되어 있습니다. 클라이언트 장치 AWS IoT 정책에는 장치가 관련 Greengrass 코어 장치에 대한 연결 정보를 검색할 수 있도록 허용하는 greengrass:Discover 작업이 포함되어야 합니다. Resource섹션에서 Greengrass 코어 디바이스의 ARN이 아닌 클라이언트 디바이스의 Amazon 리소스 이름 (ARN) 을 지정하십시오.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:Discover"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/*"
            ]
        }
    ]
}