정적 사물 그룹

정적 사물 그룹을 사용하면 사물을 그룹별로 범주화하여 여러 사물을 한번에 관리할 수 있습니다. 정적 사물 그룹에는 콘솔, CLI또는 를 사용하여 관리되는 사물 그룹이 포함됩니다API. 반면에 동적 사물 그룹에는 지정된 쿼리와 일치하는 사물이 포함됩니다. 정적 사물 그룹은 다른 정적 사물 그룹을 포함할 수 있으므로 그룹 계층 구조를 만들 수 있습니다. 정책은 상위 그룹에 연결할 수 있으며, 이렇게 연결된 정책은 하위 그룹을 비롯해 해당 그룹과 해당 그룹의 하위 그룹에 속한 모든 사물에게 상속됩니다. 따라서 사물의 수가 많더라도 권한을 쉽게 제어할 수 있습니다.

다음은 정적 사물 그룹으로 수행할 수 있는 사물입니다.

다음은 정적 사물 그룹에 적용되는 몇 가지 제한입니다.

정책을 그룹에 연결한 후 분리하면 여러 가지 유의적인 방법으로 AWS IoT 작업 보안을 강화할 수 있습니다. 디바이스 단위로 정책을 인증서에 연결하고 나서 인증서를 사물에 연결하려면 시간이 많이 걸릴 뿐만 아니라 다수의 디바이스에서 정책을 빠르게 업데이트하거나 변경하는 것이 어렵습니다. 하지만 정책을 사물 그룹에 연결하면 사물에서 인증서를 교체해야 할 때 여러 단계를 생략할 수 있습니다. 또한 그룹 멤버십을 교체할 때는 정책이 동적으로 사물에 적용되기 때문에 디바이스가 그룹의 멤버십을 교체할 때마다 복잡한 권한들을 다시 생성할 필요가 없습니다.

정적 물체 그룹 생성

CreateThingGroup 명령을 사용하여 정적 사물 그룹을 생성합니다.

$ aws iot create-thing-group --thing-group-name LightBulbs

CreateThingGroup 명령은 정적 사물 그룹의 이름, ID 및 가 포함된 응답을 반환합니다ARN.

{
    "thingGroupName": "LightBulbs", 
    "thingGroupId": "abcdefgh12345678ijklmnop12345678qrstuvwx",
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
}

다음은 정적 사물 그룹을 생성할 때 정적 사물 그룹의 상위 그룹을 지정하는 예제입니다.

$ aws iot create-thing-group --thing-group-name RedLights --parent-group-name LightBulbs

이전과 마찬가지로 CreateThingGroup 명령은 정적 사물 그룹의 이름, ID 및 가 포함된 응답을 반환합니다ARN.

{
    "thingGroupName": "RedLights", 
    "thingGroupId": "abcdefgh12345678ijklmnop12345678qrstuvwx",
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights",
}

사물 그룹 설명

다음과 같이 DescribeThingGroup 명령을 사용하여 사물 그룹에 대한 정보를 가져올 수 있습니다.

$ aws iot describe-thing-group --thing-group-name RedLights

DescribeThingGroup 명령은 다음과 같이 지정한 그룹에 대한 정보를 반환합니다.

{
    "thingGroupName": "RedLights", 
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights",
    "thingGroupId": "12345678abcdefgh12345678ijklmnop12345678",
    "version": 1,
    "thingGroupMetadata": {
        "creationDate": 1478299948.882
        "parentGroupName": "Lights",
        "rootToParentThingGroups": [
            {
                "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ShinyObjects",
                "groupName": "ShinyObjects"
            },
            {
                "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs",
                "groupName": "LightBulbs"
            }
        ]
    },
    "thingGroupProperties": {
        "attributePayload": {
            "attributes": {
                "brightness": "3400_lumens"
            },
        },
        "thingGroupDescription": "string"
    },
}

정적 사물 그룹에 사물 추가

AddThingToThingGroup 명령을 사용하여 정적 사물 그룹에 사물을 추가할 수 있습니다.

$ aws iot add-thing-to-thing-group --thing-name MyLightBulb --thing-group-name RedLights

AddThingToThingGroup 명령은 출력을 생성하지 않습니다.

정적 사물 그룹에서 사물 제거

다음과 같이 RemoveThingFromThingGroup 명령을 사용하여 사물을 그룹에서 제거할 수 있습니다.

$ aws iot remove-thing-from-thing-group --thing-name MyLightBulb --thing-group-name RedLights

RemoveThingFromThingGroup 명령은 출력을 생성하지 않습니다.

사물 그룹에 속한 사물 나열

다음과 같이 ListThingsInThingGroup 명령을 사용하여 그룹에 속한 사물을 나열할 수 있습니다.

$ aws iot list-things-in-thing-group --thing-group-name LightBulbs

ListThingsInThingGroup 명령은 지정하는 그룹에 속한 사물 목록을 반환합니다.

{
    "things":[
        "TestThingA"
    ]
}

다음과 같이 --recursive 파라미터를 추가하면 그룹에 속한 사물과 해당 그룹의 모든 하위 그룹에 속한 사물을 나열할 수 있습니다.

$ aws iot list-things-in-thing-group --thing-group-name LightBulbs --recursive

{
    "things":[
        "TestThingA",
        "MyLightBulb"
    ]
}

사물 그룹 목록 표시

ListThingGroups 명령을 사용하여 계정의 사물 그룹을 나열할 수 있습니다.

$ aws iot list-thing-groups

ListThingGroups 명령은 의 사물 그룹 목록을 반환합니다 AWS 계정.

{
    "thingGroups": [
        {
            "groupName": "LightBulbs", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
        },
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "RedLEDLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLEDLights"
        },
        {
            "groupName": "RedIncandescentLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedIncandescentLights"
        }
        {
            "groupName": "ReplaceableObjects", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ReplaceableObjects"
        }
    ]
}

다음과 같이 옵션으로 제공되는 필터를 사용하여 상위 그룹으로 지정된 그룹(--parent-group) 또는 이름이 지정된 접두사로 시작하는 그룹(--name-prefix-filter)을 나열할 수도 있습니다. 여기에 --recursive 파라미터를 추가하면 사물 그룹의 직접 하위 그룹 뿐만 아니라 모든 하위 그룹까지 나열할 수 있습니다.

$ aws iot list-thing-groups --parent-group LightBulbs

이 경우 ListThingGroups 명령은 에 정의된 사물 그룹의 직접 하위 그룹 목록을 반환합니다 AWS 계정.

{
    "childGroups":[
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        }
    ]
}

ListThingGroups 명령에 --recursive 파라미터를 사용하면 직접 하위 그룹들 외에도 사물 그룹의 모든 하위 그룹까지 나열합니다.

$ aws iot list-thing-groups --parent-group LightBulbs --recursive

ListThingGroups 명령은 사물 그룹의 모든 하위 그룹 목록을 반환합니다.

{
    "childGroups":[
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "RedLEDLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLEDLights"
        },
        {
            "groupName": "RedIncandescentLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedIncandescentLights"
        }
    ]
}

사물이 속하는 그룹의 목록 표시

ListThingGroupsForThing 명령을 사용하여 사물이 속한 직접 그룹을 나열할 수 있습니다.

$ aws iot list-thing-groups-for-thing --thing-name MyLightBulb

ListThingGroupsForThing 명령은 해당 사물이 속하는 직접 사물 그룹 목록을 반환합니다.

{
    "thingGroups":[
        {
            "groupName": "LightBulbs", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
        },
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "ReplaceableObjects", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ReplaceableObjects"
        }
    ]
}

정적 사물 그룹 업데이트

UpdateThingGroup 명령을 사용하여 정적 사물 그룹의 속성을 업데이트할 수 있습니다.

$ aws iot update-thing-group --thing-group-name "LightBulbs" --thing-group-properties "thingGroupDescription=\"this is a test group\", attributePayload=\"{\"attributes\"={\"Owner\"=\"150\",\"modelNames\"=\"456\"}}"

UpdateThingGroup 명령은 업데이트 이후 그룹의 버전 번호가 포함된 응답을 반환합니다.

{
    "version": 4
}

사물 그룹 삭제

사물 그룹을 삭제하려면 다음과 같이 DeleteThingGroup 명령을 사용합니다.

$ aws iot delete-thing-group --thing-group-name "RedLights"

DeleteThingGroup 명령은 출력을 생성하지 않습니다.

A client error (InvalidRequestException) occurred when calling the DeleteThingGroup 
operation: Cannot delete thing group : RedLights when there are still child groups attached to it.

하위 사물이 포함된 그룹도 삭제할 수는 있지만 이 경우 그룹 멤버십에 따라 사물에 부여된 모든 권한이 더 이상 적용되지 않습니다. 따라서 정책이 연결되어 있는 그룹을 삭제하려면 먼저 부여된 권한을 제거할 경우 그룹에 속한 사물이 정상적인 기능을 하지 못하는지 주의 깊게 확인해야 합니다. 또한 클라우드의 레코드가 업데이트되는 동안 사물이 속한 그룹(예: ListGroupsForThing)을 보여주는 명령은 그룹을 계속 표시할 수 있습니다.

정적 사물 그룹에 정책 연결

AttachPolicy 명령을 사용하여 정적 사물 그룹에 정책을 연결하고, 그리고 여기에서 확장하여 해당 그룹에 속한 모든 사물과 해당 그룹의 하위 그룹에 속한 사물에 정책을 연결하는 것도 가능합니다.

$ aws iot attach-policy \
  --target "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs" \
  --policy-name "myLightBulbPolicy"

AttachPolicy 명령은 출력을 생성하지 않습니다.

--target 파라미터는 사물 그룹ARN(위와 같음), 인증서 ARN또는 Amazon Cognito 자격 증명일 수 있습니다. 정책, 인증서 및 인증에 대한 자세한 내용은 단원을 참조하세요인증

자세한 내용은 AWS IoT Core 정책을 참조하세요.

정적 사물 그룹에서 정책 분리

다음과 같이 DetachPolicy 명령을 사용하여 사물 그룹에서 정책을 분리하고, 그리고 여기에서 확장하여 해당 그룹에 속한 모든 사물과 해당 그룹의 하위 그룹에 속한 사물에서 정책을 분리하는 것도 가능합니다.

$ aws iot detach-policy --target "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs" --policy-name "myLightBulbPolicy"

DetachPolicy 명령은 출력을 생성하지 않습니다.

정적 사물 그룹에 연결되어 있는 정책 나열

ListAttachedPolicies 명령을 사용하여 정적 사물 그룹에 연결되어 있는 정책을 나열할 수 있습니다.

$ aws iot list-attached-policies --target "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"

--target 파라미터는 사물 그룹ARN(위와 같음), 인증서 ARN또는 Amazon Cognito 자격 증명일 수 있습니다.

--recursive 파라미터(선택 사항)를 추가하면 그룹의 상위 그룹에 연결되어 있는 모든 정책이 포함됩니다.

ListAttachedPolicies 명령은 정책 목록을 반환합니다.

{
    "policies": [
        "MyLightBulbPolicy" 
        ...
    ]
}

정책이 연결되어 있는 그룹의 목록 표시

다음과 같이 ListTargetsForPolicy 명령을 사용하여 그룹을 포함하여 정책이 연결되어 있는 대상을 나열할 수 있습니다.

$ aws iot list-targets-for-policy --policy-name "MyLightBulbPolicy"

옵션으로 제공되는 --page-size number 파라미터를 추가하면 각 쿼리마다 반환되는 최대 결과 수를 지정하고, 이어지는 호출에서 --marker string 파라미터를 추가하면 다음 결과 집합(있는 경우)을 가져옵니다.

ListTargetsForPolicy 명령은 대상 목록과 더 많은 결과를 가져올 때 사용할 토큰을 반환합니다.

{
    "nextMarker": "string",
    "targets": [ "string" ... ]
}

사물에 적용되는 정책 가져오기

다음과 같이 GetEffectivePolicies 명령을 사용하여 사물이 속한 그룹(직접 상위 그룹 또는 간접 최상위 그룹)에 연결되어 있는 정책을 포함하여 사물에 적용되고 있는 정책을 나열할 수 있습니다.

$ aws iot get-effective-policies \
  --thing-name "MyLightBulb" \
  --principal "arn:aws:iot:us-east-1:123456789012:cert/a0c01f5835079de0a7514643d68ef8414ab739a1e94ee4162977b02b12842847"

--principal 파라미터를 사용하여 사물에 연결된 인증서ARN의 를 지정합니다. Amazon Cognito 자격 증명 인증을 사용할 때는 --cognito-identity-pool-id 파라미터를 사용하고, 옵션으로 --principal 파라미터를 추가하여 Amazon Cognito 자격 증명을 지정합니다. --cognito-identity-pool-id 파라미터만 지정할 경우에는 인증을 받지 못한 사용자들을 위해 해당 자격 증명 풀의 역할에 연결된 정책이 반환됩니다. 둘 다 사용할 경우에는 인증 받은 사용자들을 위해 해당 자격 증명 풀의 역할에 연결된 정책이 반환됩니다.

--thing-name 파라미터는 선택 사항이기 때문에 --principal 파라미터 대신 사용할 수 있습니다. 이 파라미터를 사용하면 사물이 속한 모든 그룹에 연결된 정책과 해당 그룹의 모든 상위 그룹(계층 구조에서 루트 그룹까지)에 연결된 정책이 반환됩니다.

GetEffectivePolicies 명령은 정책 목록을 반환합니다.

{
    "effectivePolicies": [
        {
            "policyArn": "string",
            "policyDocument": "string",
            "policyName": "string"
        }
        ...
    ]
}

MQTT 작업에 대한 테스트 권한 부여

TestAuthorization 명령을 사용하여 MQTT 작업(Publish, Subscribe)이 사물에 허용되는지 테스트할 수 있습니다.

aws iot test-authorization \
    --principal "arn:aws:iot:us-east-1:123456789012:cert/a0c01f5835079de0a7514643d68ef8414ab739a1e94ee4162977b02b12842847" \
    --auth-infos "{\"actionType\": \"PUBLISH\", \"resources\": [ \"arn:aws:iot:us-east-1:123456789012:topic/my/topic\"]}"

--principal 파라미터를 사용하여 사물에 연결된 인증서ARN의 를 지정합니다. Amazon Cognito 자격 증명 인증을 사용할 때는 Cognito 자격 증명을 --principal로 지정하거나 --cognito-identity-pool-id 파라미터를 사용하거나, 혹은 둘 다를 사용합니다. --cognito-identity-pool-id 파라미터만 지정할 경우에는 인증을 받지 못한 사용자들을 위해 해당 자격 증명 풀의 역할에 연결된 정책을 고려합니다. 둘 다 사용할 경우에는 인증 받은 사용자들을 위해 해당 자격 증명 풀의 역할에 연결된 정책을 고려합니다.

--auth-infos 파라미터 다음에 리소스 및 MQTT 작업 유형 집합을 나열하여 테스트할 작업을 하나 이상 지정합니다. actionType 필드에는 “PUBLISH”, “SUBSCRIBE”, “RECEIVE” 또는 “CONNECT”이 포함되어야 합니다. resources 필드에는 리소스 목록이 포함되어야 합니다ARNs. 자세한 내용은 AWS IoT Core 정책를 참조하세요.

--policy-names-to-add 파라미터에서 정책을 지정하여 정책 추가 효과를 테스트할 수 있습니다. 혹은 --policy-names-to-skip 파라미터에서 정책을 지정하여 정책 제거 효과를 테스트할 수도 있습니다.

또한 옵션으로 --client-id 파라미터를 사용하여 결과를 더욱 구체화하는 것도 가능합니다.

TestAuthorization 명령은 지정한 --auth-infos 쿼리 집합마다 허용되거나 거부된 작업에 대한 세부 정보를 반환합니다.

{
    "authResults": [
        {
            "allowed": {
                "policies": [
                    {
                        "policyArn": "string",
                        "policyName": "string"
                    }
                ]
            },
            "authDecision": "string",
            "authInfo": {
                "actionType": "string",
                "resources": [ "string" ]
            },
            "denied": {
                "explicitDeny": {
                    "policies": [
                        {
                            "policyArn": "string",
                            "policyName": "string"
                        }
                    ]
                },
                "implicitDeny": {
                    "policies": [
                        {
                            "policyArn": "string",
                            "policyName": "string"
                        }
                    ]
                }
            },
            "missingContextValues": [ "string" ]
        }
    ]
}