AWS IoT Greengrass 的设备身份验证和授权

AWS IoT Greengrass 环境中的设备使用 X.509 证书进行身份验证，使用 AWS IoT 策略进行授权。证书和策略可让设备在彼此之间以及与 AWS IoT Core 和 AWS IoT Greengrass 之间安全地相互连接。

X.509 证书属于数字证书，它按照 X.509 公有密钥基础设施标准将公有密钥与证书所含的身份相关联。X.509 证书由一家名为证书颁发机构 (CA) 的可信实体颁发。CA 持有一个或多个名为 CA 证书的特殊证书，它使用这种证书来颁发 X.509 证书。只有证书颁发机构才有权访问 CA 证书。

AWS IoT 策略定义允许 AWS IoT 设备执行的操作集。具体而言，它们允许和拒绝访问 AWS IoT Core 和 AWS IoT Greengrass 数据层面操作，如发布 MQTT 消息和检索设备阴影。

所有设备都需要在 AWS IoT Core 注册表中有条目，并且需要带附加 AWS IoT 策略的已激活的 X.509 证书。设备分为两类：

X.509 证书

核心设备和客户端设备之间以及设备和 AWS IoT Core 或 AWS IoT Greengrass 之间的通信必须经过身份验证。此双向身份验证基于注册的 X.509 设备证书和加密密钥。

在 AWS IoT Greengrass 环境中，设备对以下传输层安全性 (TLS) 连接使用带有公钥和私钥的证书：

AWS IoT Greengrass 核心设备将证书存储在 Greengrass 根文件夹中。

证书颁发机构 (CA) 证书

Greengrass 核心设备和客户端设备下载用于使用 AWS IoT Core 和 AWS IoT Greengrass 服务进行身份验证的根 CA 证书。我们建议您使用 Amazon Trust Services (ATS) 根 CA 证书，如 Amazon Root CA 1。有关更多信息，请参阅 AWS IoT Core 开发人员指南中的服务器身份验证的 CA 证书。

客户端设备还将下载 Greengrass 核心设备 CA 证书。他们使用该证书在双向身份验证期间验证核心设备上的 MQTT 服务器证书。

本地 MQTT 代理的证书轮换

启用客户端设备支持后，Greengrass 核心设备会生成本地 MQTT 服务器证书，用于让客户端设备进行双向身份验证。该证书由核心设备存储在 AWS IoT Greengrass 云中的 CA 证书签署。客户端设备在发现核心设备时会检索核心设备 CA 证书。连接到核心设备后，它们会使用核心设备 CA 证书来验证核心设备的 MQTT 服务器证书。核心设备 CA 证书将在 5 年后过期。

MQTT 服务器证书默认每 7 天到期，您可以将此有效期配置为 2 到 10 天之间。此时间期限基于安全最佳实践。这种轮换有助于降低攻击者窃取 MQTT 服务器证书和私钥并冒充 Greengrass 核心设备的风险。

Greengrass 核心设备会在 MQTT 服务器证书到期前 24 小时对其进行轮换。Greengrass 核心设备生成新证书并重新启动本地 MQTT 代理。发生这种情况时，连接到 Greengrass 核心设备的所有客户端设备都将断开连接。客户端设备可以在短时间后重新连接到 Greengrass 核心设备。

数据面板操作的 AWS IoT 策略

使用 AWS IoT 策略授权对 AWS IoT Core 和 AWS IoT Greengrass 数据面板的访问。AWS IoT Core 数据面板为设备、用户和应用程序提供操作。这些操作包括连接 AWS IoT Core 和订阅主题的能力。AWS IoT Greengrass 数据面板为 Greengrass 设备提供操作。有关更多信息，请参阅 AWS IoT Greengrass V2 策略操作。这些操作包括解析组件依赖关系和下载公有组件构件的能力。

AWS IoT 策略是一个与 IAM 策略类似的 JSON 文档。它包含一个或多个策略语句，用于指定以下属性：

AWS IoT 策略支持 * 作为通配符，并将 MQTT 通配符（+和#）视为文字字符串。有关 * 通配符的更多信息，请参阅《AWS Identity and Access Management 用户指南》中的在资源 ARN 中使用通配符。

有关更多信息，请参阅 AWS IoT Core 开发人员指南中的 AWS IoT策略和 AWS IoT 策略操作。

AWS IoT Greengrass V2 策略操作

AWS IoT Greengrass V2 定义 Greengrass 核心设备和客户端设备可以在 AWS IoT 策略中使用的以下策略操作：要为策略操作指定资源，必须使用资源的 Amazon 资源名称（ARN）。

更新核心设备的 AWS IoT 策略

您可以使用 AWS IoT Greengrass 和 AWS IoT 控制台或 AWS IoT API 来查看和更新核心设备的 AWS IoT 策略。

AWS IoT Greengrass V2 核心设备的最低 AWS IoT 策略

以下示例策略包含为支持核心设备的基本 Greengrass 功能所需的一组最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "arn:aws:iot:region:account-id:client/core-device-thing-name*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive",
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrass/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrassv2/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iot:AssumeRoleWithCertificate",
            "Resource": "arn:aws:iot:region:account-id:rolealias/token-exchange-role-alias-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetComponentVersionArtifact",
                "greengrass:ResolveComponentCandidates",
                "greengrass:GetDeploymentConfiguration",
                "greengrass:ListThingGroupsForCoreDevice"
            ],
            "Resource": "*"
        }
    ]
}

支持客户端设备的最低 AWS IoT 政策

以下示例策略包括支持在核心设备上与客户端设备交互所需的最低操作集。要支持客户端设备，除了基本操作的最低 AWS IoT 策略外，核心设备还必须具有 AWS IoT 策略中的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:PutCertificateAuthorities",
                "greengrass:VerifyClientDeviceIdentity"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:VerifyClientDeviceIoTCertificateAssociation"
            ],
            "Resource": "arn:aws:iot:region:account-id:thing/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-device-thing-name"
            ]
        }
    ]
}

客户端设备的最低 AWS IoT 策略

以下示例策略包括客户端设备发现其通过 MQTT 进行连接和通信的核心设备所需的最低操作集。客户端设备的 AWS IoT 策略必须包括 greengrass:Discover 操作，允许设备发现其关联的 Greengrass 核心设备的连接信息。在 Resource 部分，指定客户端设备的 Amazon 资源名称（ARN），而不是 Greengrass 核心设备的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:Discover"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/*"
            ]
        }
    ]
}