AWS IoT Greengrass 的裝置身分驗證和授權

AWS IoT Greengrass 環境中的裝置會使用 X.509 憑證進行身分驗證以及 AWS IoT 政策進行授權。憑證和原則允許裝置彼此、與 AWS IoT Core 和 AWS IoT Greengrass 安全地連線。

X.509 憑證為數位憑證，採用 X.509 公有金鑰基礎架構標準，將公有金鑰與憑證內含的身分建立關聯。X.509 憑證是由稱為憑證授權機構 (CA) 的受信任實體所發行。CA 負責維護一個或多個稱為憑證授權機構憑證的特殊憑證，用以發行 X.509 憑證。僅憑證授權機構可存取憑證授權機構憑證。

AWS IoT 政策會定義允許 AWS IoT 裝置的操作集。具體而言，它們允許和拒絕對 AWS IoT Core 和 AWS IoT Greengrass 資料平面操作的存取，例如發佈 MQTT 訊息和擷取裝置陰影。

所有裝置在 AWS IoT Core 登錄中都需要有個項目，以及一個已連接 AWS IoT 政策且已啟動的 X.509 憑證。裝置可分為兩類：

X.509 憑證

核心與用戶端裝置之間以及裝置與AWS IoT Core或之間的通訊AWS IoT Greengrass必須經過驗證。此相互驗證是根據已註冊的 X.509 裝置憑證和加密金鑰。

在 AWS IoT Greengrass 環境中，裝置會針對下列 Transport Layer Security (TLS) 連線使用具有公有和私有金鑰的憑證：

AWS IoT Greengrass核心裝置會將憑證儲存在兩個位置：

如需詳細資訊，請參閱 AWS IoT Greengrass 核心安全性主體。

憑證授權機構 (CA) 憑證

核心裝置和用戶端裝置會下載用於驗證AWS IoT Core和AWS IoT Greengrass服務的根 CA 憑證。我們建議您使用 Amazon Trust Service (ATS) 根憑證授權機構憑證，例如 Amazon 根 CA 1。如需詳細資訊，請參閱AWS IoT Core開發人員指南中的用於伺服器驗證的 CA 憑證。

用戶端裝置也會下 Greengrass 組 CA 憑證。這是在相互驗證期間用來驗證 Greengrass 核心上的 MQTT 伺服器憑證。如需詳細資訊，請參閱 裝置連線工作流程。MQTT 伺服器憑證的預設到期日為七天。

本機 MQTT 伺服器上的憑證輪換

用戶端裝置會使用本機 MQTT 伺服器憑證與 Greengrass 核心裝置進行相互驗證。根據預設，此憑證會在七天後到期。此有限期間是依據安全最佳實務。MQTT 伺服器憑證是由儲存在雲端的群組憑證授權機構憑證簽署的。

若要進行憑證輪替，您的 Greengrass 核心裝置必須處於線上狀態，並且能夠定期直接存取AWS IoT Greengrass服務。憑證過期時，核心裝置會嘗試連線至AWS IoT Greengrass服務以取得新憑證。如果連線成功，核心裝置會下載新的 MQTT 伺服器憑證並重新啟動本機 MQTT 服務。此時，連線至核心的所有用戶端裝置都會中斷連線。如果核心裝置在到期時處於離線狀態，則不會收到替換憑證。任何連接至核心裝置的新嘗試都會遭到拒絕。現有的連線不受影響。在恢復與服務的連接並且可以下載新的 MQTT AWS IoT Greengrass 服務器證書之前，客戶端設備無法連接到核心設備。

您可以根據需求將過期日設為 7 到 30 天。更頻繁的輪換也需要更頻繁的雲端連線。不常輪換可能會造成安全問題。如果您想要將憑證到期時間設定為超過 30 天的值，請聯絡AWS Support。

在AWS IoT主控台中，您可以在群組的 [設定] 頁面上管理憑證。在 AWS IoT Greengrass API 中，您可以使用UpdateGroupCertificateConfiguration動作。

當 MQTT 伺服器憑證過期，驗證憑證都會失敗。用戶端裝置必須能夠偵測到失敗並終止連線。

資料平面操作的AWS IoT 政策

使用 AWS IoT 政策授權對 AWS IoT Core 和 AWS IoT Greengrass 資料平面的存取權。AWS IoT Core 資料平面包含裝置、使用者和應用程式的操作，例如連接到 AWS IoT Core 和訂閱主題。AWS IoT Greengrass 資料平面包含 Greengrass 裝置的操作，例如擷取部署和更新連線資訊。

AWS IoT政策是類似於 IAM 政策的 JSON 文件。它包含一或多個指定下列屬性的政策陳述式：

AWS IoT原則支援*為萬用字元，並將 MQTT 萬用字元 (+和#) 視為常值字串。如需*萬用字元的詳細資訊，請參閱《使用指南》中的〈在資源 ARN 中使用萬用字元〉。AWS Identity and Access Management

如需詳細資訊，請參閱AWS IoT Core開發人員指南中的AWS IoT政AWS IoT策和政策動作。

AWS IoT Greengrass 政策動作

AWS IoT Greengrass 核心裝置的最低 AWS IoT 政策

以下範例政策包含支援核心裝置基本 Greengrass 功能所需的最少動作組合。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

在AWS IoT主控台中，您可以檢視和編輯附加至核心憑證的原則。