AWS IoT Core 搭配界面 VPC 端點使用

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

透過 AWS IoT Core，您可以使用界面 VPC 端點，在虛擬私有雲端 (VPC) 中建立 IoT 資料端點。 https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint介面 VPC 端點採用一種 AWS 技術 AWS PrivateLink，您可以使用 AWS 私有 IP 地址來存取在 上執行的服務。如需詳細資訊，請參閱 Amazon Virtual Private Cloud。

若要將遠端網路上的 欄位中的裝置，例如公司網路連接至您的 Amazon VPC，請參閱 Network-to-Amazon VPC 連線矩陣中列出的選項。

為 AWS IoT Core 資料平面建立 VPC 端點

您可以為 AWS IoT Core 資料平面 API 建立 VPC 端點，以將裝置連接到 AWS IoT 服務和其他 AWS 服務。若要開始使用 VPC 端點，請建立介面 VPC 端點，然後選取 AWS IoT Core 做為 AWS 服務。如果您使用 CLI，請先呼叫 describe-vpc-endpoint-services，以確保您選擇特定 中存在 AWS IoT Core 的可用區域 AWS 區域。例如，在 us-east-1 中，此命令將如下所示：

aws ec2 describe-vpc-endpoint-services --service-name com.amazonaws.us-east-1.iot.data

若要將 MQTT 用戶端連接到 VPC 端點介面：

請參閱以下詳細說明，以建立 Amazon VPC 介面端點和設定資料平面的私有託管區域。 AWS IoT Core

為 AWS IoT Core 登入資料提供者建立 VPC 端點

您可以建立 VPC 端點 AWS IoT Core 憑證提供者，以使用用戶端憑證型身分驗證來連接裝置，並以 AWS Signature 第 4 版格式取得臨時 AWS 憑證。若要開始使用 AWS IoT Core 登入資料提供者的 VPC 端點，請執行 create-vpc-endpoint CLI 命令來建立介面 VPC 端點，然後選取 AWS IoT Core 登入資料提供者做為 AWS 服務。為了確保您選擇特定 中存在 AWS IoT Core 的可用區域 AWS 區域，請先執行 describe-vpc-endpoint-services 命令。例如，在 us-east-1 中，此命令將如下所示：

aws ec2 describe-vpc-endpoint-services --service-name com.amazonaws.us-east-1.iot.credentials

若要將 HTTP 用戶端連線至 VPC 端點介面：

請參閱以下詳細說明，以建立 Amazon VPC 介面端點並設定登入資料提供者的私有託管區域。 AWS IoT Core

建立 Amazon VPC 介面端點

您可以建立介面 VPC 端點，以連線至由 提供支援 AWS 的服務 AWS PrivateLink。使用下列程序建立連線至 AWS IoT Core 資料平面或 AWS IoT Core 憑證提供者的介面 VPC 端點。如需詳細資訊，請參閱使用介面 VPC 端點存取 AWS 服務。

使用 VPC Endpoints 主控台建立介面 VPC 端點

建立 AWS PrivateLink 端點之後，您會在端點的詳細資訊索引標籤中看到 DNS 名稱清單。您可以使用您在本節中建立的其中一個 DNS 名稱來設定私有託管區域。

設定私有託管區域

您可以使用您在上一節中建立的其中一個 DNS 名稱來設定私有託管區域。

對於 AWS IoT Core 資料平面

DNS 名稱必須是您的網域組態名稱或IoT:Data-ATS端點。DNS 名稱範例可以是：xxx-ats.data.iot.region.amazonaws.com。

對於 AWS IoT Core 登入資料提供者

DNS 名稱必須是您的iot:CredentialProvider端點。DNS 名稱範例可以是：xxxx.credentials.iot.region.amazonaws.com。

建立私有託管區域

使用 Route 53 主控台建立私有託管區域

如需詳細資訊，請參閱建立私有託管區域。

建立記錄

在建立了私有託管區域之後，您可以建立記錄，告訴 DNS 您想要流量路由至該網域的方式。

建立記錄

透過 VPC AWS IoT Core 端點控制對 的存取

您可以使用 VPC 條件內容索引鍵來限制裝置存取 AWS IoT Core ，使其只能透過 VPC 端點被允許。 AWS IoT Core 支援下列 VPC 相關內容索引鍵：

例如，以下政策授予許可，以 AWS IoT Core 使用符合物件名稱的用戶端 ID 連線至 ，並發佈至物件名稱字首的任何主題，條件是連接至具有特定 VPC 端點 ID 的 VPC 端點的裝置。此政策會拒絕與公有 IoT 資料端點的連線嘗試。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:us-east-1:123456789012:client/${iot:Connection.Thing.ThingName}"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpce": "vpce-1a2b3c4d"
                }
            }
            
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:us-east-1:123456789012:topic/${iot:Connection.Thing.ThingName}/*"
            ]
        }
    ]
}

限制

VPC 端點目前僅支援AWS IoT Core 資料端點和AWS IoT Core 登入資料提供者端點。聯邦資訊處理標準 (FIPS) 端點不支援 VPC 端點。

IoT 資料 VPC 端點的限制

本節涵蓋 IoT 資料 VPC 端點的限制。

登入資料提供者端點的限制

本節涵蓋登入資料提供者 VPC 端點的限制。

使用 擴展 VPC 端點 AWS IoT Core

AWS IoT Core 介面 VPC 端點透過單一介面端點限制為 100，000 個連線裝置。如果您的使用案例要求更多並行連線到代理程式，則我們建議使用多個 VPC 端點，並跨您的介面端點手動路由裝置。建立私有 DNS 記錄以將流量路由到 VPC 端點時，請確保建立的加權記錄數量與 VPC 端點數量一樣多，以將流量分配到多個端點。

搭配使用自訂網域與 VPC 端點

如果您想要搭配 VPC 端點使用自訂網域，您必須在私有託管區域中建立自訂網域名稱記錄，並在 Route53 中建立路由記錄。如需詳細資訊，請參閱建立私有託管區域。

的 VPC 端點可用性 AWS IoT Core

AWS IoT Core 介面 VPC 端點在所有AWS IoT Core 支援的區域中皆可使用。中國區域和 不支援憑證提供者的 AWS IoT Core AWS IoT Core 介面 VPC 端點 AWS GovCloud (US) Regions。