本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 X.509 用戶端憑證進行自訂身分驗證

將裝置連線至 時 AWS IoT Core，您有多種身分驗證類型可供使用。您可以使用 X.509 用戶端憑證來驗證用戶端和裝置連線，或定義自訂授權方來管理自己的用戶端身分驗證和授權邏輯。本主題說明如何搭配 X.509 用戶端憑證使用自訂身分驗證。

如果您已經使用 X.509 憑證對裝置進行身分驗證，並想要執行其他驗證和自訂授權，則使用自訂身分驗證搭配 X.509 憑證可能會有所幫助。例如，如果您在 X.509 用戶端憑證中存放裝置的資料，例如其序號，則在 AWS IoT Core 驗證 X.509 用戶端憑證之後，您可以使用自訂授權方根據憑證 CommonName 欄位中存放的資訊來識別特定裝置。將裝置連線至 時，搭配 X.509 憑證使用自訂身分驗證可增強您的裝置安全管理， AWS IoT Core 並提供管理身分驗證和授權邏輯的更多彈性。 AWS IoT Core 支援使用 X.509 憑證和自訂授權方身分驗證類型的 X.509 憑證自訂身分驗證，此類型可同時搭配MQTT通訊協定和HTTPS通訊協定使用。如需有關裝置端點支援的身分驗證類型和應用程式通訊協定 AWS IoT Core 的詳細資訊，請參閱裝置通訊協定 。

步驟 1：向 註冊 X.509 用戶端憑證 AWS IoT Core

如果您尚未這樣做，請向 註冊並啟用 X.509 用戶端憑證 AWS IoT Core。否則，跳至下一步。

若要向 註冊和啟用您的用戶端憑證 AWS IoT Core，請遵循下列步驟：

步驟 2：建立 Lambda 函數

AWS IoT Core 使用自訂授權方實作自訂身分驗證和授權方案。自訂授權方與 Lambda 函數相關聯，該函數會判斷裝置是否經過身分驗證，以及允許裝置執行哪些操作。當裝置連線至 時 AWS IoT Core， 會 AWS IoT Core 擷取授權方詳細資訊，包括授權方名稱和相關聯的 Lambda 函數，並叫用 Lambda 函數。Lambda 函數會收到事件，其中包含具有裝置 X.509 用戶端憑證資料的JSON物件。您的 Lambda 函數使用此事件JSON物件來評估身分驗證請求、決定要採取的動作，以及傳送回應。

Lambda 函數事件範例

下列範例JSON物件包含可以包含的所有可能欄位。實際JSON物件只會包含與特定連線請求相關的欄位。

{
	"token": "aToken",
	"signatureVerified": true,
	"protocols": [
		"tls",
		"mqtt"
	],
	"protocolData": {
		"tls": {
			"serverName": "serverName",
			"x509CertificatePem": "x509CertificatePem",
			"principalId": "principalId"
		},
		"mqtt": {
			"clientId": "myClientId",
                     "username": "myUserName",
                     "password": "myPassword"
		}
	},
	"connectionMetadata": {
		"id": "UUID"
	}
}

Lambda 函數回應範例

Lambda 函數應該使用事件JSON物件的資訊來驗證傳入連線，並決定連線中允許的動作。

下列JSON物件包含 Lambda 函數可以傳送的範例回應。

{
	"isAuthenticated": true,
	"principalId": "xxxxxxxx",
	"disconnectAfterInSeconds": 86400,
	"refreshAfterInSeconds": 300,
	"policyDocuments": [
		{
			"Version": "2012-10-17",
			"Statement": [
				{
					"Effect": "Allow",
					"Action": "iot:Publish",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/customauthtesting"
				}
			]
		}
	]
}

在此範例中，此函數應傳送包含下列值的回應。

Lambda 函數範例

以下是 Node.js Lambda 函數的範例。此函數會檢查用戶端的 X.509 憑證，並擷取相關資訊，例如序號、指紋和主旨名稱。如果擷取的資訊符合預期值，則會授予用戶端連線的存取權。此機制可確保只有具有有效憑證的授權用戶端才能建立連線。

const crypto = require('crypto');

exports.handler = async (event) => {
    
    // Extract the certificate PEM from the event
    const certPem = event.protocolData.tls.x509CertificatePem;
    
    // Parse the certificate using Node's crypto module
    const cert = new crypto.X509Certificate(certPem);
    
    var effect = "Deny";
    // Allow permissions only for a particular certificate serial, fingerprint, and subject
    if (cert.serialNumber === "7F8D2E4B9C1A5036DE8F7C4B2A91E5D80463BC9A1257" // This is a random serial
       && cert.fingerprint === "F2:9A:C4:1D:B5:E7:08:3F:6B:D0:4E:92:A7:C1:5B:8D:16:0F:E3:7A" // This is a random fingerprint
       && cert.subject === "allow.example.com") {
      effect = "Allow";
    }
    
    return generateAuthResponse(event.protocolData.tls.principalId, effect);
};


// Helper function to generate the authorization response.
function generateAuthResponse(principalId, effect) {
    const authResponse = {
        isAuthenticated: true,
        principalId,
        disconnectAfterInSeconds: 3600,
        refreshAfterInSeconds: 300,
        policyDocuments: [
          {
            Version: "2012-10-17",
            Statement: [
              {
                Action: ["iot:Connect"],
                Effect: effect,
                Resource: [
                  "arn:aws:iot:us-east-1:123456789012:client/myClientName"
                ]
              },
              {
                Action: ["iot:Publish"],
                Effect: effect,
                Resource: [
                  "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
                ]
              },
              {
                Action: ["iot:Subscribe"],
                Effect: effect,
                Resource: [
                   "arn:aws:iot:us-east-1:123456789012:topicfilter/telemetry/myClientName"
                ]
              },
              {
                Action: ["iot:Receive"],
                Effect: effect,
                Resource: [
                   "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
                ]
              }
            ]
          }
        ]
      };

  return authResponse;
}

上述 Lambda 函數會在收到具有預期序列、指紋和主旨的憑證JSON時傳回下列項目。的值x509CertificatePem將是交TLS握中提供的用戶端憑證。如需詳細資訊，請參閱定義 Lambda 函數 。

{
	"isAuthenticated": true,
	"principalId": "principalId in the event JSON object",
	"policyDocuments": [
		{
			"Version": "2012-10-17",
			"Statement": [
				{
					"Action": "iot:Connect",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:client/myClientName"
				},
				{
					"Action": "iot:Publish",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
				},
				{
					"Action": "iot:Subscribe",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topicfilter/telemetry/myClientName"
				},
				{
					"Action": "iot:Receive",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
				}
			]
		}
	],
	"disconnectAfterInSeconds": 3600,
	"refreshAfterInSeconds": 300
}

步驟 3：建立自訂授權方

定義 Lambda 函數 之後，請建立自訂授權方，以管理您自己的用戶端身分驗證和授權邏輯。您可以遵循步驟 3 中的詳細說明：建立客戶授權方資源及其授權 。如需詳細資訊，請參閱建立授權方。

在建立自訂授權方的過程中，您必須授予 AWS IoT 許可，以在 Lambda 函數建立後叫用該函數。如需詳細說明，請參閱授權 AWS IoT 叫用 Lambda 函數 。

步驟 4：在網域組態中設定身分驗證類型和應用程式通訊協定

若要使用自訂身分驗證搭配 X.509 用戶端憑證來驗證裝置，您必須在網域組態中設定身分驗證類型和應用程式通訊協定，而且必須傳送SNI延伸。的值authenticationType必須為 CUSTOM_AUTH_X509，而 的值applicationProtocol可以是 SECURE_MQTT或 HTTPS。

在網域組態中設定身分驗證類型和應用程式通訊協定 （CLI）

如果您沒有網域組態，請使用 create-domain-configuration命令來建立網域組態。的值authenticationType必須為 CUSTOM_AUTH_X509，而 的值applicationProtocol可以是 SECURE_MQTT或 HTTPS。

aws iot create-domain-configuration \
    --domain-configuration-name domainConfigurationName \
    --authentication-type CUSTOM_AUTH_X509 \  
    --application-protocol SECURE_MQTT \ 
    --authorizer-config '{
        "defaultAuthorizerName": my-custom-authorizer
    }'

如果您已有網域組態，applicationProtocol請視需要使用update-domain-configuration命令更新authenticationType和 。請注意，您無法變更預設端點 （） 上的身分驗證類型或通訊協定iot:Data-ATS。

aws iot update-domain-configuration \
    --domain-configuration-name domainConfigurationName \
    --authentication-type CUSTOM_AUTH_X509 \  
    --application-protocol SECURE_MQTT \
    --authorizer-config '{
        "defaultAuthorizerName": my-custom-authorizer
    }'

如需詳細資訊，請參閱參考 UpdateDomainConfiguration 中的 CreateDomainConfiguration和 。 AWS IoT API 如需網域組態的詳細資訊，請參閱網域組態 。