使用 X.509 用戶端憑證進行自訂身分驗證

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

將裝置連線至 時 AWS IoT Core，您有多個可用的身分驗證類型。您可以使用 X.509 用戶端憑證來驗證用戶端和裝置連線，或定義自訂授權方來管理自己的用戶端身分驗證和授權邏輯。本主題說明如何搭配 X.509 用戶端憑證使用自訂身分驗證。

如果您已經使用 X.509 憑證對裝置進行身分驗證，並想要執行其他驗證和自訂授權，則使用自訂身分驗證搭配 X.509 憑證可能會有所幫助。例如，如果您在 X.509 用戶端憑證中存放裝置的資料，例如其序號，在 AWS IoT Core 驗證 X.509 用戶端憑證之後，您可以使用自訂授權方，根據憑證的 CommonName 欄位存放的資訊來識別特定裝置。將裝置連接到 時，搭配 X.509 憑證使用自訂身分驗證可增強您的裝置安全管理， AWS IoT Core 並提供管理身分驗證和授權邏輯的更多彈性。 AWS IoT Core 支援搭配 X.509 憑證的自訂身分驗證，以及搭配 MQTT 通訊協定和 HTTPS 通訊協定使用的自訂授權方身分驗證類型。如需裝置端點支援的身分驗證類型和應用程式通訊協定 AWS IoT Core 的詳細資訊，請參閱裝置通訊協定。

步驟 1：向 註冊您的 X.509 用戶端憑證 AWS IoT Core

如果您尚未這樣做，請註冊並啟用您的 X.509 用戶端憑證。 AWS IoT Core否則，跳至下一步。

若要使用 註冊和啟用您的用戶端憑證 AWS IoT Core，請遵循下列步驟：

步驟 2：建立 Lambda 函數

AWS IoT Core 使用自訂授權方來實作自訂身分驗證和授權方案。自訂授權方與 Lambda 函數相關聯，該函數會判斷裝置是否經過身分驗證，以及允許裝置執行哪些操作。當裝置連線至 時 AWS IoT Core， 會 AWS IoT Core 擷取授權方詳細資訊，包括授權方名稱和相關聯的 Lambda 函數，並叫用 Lambda 函數。Lambda 函數會收到事件，其中包含具有裝置 X.509 用戶端憑證資料的 JSON 物件。您的 Lambda 函數使用此事件 JSON 物件來評估身分驗證請求、決定要採取的動作，以及傳送回應。

Lambda 函數事件範例

下列範例 JSON 物件包含所有可以包含的欄位。實際 JSON 物件只會包含與特定連線請求相關的欄位。

{
	"token": "aToken",
	"signatureVerified": true,
	"protocols": [
		"tls",
		"mqtt"
	],
	"protocolData": {
		"tls": {
			"serverName": "serverName",
			"x509CertificatePem": "x509CertificatePem",
			"principalId": "principalId"
		},
		"mqtt": {
			"clientId": "myClientId",
                     "username": "myUserName",
                     "password": "myPassword"
		}
	},
	"connectionMetadata": {
		"id": "UUID"
	}
}

Lambda 函數回應範例

Lambda 函數應使用事件 JSON 物件的資訊來驗證傳入連線，並決定連線中允許的動作。

下列 JSON 物件包含 Lambda 函數可以傳送的範例回應。

{
	"isAuthenticated": true,
	"principalId": "xxxxxxxx",
	"disconnectAfterInSeconds": 86400,
	"refreshAfterInSeconds": 300,
	"policyDocuments": [
		{
			"Version": "2012-10-17",
			"Statement": [
				{
					"Effect": "Allow",
					"Action": "iot:Publish",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/customauthtesting"
				}
			]
		}
	]
}

在此範例中，此函數應傳送包含下列值的回應。

Lambda 函數範例

以下是 Node.js Lambda 函數的範例。函數會檢查用戶端的 X.509 憑證，並擷取相關資訊，例如序號、指紋和主體名稱。如果擷取的資訊符合預期值，則會授予用戶端連線的存取權。此機制可確保只有具有有效憑證的授權用戶端才能建立連線。

const crypto = require('crypto');

exports.handler = async (event) => {
    
    // Extract the certificate PEM from the event
    const certPem = event.protocolData.tls.x509CertificatePem;
    
    // Parse the certificate using Node's crypto module
    const cert = new crypto.X509Certificate(certPem);
    
    var effect = "Deny";
    // Allow permissions only for a particular certificate serial, fingerprint, and subject
    if (cert.serialNumber === "7F8D2E4B9C1A5036DE8F7C4B2A91E5D80463BC9A1257" // This is a random serial
       && cert.fingerprint === "F2:9A:C4:1D:B5:E7:08:3F:6B:D0:4E:92:A7:C1:5B:8D:16:0F:E3:7A" // This is a random fingerprint
       && cert.subject === "allow.example.com") {
      effect = "Allow";
    }
    
    return generateAuthResponse(event.protocolData.tls.principalId, effect);
};


// Helper function to generate the authorization response.
function generateAuthResponse(principalId, effect) {
    const authResponse = {
        isAuthenticated: true,
        principalId,
        disconnectAfterInSeconds: 3600,
        refreshAfterInSeconds: 300,
        policyDocuments: [
          {
            Version: "2012-10-17",
            Statement: [
              {
                Action: ["iot:Connect"],
                Effect: effect,
                Resource: [
                  "arn:aws:iot:us-east-1:123456789012:client/myClientName"
                ]
              },
              {
                Action: ["iot:Publish"],
                Effect: effect,
                Resource: [
                  "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
                ]
              },
              {
                Action: ["iot:Subscribe"],
                Effect: effect,
                Resource: [
                   "arn:aws:iot:us-east-1:123456789012:topicfilter/telemetry/myClientName"
                ]
              },
              {
                Action: ["iot:Receive"],
                Effect: effect,
                Resource: [
                   "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
                ]
              }
            ]
          }
        ]
      };

  return authResponse;
}

上述 Lambda 函數在收到具有預期序列、指紋和主體的憑證時，會傳回下列 JSON。的值x509CertificatePem將是 TLS 交握中提供的用戶端憑證。如需詳細資訊，請參閱定義 Lambda 函數。

{
	"isAuthenticated": true,
	"principalId": "principalId in the event JSON object",
	"policyDocuments": [
		{
			"Version": "2012-10-17",
			"Statement": [
				{
					"Action": "iot:Connect",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:client/myClientName"
				},
				{
					"Action": "iot:Publish",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
				},
				{
					"Action": "iot:Subscribe",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topicfilter/telemetry/myClientName"
				},
				{
					"Action": "iot:Receive",
					"Effect": "Allow",
					"Resource": "arn:aws:iot:us-east-1:123456789012:topic/telemetry/myClientName"
				}
			]
		}
	],
	"disconnectAfterInSeconds": 3600,
	"refreshAfterInSeconds": 300
}

步驟 3：建立自訂授權方

定義 Lambda 函數之後，請建立自訂授權方來管理您自己的用戶端身分驗證和授權邏輯。您可以遵循步驟 3：建立客戶授權方資源及其授權中的詳細說明。如需詳細資訊，請參閱建立授權方。

在建立自訂授權方的過程中，您必須授予 AWS IoT 許可，以在 Lambda 函數建立後叫用該函數。如需詳細說明，請參閱授權 AWS IoT 叫用 Lambda 函數。

步驟 4：在網域組態中設定身分驗證類型和應用程式通訊協定

若要使用自訂身分驗證搭配 X.509 用戶端憑證來驗證裝置，您必須在網域組態中設定身分驗證類型和應用程式通訊協定，而且必須傳送 SNI 延伸。的值authenticationType必須是 CUSTOM_AUTH_X509，而 的值applicationProtocol可以是 SECURE_MQTT或 HTTPS。

在網域組態 (CLI) 中設定身分驗證類型和應用程式通訊協定

如果您沒有網域組態，請使用 create-domain-configuration命令來建立一個。的值authenticationType必須是 CUSTOM_AUTH_X509，而 的值applicationProtocol可以是 SECURE_MQTT或 HTTPS。

aws iot create-domain-configuration \
    --domain-configuration-name domainConfigurationName \
    --authentication-type CUSTOM_AUTH_X509 \  
    --application-protocol SECURE_MQTT \ 
    --authorizer-config '{
        "defaultAuthorizerName": my-custom-authorizer
    }'

如果您已有網域組態，applicationProtocol請視需要使用update-domain-configuration命令更新authenticationType和 。請注意，您無法變更預設端點 () 上的身分驗證類型或通訊協定iot:Data-ATS。

aws iot update-domain-configuration \
    --domain-configuration-name domainConfigurationName \
    --authentication-type CUSTOM_AUTH_X509 \  
    --application-protocol SECURE_MQTT \
    --authorizer-config '{
        "defaultAuthorizerName": my-custom-authorizer
    }'

如需詳細資訊，請參閱 AWS IoT API 參考中的 CreateDomainConfiguration 和 UpdateDomainConfiguration。如需網域組態的詳細資訊，請參閱網域組態。