使用 控制對 Kinesis Video Streams 資源的存取 AWS IoT

下列範例命令會建立物件類型 kvs_example_camera：

aws --profile default iot create-thing-type --thing-type-name kvs_example_camera > iot-thing-type.json

此範例命令會建立kvs_example_camera物件類型的kvs_example_camera_stream物件：

aws --profile default  iot create-thing --thing-name kvs_example_camera_stream --thing-type-name kvs_example_camera > iot-thing.json

建立 IAM 角色。

下列範例命令會建立名為 IAM的角色KVSCameraCertificateBasedIAMRole：

aws --profile default iam create-role --role-name KVSCameraCertificateBasedIAMRole --assume-role-policy-document 'file://iam-policy-document.json' > iam-role.json

您可以JSON針對 使用下列信任政策iam-policy-document.json：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "credentials.iot.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

接下來，將許可政策連接至您先前建立IAM的角色。此許可政策允許 AWS 資源的選擇性存取控制 （支援的操作子集）。在這種情況下， AWS 資源是您希望相機傳送資料的影片串流。換言之，一旦所有設定步驟完成，此相機將就只能將資料傳送至此視訊串流。

aws --profile default iam put-role-policy --role-name KVSCameraCertificateBasedIAMRole --policy-name KVSCameraIAMPolicy --policy-document 'file://iam-permission-document.json' 

您可以JSON針對 使用下列IAM政策iam-permission-document.json：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia",
                "kinesisvideo:TagStream",
                "kinesisvideo:GetDataEndpoint"
            ],
            "Resource": "arn:aws:kinesisvideo:*:*:stream/${credentials-iot:ThingName}/*"
        }
    ]
}

請注意，此政策僅在預留位置 指定的影片串流 （AWS 資源） 上授權指定的動作(${credentials-iot:ThingName})。當憑證提供者在請求中傳送影片串流名稱ThingName時，此 AWS IoT 預留位置會接受 AWS IoT 物件屬性的值。

接下來，為您的角色建立IAM角色別名。角色別名是指向IAM角色的替代資料模型。 AWS IoT 憑證提供者請求必須包含角色別名，以指出要擔任哪個IAM角色，才能從 取得臨時憑證STS。

以下範例命令會建立名為 KvsCameraIoTRoleAlias,的角色別名。

aws --profile default iot create-role-alias --role-alias KvsCameraIoTRoleAlias --role-arn $(jq --raw-output '.Role.Arn' iam-role.json) --credential-duration-seconds 3600 > iot-role-alias.json

現在，您可以建立 政策， AWS IoT 讓 使用角色別名來擔任具有憑證的角色 （連接後）。

下列範例命令會建立 AWS IoT 名為 的政策KvsCameraIoTPolicy。

aws --profile default iot create-policy --policy-name KvsCameraIoTPolicy --policy-document 'file://iot-policy-document.json'

您可以使用下列命令來建立iot-policy-document.json文件 JSON：

cat > iot-policy-document.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:AssumeRoleWithCertificate"
            ],
            "Resource": "$(jq --raw-output '.roleAliasArn' iot-role-alias.json)"
        }
    ]
}
EOF

建立憑證，您必須將先前建立的政策附加到 AWS IoT 其中。

aws --profile default iot create-keys-and-certificate --set-as-active --certificate-pem-outfile certificate.pem --public-key-outfile public.pem.key --private-key-outfile private.pem.key > certificate

將 AWS IoT （KvsCameraIoTPolicy先前建立） 的政策連接至此憑證。

aws --profile default iot attach-policy --policy-name KvsCameraIoTPolicy --target $(jq --raw-output '.certificateArn' certificate)

將 AWS IoT 物件 （kvs_example_camera_stream） 連接至您剛建立的憑證：

aws --profile default iot attach-thing-principal --thing-name kvs_example_camera_stream --principal $(jq --raw-output '.certificateArn' certificate)

若要透過 AWS IoT 憑證提供者授權請求，您需要 AWS IoT 憑證端點，這是您 AWS 帳戶 ID 獨有的。您可以使用下列命令來取得 AWS IoT 憑證端點。

aws --profile default iot describe-endpoint --endpoint-type iot:CredentialProvider --output text > iot-credential-provider.txt

除了先前建立的 X.509 憑證之外，您還必須擁有 CA 憑證，才能透過 建立對後端服務的信任TLS。您可以使用下列命令來取得 CA 憑證：

curl --silent 'https://www.amazontrust.com/repository/SFSRootCAG2.pem' --output cacert.pem

首先，建立您要用來測試此組態的 Kinesis 視訊串流。

aws kinesisvideo create-stream --data-retention-in-hours 24 --stream-name kvs_example_camera_stream

接下來，呼叫 AWS IoT 憑證提供者以取得暫時憑證：

curl --silent -H "x-amzn-iot-thingname:kvs_example_camera_stream" --cert certificate.pem --key private.pem.key https://IOT_GET_CREDENTIAL_ENDPOINT/role-aliases/KvsCameraIoTRoleAlias/credentials --cacert ./cacert.pem > token.json

IOT_GET_CREDENTIAL_ENDPOINT=`cat iot-credential-provider.txt`

輸出JSON包含 accessKey、 secretKey和 sessionToken，您可以使用它來存取 Kinesis Video Streams。

在測試中，您可以使用這些憑證來叫用範例影片串流DescribeStreamAPI的 Kinesis kvs_example_camera_stream Video Streams。

AWS_ACCESS_KEY_ID=$(jq --raw-output '.credentials.accessKeyId' token.json) AWS_SECRET_ACCESS_KEY=$(jq --raw-output '.credentials.secretAccessKey' token.json) AWS_SESSION_TOKEN=$(jq --raw-output '.credentials.sessionToken' token.json) aws kinesisvideo describe-stream --stream-name kvs_example_camera_stream

將先前步驟中產生的 X.509 憑證、私有金鑰和 CA 憑證複製到相機的檔案系統。指定存放這些檔案的路徑、角色別名名稱，以及執行gst-launch-1.0命令或範例應用程式的 AWS IoT 憑證端點。

下列範例命令使用 AWS IoT 憑證授權將影片傳送至 Kinesis Video Streams：

gst-launch-1.0 rtspsrc location=rtsp://YourCameraRtspUrl short-header=TRUE ! rtph264depay ! video/x-h264,format=avc,alignment=au ! h264parse ! kvssink stream-name="kvs_example_camera_stream" aws-region="YourAWSRegion" iot-certificate="iot-certificate,endpoint=credential-account-specific-prefix.credentials.iot.aws-region.amazonaws.com,cert-path=/path/to/certificate.pem,key-path=/path/to/private.pem.key,ca-path=/path/to/cacert.pem,role-aliases=KvsCameraIoTRoleAlias"