Konfiguration von TLS-Einstellungen in Domänenkonfigurationen

AWS IoT Core bietet vordefinierte Sicherheitsrichtlinien, mit denen Sie Ihre Transport Layer Security (TLS) -Einstellungen für TLS 1.2 und TLS 1.3 in Domänenkonfigurationen anpassen können. Eine Sicherheitsrichtlinie ist eine Kombination aus TLS-Protokollen und ihren Verschlüsselungen, die die unterstützten Protokolle und Verschlüsselungen bei TLS-Verhandlungen zwischen einem Client und einem Server festlegen. Mit den unterstützten Sicherheitsrichtlinien können Sie die TLS-Einstellungen Ihrer Geräte flexibler verwalten, beim Anschließen neuer Geräte die meisten up-to-date Sicherheitsmaßnahmen anwenden und konsistente TLS-Konfigurationen für vorhandene Geräte beibehalten.

Die folgende Tabelle beschreibt die Sicherheitsrichtlinien, ihre TLS-Versionen sowie die unterstützten Regionen:

Name der Sicherheitsrichtlinie	Unterstützt AWS-Regionen
TSecurityIo-Richtlinie_ _1_3_2022_10 TLS13	Alle AWS-Regionen
TSecurityIo-Richtlinie_ _1_2_2022_10 TLS13	Alle AWS-Regionen
TSecurityIo-Richtlinie_ _1_2_2022_10 TLS12	Alle AWS-Regionen
TSecurityIo-Richtlinie_ _1_0_2016_01 TLS12	AP-Ost-1, ap-northeast-2, ap-south-1, ap-southeast-2, ca-central-1, CN-Nord-1, CN-Nordwest-1, EU-Nord-1, EU-West-2, EU-West-3, me-south-1, sa-east-1, us-east-2, US-West-1
TSecurityTLS12Io-Richtlinie_ _1_0_2015_01	ap-northeast-1, ap-southeast-1, eu-central-1, eu-west-1, us-east-1, us-west-2

Die Namen der Sicherheitsrichtlinien AWS IoT Core enthalten Versionsinformationen, die auf dem Jahr und Monat basieren, in dem sie veröffentlicht wurden. Wenn Sie eine neue Domänenkonfiguration erstellen, lautet die Standardeinstellung für die Sicherheitsrichtlinie IoTSecurityPolicy_TLS13_1_2_2022_10. Eine vollständige Tabelle der Sicherheitsrichtlinien mit Einzelheiten zu Protokollen, TCP-Ports und Chiffren finden Sie unter Sicherheitsrichtlinien. AWS IoT Core unterstützt keine benutzerdefinierten Sicherheitsrichtlinien. Weitere Informationen finden Sie unter Transportsicherheit in AWS IoT Core.

Um TLS-Einstellungen in Domänenkonfigurationen zu konfigurieren, können Sie die AWS IoT Konsole oder die verwenden AWS CLI.

Konfigurieren von TLS-Einstellungen in den Domänenkonfigurationen (Konsole)

Um TLS-Einstellungen mit der AWS IoT Konsole zu konfigurieren

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die AWS IoT Konsole.

2. Gehen Sie beim Erstellen einer neuen Domänenkonfiguration folgendermaßen vor, um die TLS-Einstellungen zu konfigurieren.

   1. Wählen Sie im linken Navigationsbereich Einstellungen und dann im Abschnitt Domänenkonfigurationen die Option Domänenkonfiguration erstellen.

   2. Wählen Sie auf der Seite Domänenkonfiguration erstellen im Abschnitt Benutzerdefinierte Domäneneinstellungen – optional unter Sicherheitsrichtlinie auswählen eine Sicherheitsrichtlinie.

   3. Folgen Sie dem Widget, und führen Sie die restlichen Schritte durch. Wählen Sie Domänenkonfiguration erstellen.

3. Gehen Sie wie folgt vor, um die TLS-Einstellungen in einer vorhandenen Domänenkonfiguration zu aktualisieren.

   1. Wählen Sie im linken Navigationsbereich Einstellungen und dann unter Domänenkonfigurationen eine Domänenkonfiguration.

   2. Wählen Sie auf der Seite mit den Details zur Domänenkonfiguration die Option Bearbeiten. Wählen Sie dann im Abschnitt Benutzerdefinierte Domäneneinstellungen – optional unter Sicherheitsrichtlinie auswählen eine Sicherheitsrichtlinie.

   3. Wählen Sie Konfiguration aktualisieren.

Weitere Informationen finden Sie unter Eine Domänenkonfiguration erstellen und Domänenkonfigurationen verwalten.

Konfigurieren von TLS-Einstellungen in Domänenkonfigurationen (CLI)

Sie können die CLI-Befehle create-domain-configuration und update-domain-configuration verwenden, um Ihre TLS-Einstellungen in Domänenkonfigurationen zu konfigurieren.

1. So legen Sie die TLS-Einstellungen mit dem create-domain-configuration-CLI-Befehl fest:

   aws iot create-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   Die Ausgabe dieses Befehls kann folgendermaßen aussehen:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

   Wenn Sie eine neue Domänenkonfiguration erstellen, ohne die Sicherheitsrichtlinie anzugeben, lautet der Standardwert: IoTSecurityPolicy_TLS13_1_2_2022_10.

2. So beschreiben Sie die TLS-Einstellungen mit dem describe-domain-configuration-CLI-Befehl:

   aws iot describe-domain-configuration \
       --domain-configuration-name domainConfigurationName

   Dieser Befehl kann die Domänenkonfigurationsdetails, die die TLS-Einstellungen enthalten, folgendermaßen zurückgeben:

   {
    "tlsConfig": {
    "securityPolicy": "IoTSecurityPolicy_TLS13_1_2_2022_10"
    }, 
    "domainConfigurationStatus": "ENABLED", 
    "serviceType": "DATA", 
    "domainType": "AWS_MANAGED", 
    "domainName": "d1234567890abcdefghij-ats.iot.us-west-2.amazonaws.com",
    "serverCertificates": [], 
    "lastStatusChangeDate": 1678750928.997, 
    "domainConfigurationName": "test", 
    "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

3. So aktualisieren Sie die TLS-Einstellungen mit dem update-domain-configuration-CLI-Befehl:

   aws iot update-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   Die Ausgabe dieses Befehls kann folgendermaßen aussehen:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

4. Führen Sie den update-domain-configuration-CLI-Befehl aus, um die TLS-Einstellungen für Ihren ATS-Endpunkt zu aktualisieren. Der Domänenkonfigurationsname für Ihren ATS-Endpunkt lautet iot:Data-ATS.

   aws iot update-domain-configuration \
       --domain-configuration-name "iot:Data-ATS" \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   Die Ausgabe dieses Befehls kann folgendermaßen aussehen:

   {
   "domainConfigurationName": "iot:Data-ATS",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/iot:Data-ATS"
   }

Weitere Informationen finden Sie unter CreateDomainConfiguration und UpdateDomainConfiguration in der AWS -API-Referenz.