Autenticación y autorización de dispositivos en AWS IoT Greengrass

Los dispositivos en entornos de AWS IoT Greengrass utilizan certificados X.509 para la autenticación y políticas de AWS IoT para la autorización. Los certificados y las políticas permiten que los dispositivos se conecten de forma segura entre sí, con AWS IoT Core y AWS IoT Greengrass.

Los certificados X.509 son certificados digitales que utilizan el estándar de infraestructura de clave pública X.509 para asociar una clave pública a una identidad contenida en un certificado. Una entidad de confianza conocida como entidad de certificación (CA) emite los certificados X.509. La CA administra uno o varios certificados especiales llamados certificados de CA, que utiliza para generar certificados X.509. Solo la entidad de certificación tiene acceso a los certificados de entidad de certificación.

Las políticas de AWS IoT definen el conjunto de operaciones permitidas para los dispositivos de AWS IoT. Específicamente, permiten y deniegan el acceso a operaciones de plano de datos de AWS IoT Core y AWS IoT Greengrass, como la publicación de mensajes MQTT y la recuperación de sombras de dispositivos.

Todos los dispositivos requieren una entrada en el registro de AWS IoT Core y un certificado X.509 activado con una política de AWS IoT asociada. Los dispositivos se dividen en dos categorías:

Certificados X.509

La comunicación entre dispositivos principales y de cliente, y entre dispositivos y AWS IoT Core o AWS IoT Greengrass debe autenticarse. Esta autenticación mutua se basa en certificados de dispositivo X.509 registrados y claves criptográficas.

En un entorno de AWS IoT Greengrass, los dispositivos utilizan certificados con claves públicas y privadas para las siguientes conexiones de Transport Layer Security (TLS):

El dispositivo principal de AWS IoT Greengrass almacena los certificados en dos ubicaciones:

Para obtener más información, consulte AWS IoT Greengrass principios básicos de seguridad.

Certificados de entidad de certificación (CA)

Los dispositivos de núcleo y los dispositivos cliente descargan un certificado de entidad de certificación raíz utilizado para la autenticación con los servicios de AWS IoT Core y AWS IoT Greengrass. Le recomendamos que utilice un certificado de entidad de certificación raíz de Amazon Trust Services (ATS), como Amazon Root CA 1. Para obtener más información, consulte Certificados de CA para autenticación de servidor en la Guía del desarrollador de AWS IoT Core.

Los dispositivos cliente también descargan el certificado de entidad de certificación del grupo de Greengrass. Esto se utiliza para validar el certificado del servidor MQTT en el núcleo de Greengrass durante la autenticación mutua. Para obtener más información, consulte Flujo de trabajo de conexión de dispositivos. El vencimiento predeterminado del certificado del servidor MQTT es de siete días.

Rotación de certificados en el servidor MQTT local

Los dispositivos cliente utilizan el certificado de servidor MQTT local para la autenticación mutua con el dispositivo del núcleo de Greengrass. De forma predeterminada, este certificado caduca en siete días. Este período limitado se basa en las prácticas recomendadas de seguridad. El certificado del servidor MQTT está firmado por el certificado de entidad de certificación del grupo, que se almacena en la nube.

Para que se produzca rotación de certificados, su dispositivo principal de Greengrass debe estar en línea y ser capaz de acceder directamente al servicio de AWS IoT Greengrass de forma periódica. Cuando vence el certificado, el dispositivo principal de Greengrass intenta conectarse al servicio de AWS IoT Greengrass para obtener un nuevo certificado. Si la conexión se realiza correctamente, el dispositivo central descarga un nuevo certificado de servidor de MQTT y reinicia el servicio de MQTT local. En este momento, se desconectan todos los dispositivos cliente que están conectados al núcleo. Si el núcleo del dispositivo está sin conexión en el momento en que vence el certificado, no recibe el certificado de sustitución. Cualquier nuevo intento de conectarse al dispositivo central se rechazará. Las conexiones existentes no se ven afectadas. Los dispositivos cliente no pueden conectarse al dispositivo principal hasta que la conexión al servicio de AWS IoT Greengrass se restaura y se puede descargar un nuevo certificado del servidor de MQTT.

Puede configurar el vencimiento en cualquier valor comprendido entre 7 y 30 días, en función de sus necesidades. Una rotación más frecuente requiere conexiones a la nube más frecuentes. Una rotación menos frecuente puede suponer un riesgo para la seguridad. Si desea definir el vencimiento del certificado en un valor superior a 30 días, póngase en contacto con AWS Support.

En la consola de AWS IoT, puede administrar el certificado en la página Configuración del grupo. En la AWS IoT Greengrass API, puedes usar la UpdateGroupCertificateConfigurationacción.

Cuando el certificado de servidor de MQTT vence, se produce un error en cualquier intento de validar el certificado. Los dispositivos de cliente debe poder detectar el error y terminar la conexión.

Políticas de AWS IoT para operaciones de plano de datos

Utilice las políticas de AWS IoT para autorizar el acceso al plano de datos de AWS IoT Core y AWS IoT Greengrass. El plano de datos de AWS IoT Core consta de operaciones para dispositivos, usuarios y aplicaciones, como conectarse a AWS IoT Core y suscribirse a temas. El plano de datos de AWS IoT Greengrass consta de operaciones para dispositivos de Greengrass, como la recuperación de implementaciones y la actualización de la información de conectividad.

Una política de AWS IoT es un documento JSON que es similar a una política de IAM. Contiene una o varias instrucciones de política que especifican las siguientes propiedades:

Las políticas de AWS IoT admiten * como caracteres comodín y tratan los caracteres comodín MQTT (+ y #) como cadenas literales. Para obtener más información sobre el comodín *, consulte Uso del comodín en los ARN de los recursos en la Guía del usuario de AWS Identity and Access Management.

Para obtener más información, consulte Políticas de AWS IoT y Acciones de política de AWS IoT en la Guía del desarrollador de AWS IoT Core.

Acciones de política de AWS IoT Greengrass

Política mínima de AWS IoT para el dispositivo central de AWS IoT Greengrass

La siguiente política de ejemplo incluye un conjunto mínimo de acciones necesario para respaldar la funcionalidad básica de Greengrass para su dispositivo del núcleo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

En la consola de AWS IoT, puede ver y editar la política que está asociada su certificado principal.