Utilisation AWS IoT Core avec les points de terminaison VPC de l'interface - AWS IoT Core

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation AWS IoT Core avec les points de terminaison VPC de l'interface

Avec AWS IoT Core, vous pouvez créer des points de terminaison de données IoT au sein de votre cloud privé virtuel (VPC) en utilisant des points de terminaison VPC d'interface. Les points de terminaison VPC d'interface sont alimentés par AWS PrivateLink une AWS technologie que vous pouvez utiliser pour accéder aux services exécutés à l'aide AWS d'adresses IP privées. Pour en savoir plus, consultez Amazon Virtual Private Cloud.

Pour connecter des appareils sur le terrain sur des réseaux distants, tels qu'un réseau d'entreprise, à votre Amazon VPC, reportez-vous aux options répertoriées dans la matrice de connectivité entre le réseau et Amazon VPC.

Création de points de terminaison VPC pour le plan de données AWS IoT Core

Vous pouvez créer un point de terminaison VPC pour l'API du plan de AWS IoT Core données afin de connecter vos appareils à des AWS IoT services et à d'autres AWS services. Pour commencer à utiliser les points de terminaison VPC, créez un point de terminaison VPC d'interface et sélectionnez-le comme service. AWS IoT Core AWS Si vous utilisez la CLI, appelez d'abord describe-vpc-endpoint-servicespour vous assurer que vous choisissez une zone de disponibilité où elle AWS IoT Core est présente dans votre environnement Région AWS. Par exemple, dans us-east-1, cette commande ressemblerait à :

aws ec2 describe-vpc-endpoint-services --service-name com.amazonaws.us-east-1.iot.data
Note

La fonctionnalité VPC permettant de créer automatiquement un enregistrement DNS est désactivée. Pour vous connecter à ces points de terminaison, vous devez créer manuellement un enregistrement DNS privé. Pour plus d'informations sur les enregistrements DNS d'un VPC privé, consultez DNS privé pour les points de terminaison d'interface. Pour plus d'informations sur les limites du AWS IoT Core VPC, consultez. Limites

Pour connecter les clients MQTT aux interfaces du point de terminaison du VPC :

  • Dans votre zone hébergée privée, créez un enregistrement d'alias pour chaque adresse IP d'interface réseau élastique pour le point de terminaison VPC. Si vous disposez de plusieurs adresses IP d'interface réseau pour plusieurs points de terminaison d'un VPC, créez des enregistrements DNS pondérés avec des pondérations égales pour tous les enregistrements pondérés. Ces adresses IP sont disponibles à partir de l'appel d'DescribeNetworkInterfacesAPI lorsqu'elles sont filtrées par l'ID du point de terminaison VPC dans le champ de description.

Consultez les instructions détaillées ci-dessous pour créer un point de terminaison d'interface Amazon VPC et configurer une zone hébergée privée pour le plan de AWS IoT Core données.

Création de points de terminaison d'un VPC pour le fournisseur d'informations d'identification AWS IoT Core

Vous pouvez créer un point de terminaison VPC pour que le fournisseur AWS IoT Core d'informations d'identification connecte les appareils à l'aide de l'authentification basée sur un certificat client et obtienne des informations d' AWS identification temporaires au AWS format Signature Version 4. Pour commencer à utiliser les points de terminaison VPC pour le fournisseur AWS IoT Core d'informations d'identification, exécutez la commande create-vpc-endpointCLI pour créer un point de terminaison VPC d'interface et sélectionnez AWS IoT Core le fournisseur d'informations d'identification comme service. AWS Pour vous assurer que vous choisissez une zone de disponibilité où elle AWS IoT Core est présente dans votre environnement Région AWS, vous devez d'abord exécuter la describe-vpc-endpoint-servicescommande. Par exemple, dans us-east-1, cette commande ressemblerait à :

aws ec2 describe-vpc-endpoint-services --service-name com.amazonaws.us-east-1.iot.credentials
Note

La fonctionnalité VPC permettant de créer automatiquement un enregistrement DNS est désactivée. Pour vous connecter à ces points de terminaison, vous devez créer manuellement un enregistrement DNS privé. Pour plus d'informations sur les enregistrements DNS d'un VPC privé, consultez DNS privé pour les points de terminaison d'interface. Pour plus d'informations sur les limites du AWS IoT Core VPC, consultez. Limites

Pour connecter les clients HTTP aux interfaces du point de terminaison du VPC :

  • Dans votre zone hébergée privée, créez un enregistrement d'alias pour chaque adresse IP d'interface réseau élastique pour le point de terminaison VPC. Si vous disposez de plusieurs adresses IP d'interface réseau pour plusieurs points de terminaison d'un VPC, créez des enregistrements DNS pondérés avec des pondérations égales pour tous les enregistrements pondérés. Ces adresses IP sont disponibles à partir de l'appel d'DescribeNetworkInterfacesAPI lorsqu'elles sont filtrées par l'ID du point de terminaison VPC dans le champ de description.

Consultez les instructions détaillées ci-dessous pour créer un point de terminaison d'interface Amazon VPC et configurer une zone hébergée privée pour le fournisseur AWS IoT Core d'informations d'identification.

Création d'un point de terminaison d'interface Amazon VPC

Vous pouvez créer un point de terminaison VPC d'interface pour vous connecter aux AWS services alimentés par. AWS PrivateLink Utilisez la procédure suivante pour créer un point de terminaison VPC d'interface qui se connecte au plan de AWS IoT Core données ou au fournisseur AWS IoT Core d'informations d'identification. Pour plus d'informations, consultez Accéder à un AWS service à l'aide d'un point de terminaison VPC d'interface.

Note

Les processus de création d'un point de terminaison d'interface Amazon VPC pour le plan de AWS IoT Core données et le fournisseur AWS IoT Core d'informations d'identification sont similaires, mais vous devez apporter des modifications spécifiques au point de terminaison pour que la connexion fonctionne.

Pour créer un point de terminaison d'un VPC d'interface à l'aide du point de terminaison du VPC de la console

  1. Accédez au point de terminaison d'un VPC de la console , sous Virtual private cloud dans le menu de gauche, choisissez point de terminaison puis Créer un point de terminaison .

  2. Dans la page Create Endpoint (Créer un point de terminaison, spécifiez les informations suivantes.

    • Choisissez Service AWS s pour la catégorie de service .

    • Pour Nom du service, effectuez une recherche en saisissant le mot-clé iot. Dans la liste des services iot affichés, choisissez le point de terminaison.

      Si vous créez un point de terminaison VPC pour le plan de AWS IoT Core données, choisissez le point de terminaison de l'API du plan de AWS IoT Core données pour votre région. Le format du nom du point de terminaison est com.amazonaws.region.iot.data.

      Si vous créez un point de terminaison VPC pour le fournisseur AWS IoT Core d'informations d'identification, choisissez le point de terminaison du fournisseur AWS IoT Core d'informations d'identification pour votre région. Le format du nom du point de terminaison est com.amazonaws.region.iot.credentials.

      Note

      Le nom du service pour le plan de AWS IoT Core données dans la région de Chine sera au format suivantcn.com.amazonaws.region.iot.data. La création de points de terminaison VPC pour le fournisseur AWS IoT Core d'informations d'identification n'est pas prise en charge dans la région chinoise.

    • Pour VPC et sous-réseaux, choisissez le VPC dans lequel vous souhaitez créer le point de terminaison, ainsi que les zones de disponibilité (AZ) dans lesquelles vous souhaitez créer le réseau de points de terminaison.

    • Pour Activer le nom DNS, assurez-vous que Activer pour ce point de terminaison n’est pas sélectionné. Ni le plan de AWS IoT Core données ni le fournisseur AWS IoT Core d'identifiants ne prennent encore en charge les noms DNS privés.

    • Pour (Groupe de sécurité), sélectionnez les groupes de sécurité que vous souhaitez associer aux interfaces réseau des points de terminaison.

    • En option, vous pouvez ajouter ou supprimer des balises. Les balises sont des paires nom-valeur que vous utilisez pour associer à votre point de terminaison.

  3. Pour créer votre point de terminaison VPC, choisissez Créer un point de terminaison.

Après avoir créé le AWS PrivateLink point de terminaison, dans l'onglet Détails de votre point de terminaison, vous verrez une liste de noms DNS. Vous pouvez utiliser l'un de ces noms DNS que vous avez créés dans cette section pour configurer votre zone hébergée privée.

Configuration d'une zone hébergée privée

Vous pouvez utiliser l'un de ces noms DNS que vous avez créés dans la section précédente pour configurer votre zone hébergée privée.

Pour le plan AWS IoT Core de données

Le nom DNS doit être le nom de configuration de votre domaine ou votre point de terminaison IoT:Data-ATS. Un exemple de nom DNS peut être : xxx-ats.data.iot.region.amazonaws.com.

Pour le fournisseur AWS IoT Core d'informations d'identification

Le nom DNS doit être votre point de terminaison iot:CredentialProvider. Un exemple de nom DNS peut être : xxxx.credentials.iot.region.amazonaws.com.

Note

Les processus de configuration de la zone hébergée privée pour le plan de AWS IoT Core données et le fournisseur AWS IoT Core d'informations d'identification sont similaires, mais vous devez apporter des modifications spécifiques au point de terminaison pour que la connexion fonctionne.

Créer une zone hébergée privée

Pour créer une zone hébergée privée à l'aide de la console Route 53

  1. Accédez à la console Zones hébergées Route 53 et choisissez Créer une zone hébergée.

  2. Dans la page Créer une zone hébergée, spécifiez les informations suivantes.

    • Pour Nom de domaine, entrez l'adresse du point de terminaison de votre iot:Data-ATS ou de votre point de terminaison iot:CredentialProvider. La commande CLI AWS suivante montre comment obtenir le point de terminaison via un réseau public : aws iot describe-endpoint --endpoint-type iot:Data-ATS, ou aws iot describe-endpoint --endpoint-type iot:CredentialProvider.

      Note

      Si vous utilisez des domaines personnalisés, consultez Utilisation de domaines personnalisés avec des points de terminaison d'un VPC. Les domaines personnalisés ne sont pas pris en charge par le fournisseur d' AWS IoT Core informations d'identification.

    • Pour Type, choisissez Zone hébergée privée.

    • En option, vous pouvez ajouter ou supprimer des balises à associer à votre zone hébergée.

  3. Pour créer votre zone hébergée privée, choisissez Créer une zone hébergée.

Pour plus d’informations, consultez Création d’une zone hébergée privée.

Créer un enregistrement

Après avoir créé une zone hébergée privée, vous pouvez créer un enregistrement indiquant au DNS sur la façon dont vous souhaitez acheminer le trafic vers ce domaine.

Pour créer un enregistrement

  1. Dans la liste des zones hébergées affichée, choisissez la zone hébergée privée que vous avez créée précédemment et sur Créer un enregistrement.

  2. Utilisez la méthode d'assistance pour créer l'enregistrement. Si la console vous présente la méthode de Création rapide, choisissez Passer à l'assistant.

  3. Choisissez Routage simple pour Stratégie de routage, puis sur Suivant.

  4. Dans la page Configurer les enregistrements, choisissez Définir un enregistrement simple.

  5. Dans la page Définir un enregistrement simple :

    • Pour Nom de l'enregistrement, saisissez le point de terminaison iot:Data-ATS ou le point de terminaison iot:CredentialProvider. Cela doit être identique au nom de la zone hébergée privée.

    • Pour Type d'enregistrement, conservez la valeur à A - Routes traffic to an IPv4 address and some AWS resources.

    • Pour Valeur/Route du trafic vers , choisissez Alias vers le point de terminaison d'un VPC. Choisissez ensuite votre Région, puis Point de terminaison que vous avez créé précédemment, comme décrit dans la liste des points de terminaison Création d'un point de terminaison d'interface Amazon VPC affichés.

  6. Choisissez Définir un enregistrement simple pour créer votre enregistrement.

Contrôle de l'accès aux points de AWS IoT Core terminaison via VPC

Vous pouvez restreindre l'accès aux appareils AWS IoT Core pour qu'il soit autorisé uniquement via le point de terminaison VPC en utilisant les clés contextuelles de condition VPC. AWS IoT Core prend en charge les clés de contexte liées au VPC suivantes :

Par exemple, la politique suivante accorde l'autorisation de se connecter à AWS IoT Core l'aide d'un ID client correspondant au nom de l'objet et de publier sur n'importe quelle rubrique préfixée par le nom de l'objet, à condition que l'appareil se connecte à un point de terminaison VPC avec un identifiant de point de terminaison VPC particulier. Cette stratégie refuserait les tentatives de connexion à votre point de terminaison de données IoT public.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:Connect" ], "Resource": [ "arn:aws:iot:us-east-1:123456789012:client/${iot:Connection.Thing.ThingName}" ], "Condition": { "StringEquals": { "aws:SourceVpce": "vpce-1a2b3c4d" } } }, { "Effect": "Allow", "Action": [ "iot:Publish" ], "Resource": [ "arn:aws:iot:us-east-1:123456789012:topic/${iot:Connection.Thing.ThingName}/*" ] } ] }

Limites

Les points de terminaison d'un VPC sont actuellement pris en charge uniquement pour les AWS IoT Core points de terminaison de données et AWS IoT Core les points de terminaison du fournisseur d'informations d'identification.

Limites des points de terminaison d'un VPC de données IoT

Cette section couvre les limitations des points de terminaison d'un VPC de données IoT.

  • Les périodes de maintien en vie MQTT sont limitées à 230 secondes. Les périodes de maintien en vie plus longues seront automatiquement réduites à 230 secondes.

  • Chaque point de terminaison d'un VPC prend en charge un total de 100 000 appareils connectés simultanément. Si vous avez besoin de plus de connexions, consultez Dimensionnement des points de terminaison VPC avec AWS IoT Core.

  • Les points de terminaison d’un VPC prennent en charge le trafic IPv4 uniquement.

  • Les points de terminaison d'un VPC serviront uniquement les certificats ATS, à l'exception des domaines personnalisés.

  • Les politiques de point de terminaison d'un VPC ne sont pas prises en charge.

  • Pour les points de terminaison VPC créés pour le plan de AWS IoT Core données, l'utilisation d'enregistrements DNS publics zonaux ou régionaux AWS IoT Core n'est pas prise en charge.

Limites des points de terminaison du fournisseur d'informations d'identification

Cette section couvre les limitations des points de terminaison d'un VPC du fournisseur d'informations d'identification.

  • Les points de terminaison d’un VPC prennent en charge le trafic IPv4 uniquement.

  • Les points de terminaison d'un VPC serviront uniquement les certificats ATS.

  • Les politiques de point de terminaison d'un VPC ne sont pas prises en charge.

  • Les domaines personnalisés ne sont pas pris en charge pour les points de terminaison du fournisseur d'informations d'identification.

  • Pour les points de terminaison VPC créés pour le fournisseur AWS IoT Core d'informations d'identification, l'utilisation d'enregistrements DNS publics zonaux ou régionaux AWS IoT Core n'est pas prise en charge.

Dimensionnement des points de terminaison VPC avec AWS IoT Core

AWS IoT Core Les points de terminaison VPC d'interface sont limités à 100 000 appareils connectés sur un seul point de terminaison d'interface. Si votre cas d'utilisation nécessite davantage de connexions simultanées au courtier, nous vous recommandons d'utiliser plusieurs points de terminaison d'un VPC et de router manuellement vos appareils via vos points de terminaison d'interface. Lorsque vous créez des enregistrements DNS privés pour acheminer le trafic vers vos points de terminaison d’un VPC, assurez-vous de créer autant d'enregistrements pondérés que vous disposez de points de terminaison de VPC pour répartir le trafic sur vos multiples points de terminaison.

Utiliser des domaines personnalisés avec des points de terminaison d'un VPC

Si vous souhaitez utiliser des domaines personnalisés avec des points de terminaison d'un VPC, vous devez créer vos enregistrements de nom de domaine personnalisés dans une zone hébergée privée et créer des enregistrements de routage dans Route53. Pour plus d’informations, consultez Création d’une zone hébergée privée.

Note

Les domaines personnalisés ne sont pris en charge que pour les points de terminaison de AWS IoT Core données.

Disponibilité des points de terminaison VPC pour AWS IoT Core

AWS IoT Core Les points de terminaison VPC d'interface sont disponibles dans toutes AWS IoT Core les régions prises en charge. AWS IoT Core Les points de terminaison VPC d'interface pour le fournisseur AWS IoT Core d'informations d'identification ne sont pas pris en charge dans la région chinoise et. AWS GovCloud (US) Regions