View a markdown version of this page

Otentikasi server - AWS IoT Core
Jenis titik akhirSertifikat CA untuk otentikasi serverPedoman otentikasi server

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Otentikasi server

Saat perangkat Anda atau klien lain mencoba untuk terhubung ke AWS IoT Core, AWS IoT Core Server akan mengirimkan X.509 sertifikat yang digunakan perangkat Anda untuk mengotentikasi server. Otentikasi berlangsung di lapisan TLS melalui validasi X.509 rantai sertifikat. Ini adalah metode yang sama yang digunakan oleh browser Anda ketika Anda mengunjungi URL HTTPS. Jika Anda ingin menggunakan sertifikat dari otoritas sertifikat Anda sendiri, lihat Kelola sertifikat CA Anda.

Ketika perangkat Anda atau klien lain membuat koneksi TLS ke AWS IoT Core titik akhir, AWS IoT Core menyajikan rantai sertifikat yang digunakan perangkat untuk memverifikasi bahwa mereka berkomunikasi AWS IoT Core dan bukan server lain yang menyamar AWS IoT Core. RanTAI yang disajikan tergantung pada kombinasi dari jenis titik akhir yang terhubung ke perangkat dan suite sandi bahwa klien dan AWS IoT Core dinegosiasikan selama jabat tangan TLS.

Jenis titik akhir

AWS IoT Core mendukung iot:Data-ATS. iot:Data-ATS titik akhir menyajikan sertifikat server yang ditandatangani oleh Layanan Kepercayaan Amazon KIRA-KIRA.

Sertifikat yang disajikan oleh titik akhir ATS ditandatangani silang oleh Starfield. Beberapa implementasi klien TLS memerlukan validasi akar kepercayaan dan mengharuskan sertifikat CA Starfield diinstal di toko kepercayaan klien.

Awas

Menggunakan metode penjepitan sertifikat yang melakukan hash seluruh sertifikat (termasuk nama penerbit, dan sebagainya) tidak disarankan karena ini akan menyebabkan verifikasi sertifikat gagal karena sertifikat ATS yang kami berikan ditandatangani silang oleh Starfield dan memiliki nama penerbit yang berbeda.

penting

Gunakan iot:Data-ATS titik akhir. Sertifikat Symantec dan Verisign telah tidak digunakan lagi dan tidak lagi didukung oleh AWS IoT Core.

Anda dapat menggunakan describe-endpoint perintah untuk membuat titik akhir ATS Anda.

aws iot describe-endpoint --endpoint-type iot:Data-ATS

Yang describe-endpoint perintah mengembalikan titik akhir dalam format berikut.

account-specific-prefix.iot.your-region.amazonaws.com
catatan

Pertama kali describe-endpoint disebut, titik akhir dibuat. Semua panggilan berikutnya ke describe-endpoint mengembalikan titik akhir yang sama.

catatan

Untuk melihat milikmu iot:Data-ATS titik akhir di AWS IoT Core konsol, pilih Pengaturan. Konsol hanya menampilkan iot:Data-ATS titik akhir.

Membuat sebuah IotDataPlaneClient dengan AWS SDK for Java

Untuk membuat IotDataPlaneClient yang menggunakan iot:Data-ATS titik akhir, Anda harus melakukan hal berikut.

  • Buat iot:Data-ATS titik akhir dengan menggunakan DescribeEndpoint API.

  • Tentukan titik akhir itu saat Anda membuat IotDataPlaneClient.

Contoh berikut melakukan kedua operasi ini.

public void setup() throws Exception {
        IotClient client = IotClient.builder().credentialsProvider(CREDENTIALS_PROVIDER_CHAIN).region(Region.US_EAST_1).build();
        String endpoint = client.describeEndpoint(r -> r.endpointType("iot:Data-ATS")).endpointAddress();
        iot = IotDataPlaneClient.builder()
                                .credentialsProvider(CREDENTIALS_PROVIDER_CHAIN)
                                .endpointOverride(URI.create("https://" + endpoint))
                                .region(Region.US_EAST_1)
                                .build();
}

Sertifikat CA untuk otentikasi server

Tergantung pada jenis titik akhir data yang Anda gunakan dan suite sandi mana yang telah Anda negosiasikan, AWS IoT Core sertifikat otentikasi server ditandatangani oleh salah satu sertifikat CA root berikut:

Titik Akhir Layanan Kepercayaan Amazon (lebih disukai)

catatan

Anda mungkin perlu mengklik kanan tautan ini dan memilih Simpan tautan sebagai... untuk menyimpan sertifikat ini sebagai file.

  • Kunci bit RSA 2048: Amazon Root CA 1.

  • Kunci bit RSA 4096: Amazon Root CA 2. Terpesan untuk digunakan di masa mendatang.

  • Kunci ECC 256 bit: Amazon Root CA 3.

  • Kunci ECC 384 bit: Amazon Root CA 4. Terpesan untuk digunakan di masa mendatang.

Semua sertifikat ini ditandatangani silang oleh Sertifikat CA Root Starfield. Semua baru AWS IoT Core wilayah, dimulai dengan peluncuran 9 Mei 2018 AWS IoT Core di Wilayah Asia Pasifik (Mumbai), hanya melayani sertifikat ATS.

VeriSign Titik akhir (warisan)

Pedoman otentikasi server

Ada banyak variabel yang dapat mempengaruhi kemampuan perangkat untuk memvalidasi AWS IoT Core sertifikat otentikasi server. Misalnya, perangkat mungkin terlalu dibatasi memori untuk menampung semua sertifikat CA root yang mungkin, atau perangkat dapat menerapkan metode validasi sertifikat yang tidak standar. Untuk alasan ini kami sarankan mengikuti pedoman ini:

  • Kami menyarankan Anda menggunakan titik akhir ATS Anda dan menginstal semua yang didukung Amazon Root CA sertifikat.

  • Jika Anda tidak dapat menyimpan semua sertifikat ini di perangkat Anda dan jika perangkat Anda tidak menggunakan ECC-based validasi, Anda dapat menghilangkan Amazon Root CA 3 dan Amazon Root CA 4 Sertifikat ECC. Jika perangkat Anda tidak menerapkan RSA-based validasi sertifikat, Anda dapat menghilangkan Amazon Root CA 1 dan Amazon Root CA 2 Sertifikat RSA. Anda mungkin perlu mengklik kanan tautan ini dan memilih Simpan tautan sebagai... untuk menyimpan sertifikat ini sebagai file.

  • Jika Anda mengalami masalah validasi sertifikat server saat menghubungkan ke titik akhir ATS, coba tambahkan sertifikat CA Root Amazon yang ditandatangani silang yang relevan ke penyimpanan kepercayaan Anda. Anda mungkin perlu mengklik kanan tautan ini dan memilih Simpan tautan sebagai... untuk menyimpan sertifikat ini sebagai file.

  • Jika Anda mengalami masalah validasi sertifikat server, perangkat Anda mungkin perlu mempercayai CA root secara eksplisit. Coba tambahkan Starfield Root CA Certificate ke toko kepercayaan Anda.

  • Jika Anda masih mengalami masalah setelah menjalankan langkah-langkah di atas, silakan hubungi AWS Dukungan Pengembang.

catatan

Sertifikat CA memiliki tanggal kedaluwarsa setelah itu mereka tidak dapat digunakan untuk memvalidasi sertifikat server. Sertifikat CA mungkin harus diganti sebelum tanggal kedaluwarsa. Pastikan Anda dapat memperbarui sertifikat CA root pada semua perangkat atau klien Anda untuk membantu memastikan konektivitas berkelanjutan dan mengikuti praktik terbaik keamanan terbaru.

catatan

Saat menghubungkan ke AWS IoT Core dalam kode perangkat Anda, berikan sertifikat ke API yang Anda gunakan untuk terhubung. API yang Anda gunakan akan bervariasi menurut SDK. Untuk informasi lebih lanjut, lihat AWS IoT Core SDK Perangkat.