Autenticazione e autorizzazione del dispositivo per AWS IoT Greengrass

I dispositivi negli ambienti AWS IoT Greengrass utilizzano i certificati X.509 per l'autenticazione e le policy AWS IoT per l'autorizzazione. I certificati e le policy consentono ai dispositivi di connettersi in modo sicuro tra loro, AWS IoT Core e AWS IoT Greengrass.

I certificati X.509 sono certificati digitali che usano lo standard di infrastruttura a chiave pubblica X.509 per associare una chiave pubblica all'identità contenuta in un certificato. I certificati X.509 vengono rilasciati da un'entità attendibile denominata autorità di certificazione (CA). L'autorità di certificazione mantiene uno o più certificati speciali chiamati certificati CA, che usa per rilasciare certificati X.509. Solo l'autorità di certificazione ha accesso a certificati CA.

Le policy AWS IoT definiscono l'insieme di operazioni consentite per i dispositivi AWS IoT. In particolare, consentono e negano l'accesso alle operazioni del piano dei dati AWS IoT Core e AWS IoT Greengrass, ad esempio la pubblicazione di messaggi MQTT e il recupero delle copie shadow dei dispositivi.

Tutti i dispositivi richiedono una voce nel Registro di sistema AWS IoT Core e un certificato X.509 attivato con una policy AWS IoT allegata. I dispositivi rientrano in due categorie:

Certificati X.509

La comunicazione tra i dispositivi core e client e tra i dispositivi AWS IoT Core e/o AWS IoT Greengrass deve essere autenticata. Questa autenticazione si basa su certificati di dispositivo X.509 registrati e chiavi crittografiche.

In un ambiente AWS IoT Greengrass, i dispositivi utilizzano certificati con chiavi pubbliche e private per le seguenti connessioni TLS (Transport Layer Security):

Il dispositivo AWS IoT Greengrass principale archivia i certificati in due posizioni:

Per ulteriori informazioni, consulta AWS IoT Greengrass principi di sicurezza fondamentali.

Certificati dell'autorità di certificazione (CA)

I dispositivi principali e i dispositivi client scaricano un certificato CA principale utilizzato per l'autenticazione con AWS IoT Greengrass i servizi AWS IoT Core and. Ti consigliamo di utilizzare un certificato di CA root di Amazon Trust Services (ATS), ad esempio Amazon Root CA 1. Per ulteriori informazioni, consulta Certificati emessi da una CA per l'autenticazione del server nella Guida per gli sviluppatori AWS IoT Core.

I dispositivi client scaricano anche il certificato CA del gruppo Greengrass. Questo viene utilizzato per convalidare il certificato server MQTT sul core Greengrass durante l'autenticazione reciproca. Per ulteriori informazioni, consulta Flusso di lavoro di connessione del dispositivo. La scadenza predefinita del certificato server MQTT è sette giorni.

Rotazione dei certificati sul server MQTT locale

I dispositivi client utilizzano il certificato del server MQTT locale per l'autenticazione reciproca con il dispositivo principale Greengrass. Per impostazione predefinita, questo certificato scade entro sette giorni. Questo periodo limitato si basa sulle best practice in materia di sicurezza. Il certificato del server MQTT è firmato dal certificato CA del gruppo, archiviato nel cloud.

Affinché avvenga la rotazione dei certificati, il dispositivo principale Greengrass deve essere online e in grado di accedere direttamente al AWS IoT Greengrass servizio su base regolare. Quando il certificato scade, il dispositivo principale tenta di connettersi al AWS IoT Greengrass servizio per ottenere un nuovo certificato. Se viene stabilita la connessione, il dispositivo core scarica un nuovo certificato del server MQTT e riavvia il servizio MQTT locale. A questo punto, tutti i dispositivi client collegati al core vengono disconnessi. Se il dispositivo principale è offline al momento della scadenza, non riceve il certificato sostitutivo. Eventuali nuovi tentativi di connessione al dispositivo core vengono rifiutati. Le connessioni esistenti non sono interessate. I dispositivi client non possono connettersi al dispositivo principale finché non viene ripristinata la connessione al AWS IoT Greengrass servizio e non è possibile scaricare un nuovo certificato del server MQTT.

Puoi impostare il periodo di scadenza su qualsiasi valore compreso tra 7 e 30 giorni, in base alle esigenze. Una rotazione più frequente richiede una connessione cloud più frequente. Una rotazione meno frequente può causare problemi di sicurezza. Se desideri impostare la scadenza del certificato su un valore superiore a 30 giorni, contattaAWS Support.

Nella AWS IoT console, puoi gestire il certificato nella pagina Impostazioni del gruppo. Nell'AWS IoT GreengrassAPI, puoi utilizzare l'UpdateGroupCertificateConfigurationazione.

Quando il certificato del server MQTT scade, ogni tentativo di convalidare il certificato ha esito negativo. I dispositivi client devono essere in grado di rilevare l'errore e interrompere la connessione.

Policy AWS IoT per operazioni del piano dei dati

Utilizzare le policy AWS IoT per autorizzare l'accesso al piano dei dati AWS IoT Core e AWS IoT Greengrass. Il piano dei dati AWS IoT Core è costituito da operazioni per dispositivi, utenti e applicazioni, come la connessione a AWS IoT Core e la sottoscrizione ad argomenti. Il piano dei dati AWS IoT Greengrass è costituito da operazioni per i dispositivi Greengrass, come il recupero delle distribuzioni e l'aggiornamento delle informazioni sulla connettività.

Una AWS IoT policy è un documento JSON simile a una policy IAM. Contiene una o più istruzioni delle policy che specificano le proprietà seguenti:

AWS IoTi criteri supportano i caratteri jolly * come caratteri jolly e trattano i caratteri jolly MQTT (+and#) come stringhe letterali. Per ulteriori informazioni sui caratteri jolly, vedete Uso dei * caratteri jolly negli ARN delle risorse nella Guida per l'utente. AWS Identity and Access Management

Per ulteriori informazioni, consulta Policy AWS IoT e Operazioni di policy AWS IoT nella Guida per gli sviluppatori AWS IoT Core.

Operazioni di policy AWS IoT Greengrass

Policy AWS IoT minima per il dispositivo core AWS IoT Greengrass

L'esempio di policy seguente include il set di operazioni minime necessarie per supportare le funzionalità di base di Greengrass per il dispositivo core.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

Nella AWS IoT console, puoi visualizzare e modificare la policy allegata al certificato del tuo core.