Configurazione delle impostazioni TLS nelle configurazioni di dominio

AWS IoT Core fornisce policy di sicurezza predefinite per personalizzare le impostazioni Transport Layer Security (TLS) per TLS 1.2 e TLS 1.3 nelle configurazioni di dominio. Una policy di sicurezza è una combinazione di protocolli TLS e delle relative crittografie che determinano i protocolli e crittografie supportati durante le negoziazioni TLS tra un client e un server. Con le politiche di sicurezza supportate, puoi gestire le impostazioni TLS dei tuoi dispositivi con maggiore flessibilità, applicare la maggior parte delle misure di up-to-date sicurezza quando colleghi nuovi dispositivi e mantenere configurazioni TLS coerenti per i dispositivi esistenti.

Nella tabella riportata di seguito vengono descritte le policy di sicurezza, le relative versioni TLS e le regioni supportate:

Nome policy di sicurezza	Supportato Regioni AWS
TSecurityPolitica Io_ _1_3_2022_10 TLS13	Tutto Regioni AWS
TSecurityPolitica Io_ _1_2_2022_10 TLS13	Tutto Regioni AWS
TSecurityPolitica Io_ _1_2_2022_10 TLS12	Tutto Regioni AWS
TSecurityPolitica Io_ _1_0_2016_01 TLS12	ap-east-1, ap-northeast-2, ap-south-1, ap-southeast-2, ca-central-1, cn-nord-1, cn-nordovest-1, eu-nordovest-1, eu-nord-1, eu-west-2, eu-west-3, me-sud-1, us-east-1, us-east-2, us-west-1
Politica TSecurity TLS12 IO_ _1_0_2015_01	ap-northeast-1, ap-southeast-1, eu-central-1, eu-west-1, us-east-1, us-west-2

I nomi delle politiche di sicurezza AWS IoT Core includono informazioni sulla versione basate sull'anno e sul mese in cui sono state rilasciate. Se si crea una nuova configurazione di dominio, la policy di sicurezza verrà preimpostata su IoTSecurityPolicy_TLS13_1_2_2022_10. Per una tabella completa delle politiche di sicurezza con dettagli su protocolli, porte TCP e cifrari, vedi Criteri di sicurezza. AWS IoT Core non supporta politiche di sicurezza personalizzate. Per ulteriori informazioni, consulta Sicurezza dei trasporti in AWS IoT Core.

Per configurare le impostazioni TLS nelle configurazioni di dominio, puoi utilizzare la AWS IoT console o il. AWS CLI

Configurazione delle impostazioni TLS nelle configurazioni di dominio (console)

Per configurare le impostazioni TLS utilizzando la console AWS IoT

1. Accedi a AWS Management Console e apri la AWS IoT console.

2. Per configurare le impostazioni TLS quando si crea una nuova configurazione di dominio, attenersi alla seguente procedura.

   1. Nel riquadro di navigazione a sinistra, scegli Impostazioni, quindi, nella sezione Configurazioni di dominio, seleziona Crea configurazione del dominio.

   2. Nella pagina Crea configurazione del dominio, nella sezione Impostazioni del dominio personalizzato - facoltativo, scegli una policy di sicurezza da Seleziona policy di sicurezza.

   3. Segui il widget e completa i passaggi restanti. Scegli Crea configurazione del dominio.

3. Per aggiornare le impostazioni TLS in una configurazione del dominio esistente, attenersi alla seguente procedura.

   1. Nel pannello di navigazione a sinistra, scegli Impostazioni, quindi, in Configurazioni di dominio, seleziona una configurazione del dominio.

   2. Nella pagina Dettagli di configurazione del dominio, scegli Modifica. Quindi, nella sezione Impostazioni del dominio personalizzato - opzionale, in Seleziona policy di sicurezza, scegli una policy di sicurezza.

   3. Seleziona Aggiorna configurazione del dominio.

Per ulteriori informazioni, consultare Creazione di una configurazione di dominio e Gestione delle configurazioni di dominio.

Configurazione delle impostazioni TLS nelle configurazioni di dominio (interfaccia a riga di comando)

È possibile utilizzare i comandi dell'interfaccia a riga di comando create-domain-configuration e update-domain-configuration per configurare le impostazioni TLS nelle configurazioni di dominio.

1. Per specificare le impostazioni TLS utilizzando il comando dell'interfaccia a riga di comando create-domain-configuration:

   aws iot create-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   L'output di questo comando può essere simile al seguente:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

   Se crei una nuova configurazione di dominio senza specificare la policy di sicurezza, il valore verrà preimpostato su: IoTSecurityPolicy_TLS13_1_2_2022_10.

2. Per descrivere le impostazioni TLS utilizzando il comando dell'interfaccia a riga di comando describe-domain-configuration:

   aws iot describe-domain-configuration \
       --domain-configuration-name domainConfigurationName

   Questo comando può restituire i dettagli di configurazione del dominio che includono le impostazioni TLS come le seguenti:

   {
    "tlsConfig": {
    "securityPolicy": "IoTSecurityPolicy_TLS13_1_2_2022_10"
    }, 
    "domainConfigurationStatus": "ENABLED", 
    "serviceType": "DATA", 
    "domainType": "AWS_MANAGED", 
    "domainName": "d1234567890abcdefghij-ats.iot.us-west-2.amazonaws.com",
    "serverCertificates": [], 
    "lastStatusChangeDate": 1678750928.997, 
    "domainConfigurationName": "test", 
    "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

3. Per aggiornare le impostazioni TLS utilizzando il comando dell'interfaccia a riga di comando update-domain-configuration:

   aws iot update-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   L'output di questo comando può essere simile al seguente:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

4. Per aggiornare le impostazioni TLS per l'endpoint ATS, esegui il comando dell'interfaccia a riga di comando update-domain-configuration. Il nome della configurazione di dominio per l'endpoint ATS è iot:Data-ATS.

   aws iot update-domain-configuration \
       --domain-configuration-name "iot:Data-ATS" \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   L'output del comando può essere simile al seguente:

   {
   "domainConfigurationName": "iot:Data-ATS",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/iot:Data-ATS"
   }

Per ulteriori informazioni, consulta le pagine CreateDomainConfiguration e UpdateDomainConfiguration nella Documentazione di riferimento dell'API AWS .