AWS IoT Greengrass セキュリティの概要 - AWS IoT Greengrass

のドキュメントを表示していますAWS IoT Greengrass Version 1。AWS IoT Greengrass Version 2の最新のメジャーバージョンです。AWS IoT Greengrass。の使用方法の詳細については、「」を参照してください。AWS IoT Greengrass V2の詳細については、AWS IoT Greengrass Version 2開発者ガイド

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS IoT Greengrass セキュリティの概要

AWS IoT GreengrassX.509 証明書を使用する場合、AWS IoTのポリシーと IAM のポリシーとロールを使用して、ローカル Greengrass 環境のデバイスで実行されるアプリケーションを保護します。

次の図は、AWS IoT Greengrass セキュリティモデルのコンポーネントを示しています。

A - Greengrass サービスロール

お客様が作成した IAM ロールは、AWS IoT GreengrassにアクセスするときにAWSからのリソースAWS IoT Core,AWS Lambda、他のAWSのサービス。詳細については、「Greengrass サービスロール」を参照してください。

B - コアデバイス証明書

AWS IoT Core および AWS IoT Greengrass を使用して Greengrass コアを認証するために使用される X.509 証明書。詳細については、「AWS IoT Greengrass のデバイス認証と認可」を参照してください。

C - デバイス証明書

AWS IoT Core および AWS IoT Greengrass を使用して Greengrass (接続済み) デバイスを認証するために使用される X.509 証明書。詳細については、「AWS IoT Greengrass のデバイス認証と認可」を参照してください。

D - グループロール

お客様が作成した IAM ロールは、AWS IoT Greengrassを呼び出すときにAWSGreengrass コアからのサービス。

このロールを使用して、ユーザー定義の Lambda 関数とコネクタがアクセスする必要があるアクセス権限を指定します。AWSサービス(DynamoDB など)。また、それを使用してAWS IoT Greengrassを使用して、ストリームマネージャストリームをAWSサービスを作成し、CloudWatch Logs に書き込む必要があります。詳細については、「Greengrass グループのロール」を参照してください。

注記

AWS IoT Greengrassで指定された Lambda 実行ロールを使用しません。AWS LambdaLambda 関数のクラウドバージョンについては、

E - MQTT サーバー証明書

Greengrass コアデバイスと Greengrass グループ内の接続されたデバイスとの間の Transport Layer Security (TLS) 相互認証に使用される証明書。証明書は、グループ CA 証明書によって署名されます。この証明書は、AWS クラウド。

デバイス接続のワークフロー

このセクションでは、Greengrass 接続デバイスが AWS IoT Greengrass サービスおよび Greengrass コアデバイスに接続される方法について説明します。Greengrass 接続デバイスは、コアデバイスと同じ Greengrass グループに属する登録済み AWS IoT Core デバイスです。

  • Greengrass コアデバイスは、デバイス証明書、プライベートキー、および AWS IoT Core ルート CA 証明書を使用して AWS IoT Greengrass サービスに接続します。コアデバイスでは、cryptoオブジェクトのある設定ファイルは、これらの項目のファイルパスを指定します。

  • Greengrass コアデバイスは、AWS IoT Greengrass サービスからグループメンバーシップ情報をダウンロードします。

  • Greengrass コアデバイスに対してデプロイが行われた場合に、Device Certificate Manager (DCM) は Greengrass コアデバイスに対してローカルサーバー証明書管理を行います。

  • 接続されたデバイスは、AWS IoT Greengrassサービスを、デバイス証明書、プライベートキー、およびAWS IoT Coreルート CA 証明書。AWS IoT Core デバイスは、接続後に Greengrass Discovery Service を使用して Greengrass コアデバイスの IP アドレスを見つけます。また、デバイスはグループ CA 証明書をダウンロードします。この証明書は、Greengrass コアデバイスとの TLS 相互認証に使用されます。

  • 接続デバイスは Greengrass コアデバイスへの接続を試み、そのデバイス証明書とクライアント ID を渡します。クライアント ID がデバイスのモノ名と一致し、証明書が有効である (その Greengrass グループに所属する) 場合、接続が実行されます。それ以外の場合は、接続は終了します。

-AWS IoTポリシーは、greengrass:Discoverアクセス許可を使用して、デバイスがコアの接続情報を検出できるようにします。このポリシーステートメントの詳細については、「検出の承認」を参照してください。

AWS IoT Greengrass セキュリティの設定

Greengrass アプリケーションのセキュリティを設定するには

  1. Greengrass コアデバイスの AWS IoT Core モノを作成します。

  2. Greengrass コアデバイスのキーペアとデバイス証明書を生成します。

  3. AWS IoT ポリシーを作成してデバイス証明書にアタッチします。証明書とポリシーにより、Greengrass コアデバイスは AWS IoT Core および AWS IoT Greengrass サービスにアクセスできます。詳細については、「コアデバイスの最小限の AWS IoT ポリシー」を参照してください。

    注記

    の使用モノのポリシー変数(iot:Connection.Thing.*) のAWS IoTポリシーはサポートされません。コアは、同じデバイス証明書を使用して複数の接続~AWS IoT Coreですが、接続のクライアント ID がコア Thing 名と完全に一致しない可能性があります。

  4. Greengrass サービスロールを作成します。この IAM ロールはAWS IoT GreengrassからリソースにアクセスするAWSサービスをお客様に代わってのサービスを開始します。これにより、AWS IoT Greengrass は AWS Lambda 関数を取得したり、デバイスシャドウを管理するなど、重要なタスクを実行できます。

    同じサービスロールをAWS リージョンを使用しますが、AWS アカウントの各AWS リージョン使用する場所AWS IoT Greengrass。

  5. (オプション) Greengrass グループロールを作成します。この IAM ロールは、Greengrass コアで実行されている Lambda 関数とコネクタに対して、AWSのサービス。たとえば、Kinesis Firehoseには、Amazon Kinesis Data Firehose 配信ストリームにレコードを書き込むアクセス許可が必要です。

    Greengrass グループにアタッチできるロールは 1 つだけです。

  6. Greengrass コアに接続するデバイスごとに、AWS IoT Core モノを作成します。

    注記

    既存の AWS IoT Core モノと証明書を使用することもできます。

  7. Greengrass コアに接続するデバイスごとに、デバイス証明書、キーペア、および AWS IoT ポリシーを作成します。

AWS IoT Greengrass Core セキュリティプリンシパル

Greengrass コアは次のセキュリティプリンシパルを使用します: AWS IoT クライアント、ローカル MQTT サーバー、ローカルシークレットマネージャー。上述のプリンシパルの設定は、config.json 設定ファイルの crypto オブジェクトに格納されます。詳細については、「AWS IoT Greengrass Core 設定ファイル」を参照してください。

この設定には、認証および暗号化の主要なコンポーネントが使用するプライベートキーへのパスが含まれています。AWS IoT Greengrass では、ハードウェアベースあるいはファイルシステムベース (デフォルト) の 2 種類のプライベートキーストレージがサポートされています。ハードウェアセキュリティモジュールでキーを保存する詳細については、「ハードウェアセキュリティ統合」を参照してください。

AWS IoT クライアント

AWS IoT クライアント (IoT クライアント) は、Greengrass コアと AWS IoT Core 間のインターネットを介した通信を管理します。AWS IoT Greengrass は、この通信に TLS 接続を確立するときの相互認証にパブリックおよびプライベートキーで X.509 証明書を使用します。詳細については、「」を参照してください。X.509 証明書およびAWS IoT Core()AWS IoT Core開発者ガイド

IoT クライアントでは RSA および EC 証明書とキーがサポートされています。証明書とプライベートキーのパスは、config.jsonIoTCertificate プリンシパルで指定されています。

MQTT サーバー

ローカルの MQTT サーバーは、Greengrass コアとグループ内の他の Greengrass デバイス間のローカルネットワークを介した通信を管理します。AWS IoT Greengrass は、この通信に TSL 接続を確立するときにパブリックおよびプライベートキーで X.509 証明書を使用します。

デフォルトでは、AWS IoT Greengrass は RSA プライベートキーを自動的に生成します。別のプライベートキーを使用するコアを設定するには、config.jsonMQTTServerCertificate プリンシパルへのキーパスを提供する必要があります。お客様が用意したキーのローテーションは、お客様が行います。

プライベートキーサポート
RSA キー EC キー
キーのタイプ Supported Supported
キーのパラメータ Minimum 2048-bit length NIST P-256 or NIST P-384 curve
ディスク形式 PKCS#1, PKCS#8 SECG1, PKCS#8
最小 GGC バージョン
  • デフォルトの RSA キーを使用します。1.0

  • RSA キーの指定: 1.7

  • EC キーの指定: 1.9

プライベートキーの設定は、関連するプロセスを決定します。Greengrass コアでサーバーとしてサポートされる暗号化スイートの一覧については、「TLS 暗号スイートのサポート」を参照してください。

プライベートキーが指定されていない場合 (デフォルト)
  • AWS IoT Greengrass はローテーション設定に基づいてキーをローテーションします。

  • コアは、証明書を生成する RSA キーを生成します。

  • MQTT サーバー証明書には、RSA パブリックキーおよび SHA-256 RSA 署名があります。

RSA プライベートキーが指定されている場合(GC v1.7 以降)
  • キーのローテーションはお客様が行います。

  • コアは指定されたキーを使用して証明書を生成します。

  • RSA キーには最小の長さで 2048 ビットの必要があります。

  • MQTT サーバー証明書には、RSA パブリックキーおよび SHA-256 RSA 署名があります。

EC プライベートキーが指定されている場合(GGC v1.9以降が必要)
  • キーのローテーションはお客様が行います。

  • コアは指定されたキーを使用して証明書を生成します。

  • EC プライベートキーは、NIST P-256 または NIST P-384 curve を使用する必要があります。

  • MQTT サーバー証明書には、EC パブリックキーと SHA-256 RSA 署名があります。

    コアが提供する MQTT サーバー証明書には、キーのタイプに関係なく、SHA-256 RSA 署名があります。このため、クライアントはコアと安全な接続を確立するために、SHA-256 RSA 証明書の検証をサポートしている必要があります。

Secrets Manager

ローカルのシークレットマネージャーは、AWS Secrets Manager で作成したシークレットのローカルコピーを安全に管理します。ここでは、プライベートキーを使用して、シークレットを暗号化するために使用されるデータキーを保護します。詳細については、「AWS IoT Greengrass Core にシークレットをデプロイする」を参照してください。

デフォルトでは IoT クライアントプライベートキーが使用されますが、config.jsonSecretsManager プリンシパルに別のプライベートキーを指定することもできます。RSA キータイプのみがサポートされています。詳細については、「シークレット暗号化用のプライベートキーを指定する」を参照してください。

注記

現在、AWS IoT GreengrassはPKCS #1 v1.5ハードウェアベースの秘密鍵を使用する場合、ローカルシークレットの暗号化と復号化のためのパディングメカニズム。ハードウェアベースの秘密鍵を手動で生成するためのベンダー提供の指示に従っている場合は、必ず PKCS #1 v1.5 を選択してください。AWS IoT Greengrassは、最適な非対称暗号化パディング (OAEP) をサポートしていません。

プライベートキーサポート
RSA キー EC キー
キーのタイプ Supported Not supported
キーのパラメータ Minimum 2048-bit length Not applicable
ディスク形式 PKCS#1, PKCS#8 Not applicable
最小 GGC バージョン 1.7 Not applicable

MQTT メッセージングワークフローにおけるマネージドサブスクリプション

AWS IoT Greengrass はサブスクリプションテーブルを使用して、Greengrass グループ内のデバイス、関数、およびコネクタ間、または AWS IoT Core あるいはローカルシャドウサービスと MQTT メッセージを交換する方法を定義します。各サブスクリプションは、どのメッセージが送信あるいは受信されるかについて、送信元、送信先、MQTT トピック (またはサブジェクト) を指定します。AWS IoT Greengrass では、対応するサブスクリプションが定義されている場合のみ、送信元から送信先にメッセージを送信することが許可されます。

サブスクリプションは 1 方向のメッセージフローのみを定義します。2 方向のメッセージ交換をサポートするには、方向ごとに 1 つづつ、2 つのサブスクリプションを作成する必要があります。

TLS 暗号スイートのサポート

AWS IoT Greengrass は、AWS IoT Core トランスポートセキュリティモデルを使用し、TLS 暗号スイートによりクラウドとの通信を暗号化します。さらに、AWS IoT Greengrass データは保管時には (クラウド上で) 暗号化されます。の詳細AWS IoT Coreトランスポートセキュリティと、サポートされている暗号スイートについては、トランスポートセキュリティ()AWS IoT Core開発者ガイド

ローカルネットワーク通信向けにサポートされる暗号化スイート

とは対照的にAWS IoT Coreとすると、AWS IoT Greengrassコアは、次のローカルネットワーク証明書署名アルゴリズム用の TLS 暗号スイート。プライベートキーがファイルシステムに保存されている場合、これらの暗号化スイートはすべてサポートされます。サブセットは、コアがハードウェアセキュリティモジュール (HSM) を使用するように設定されている場合にサポートされます。詳細については、「AWS IoT Greengrass Core セキュリティプリンシパル」および「ハードウェアセキュリティ統合」を参照してください。また、このテーブルにはサポートに必要な AWS IoT Greengrass Core ソフトウェアの最小バージョンが含まれています。

暗号 HSM のサポート 最小 GGC バージョン
TLSv1.2 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_128_GCM_SHA256 Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_GCM_SHA384 Not supported 1.0
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 Supported 1.9
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 Supported 1.9
TLSv1.1 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0
TLSv1.0 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA Supported 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA Supported 1.0
TLS_RSA_WITH_AES_128_CBC_SHA Not supported 1.0
TLS_RSA_WITH_AES_256_CBC_SHA Not supported 1.0