クライアントデバイスを認証して認可する

クライアントデバイス認証 IPC サービスを使用して、クライアントデバイスなどのローカル IoT デバイスが接続できるカスタムのローカルブローカーコンポーネントを開発します。

これらの IPC オペレーションを使用するには、カスタムコンポーネントの依存関係として、バージョン 2.2.0 以降のクライアントデバイス認証コンポーネントを含めます。その後、カスタムコンポーネントの IPC オペレーションを使用して、次の操作を行うことができます。

最小 SDK バージョン

次の表に、AWS IoT Device SDK の最小バージョンを示します。クライアントデバイス認証 IPC サービスとやり取りする際は、これを使用する必要があります。

認可

カスタムコンポーネントでクライアントデバイス認可 IPC サービスを使用するには、コンポーネントがこれらのオペレーションを実行できるように認可ポリシーを定義する必要があります。承認ポリシーの定義については、「コンポーネントに IPC オペレーションの実行を許可する」を参照してください。

クライアントデバイスの認証および認可の認可ポリシーには、次のプロパティがあります。

IPC サービス識別子: aws.greengrass.clientdevices.Auth

承認ポリシーの例

次の承認ポリシーの例を参照して、コンポーネントの承認ポリシーの設定に役立てることができます。

{
  "accessControl": {
    "aws.greengrass.clientdevices.Auth": {
      "com.example.MyLocalBrokerComponent:clientdevices:1": {
        "policyDescription": "Allows access to authenticate and authorize client devices.",
        "operations": [
          "aws.greengrass#VerifyClientDeviceIdentity",
          "aws.greengrass#GetClientDeviceAuthToken",
          "aws.greengrass#AuthorizeClientDeviceAction",
          "aws.greengrass#SubscribeToCertificateUpdates"
        ],
        "resources": [
          "*"
        ]
      }
    }
  }
}

VerifyClientDeviceIdentity

クライアントデバイスの ID の検証。このオペレーションは、クライアントデバイスが有効な AWS IoT のモノであるかどうかを検証します。

リクエスト

このオペレーションのリクエストには以下のパラメータがあります。

レスポンス

このオペレーションのレスポンスには以下の情報が含まれます。

GetClientDeviceAuthToken

クライアントデバイスの認証情報を検証し、クライアントデバイスのセッションを作成します。このオペレーションは、クライアントデバイスのアクションを承認するために、後続のリクエストで使用できるセッショントークンを返します。

クライアントデバイスを正常に接続するには、クライアントデバイス認証コンポーネントで、クライアントデバイスが使用するクライアント ID の mqtt:connect アクセス許可が付与される必要があります。

リクエスト

このオペレーションのリクエストには以下のパラメータがあります。

レスポンス

このオペレーションのレスポンスには以下の情報が含まれます。

AuthorizeClientDeviceAction

クライアントデバイスに、リソースに対するアクションを実行するアクセス許可があるかどうかを検証します。クライアントデバイスの承認ポリシーは、コアデバイスに接続している際にクライアントデバイスが実行できるアクセス許可を指定します。クライアントデバイスの認可ポリシーは、クライアントデバイス認可コンポーネントを設定する際に定義します。

リクエスト

このオペレーションのリクエストには以下のパラメータがあります。

レスポンス

このオペレーションのレスポンスには以下の情報が含まれます。

SubscribeToCertificateUpdates

コアデバイスの新しいサーバー証明書が更新されるたびにそれを受け取るようにサブスクライブします。サーバー証明書が更新されると、新しいサーバー証明書を使用してブローカーをリロードする必要があります。

クライアントデバイス認証コンポーネントは、デフォルトでは 7 日ごとにサーバー証明書を更新します。更新の間隔は、2 日から 10 日の間で設定できます。

このオペレーションはサブスクリプションオペレーションで、イベントメッセージのストリームをサブスクライブするというものです。このオペレーションを使用するには、イベントメッセージ、エラー、およびストリームクロージャを処理する関数を使用して、ストリームレスポンスハンドラーを定義します。(詳細については、IPC イベントストリームへのサブスクライブ を参照してください)。

イベントメッセージの種類: CertificateUpdateEvent

リクエスト

このオペレーションのリクエストには以下のパラメータがあります。

レスポンス

このオペレーションのレスポンスには以下の情報が含まれます。