AWS IoT Greengrass에 대한 디바이스 인증 및 권한 부여

AWS IoT Greengrass 환경의 디바이스는 인증에 X.509 인증서를 사용하고 권한 부여에는 AWS IoT 정책을 사용합니다. 인증서 및 정책을 통해 디바이스끼리, 그리고 AWS IoT Core 및 AWS IoT Greengrass와 안전하게 연결할 수 있습니다.

X.509 인증서는 X.509 퍼블릭 키 인프라 표준을 사용하여 퍼블릭 키를 인증서에 포함된 자격 증명과 연결하는 디지털 인증서입니다. X.509 인증서는 인증 기관(CA)이라고 부르는, 신뢰할 수 있는 엔터티가 발행합니다. CA는 X.509 인증서 발행하는 데 사용되는 CA 인증서라고 하는 하나 이상의 특수 인증서를 유지 관리합니다. 인증 기관만 CA 인증서에 액세스할 수 있습니다.

AWS IoT 정책은 AWS IoT 디바이스에 허용되는 작업 집합을 정의합니다. 특히 MQTT 메시지 게시 및 디바이스 섀도우 검색과 같은 AWS IoT Core 및 AWS IoT Greengrass 데이터 플레인 작업에 대한 액세스를 허용하거나 거부합니다.

모든 디바이스에는 AWS IoT Core 레지스트리의 항목, AWS IoT 정책이 연결된 활성화된 X.509 인증서가 필요합니다. 디바이스는 두 가지 범주로 나뉩니다.

X.509 인증서

코어 디바이스와 클라이언트 디바이스 간의 통신과 디바이스 간, 그리고 AWS IoT Core 또는 AWS IoT Greengrass와의 통신은 반드시 인증되어야 합니다. 이 상호 인증은 등록된 X.509 디바이스 인증서와 암호화 키를 기반으로 수행됩니다.

AWS IoT Greengrass 환경에서 디바이스는 다음 TLS(전송 계층 보안) 연결에 퍼블릭 키와 프라이빗 키가 있는 인증서를 사용합니다.

AWS IoT Greengrass 코어 디바이스는 두 위치에 인증서를 저장합니다.

자세한 설명은 AWS IoT Greengrass 핵심 보안 원칙 섹션을 참조하세요.

CA(인증 기관) 인증서

코어 디바이스와 클라이언트 연결 디바이스는 AWS IoT Core 및 AWS IoT Greengrass 서비스 인증에 사용되는 루트 CA 인증서를 다운로드합니다. Amazon Root CA 1 같은 Amazon Trust Services(ATS) 루트 CA 인증서를 사용하는 것이 좋습니다. 서버 인증용 CA 인증서에 대한 자세한 내용은 AWS IoT Core개발자 설명서의 인증(IoT)를 참조하세요.

클라이언트 디바이스는 Greengrass 그룹 CA 인증서도 다운로드합니다. 상호 인증 중에 Greengrass 코어에서 MQTT 서버 인증서를 검증하는 데 사용됩니다. 자세한 설명은 장치 연결 워크플로 섹션을 참조하세요. MQTT 서버 인증서의 기본 만료 기간은 7일입니다.

로컬 MQTT 서버에서의 인증서 교체

클라이언트 디바이스는 Greengrass 코어 디바이스와의 상호 인증을 위해 로컬 MQTT 서버 인증서를 사용합니다. 이 인증서는 기본적으로 7일이 경과하면 만료됩니다. 이 제한된 기간은 보안 모범 사례를 기반으로 합니다. MQTT 서버 인증서는 클라우드에 저장된 그룹 CA 인증서에 의해 서명됩니다.

Greengrass 코어 디바이스가 온라인 상태 및 지속적으로 AWS IoT Greengrass 서비스에 직접적으로 액세스가 가능해야 인증서 교체를 할 수 있습니다. 인증서가 만료되면 코어 디바이스는 새 인증서를 획득하기 위해 AWS IoT Greengrass 서비스와의 연결을 시도합니다. 연결이 성공하면 코어 디바이스는 새 MQTT 서버 인증서를 다운로드하고 로컬 MQTT 서비스를 다시 시작합니다. 이 시점에서 코어와 연결된 모든 클라이언트 디바이스는 연결이 해제됩니다. 코어 디바이스가 만료 시 오프라인이면 대체 인증서를 받지 않습니다. 코어 디바이스에 시도되는 모든 연결은 거절됩니다. 기존 연결은 영향을 받지 않습니다. 클라이언트 디바이스는 AWS IoT Greengrass 서비스와의 연결이 복원되기 전까지 코어와 연결할 수 없으며 새로운 MQTT 서버 인증서를 다운로드할 수 있습니다.

만료 기한은 필요에 따라 7일에서 30일 사이로 설정할 수 있습니다. 자주 교체하기 위해서는 잦은 클라우드 연결이 요구됩니다. 교체가 자주 이루어지지 않으면 보안 문제를 초래할 수 있습니다. 인증서 만료 값을 30일 이상으로 설정하려면 AWS Support에 문의하십시오.

AWS IoT 콘솔에서는 그룹의 설정 페이지에서 인증서를 관리할 수 있습니다. AWS IoT GreengrassAPI에서 UpdateGroupCertificateConfiguration작업을 사용할 수 있습니다.

MQTT 서버 인증서가 만료되면 인증서의 유효성을 검사하는 시도가 실패합니다. 클라이언트 디바이스는 장애를 감지하고 연결을 종료할 수 있어야 합니다.

데이터 영역 작업에 대한 AWS IoT 정책

AWS IoT 정책을 사용하여 AWS IoT Core 및 AWS IoT Greengrass 데이터 플레인에 대한 액세스 권한을 부여합니다. AWS IoT Core 데이터 플레인은 AWS IoT Core 연결 및 주제 구독과 같은 디바이스, 사용자 및 애플리케이션 작업으로 구성됩니다. AWS IoT Greengrass 데이터 플레인은 배포 검색 및 연결 정보 업데이트와 같은 Greengrass 디바이스 작업으로 구성됩니다.

AWS IoT 정책은 IAM 정책과 유사한 JSON 문서입니다. 여기에는 다음 속성을 지정하는 하나 이상의 정책 설명이 포함됩니다.

AWS IoT 정책은 *을(를) 와일드카드 문자로 지원하며 MQTT 와일드카드 문자(+ 및 #)를 리터럴 문자열로 취급합니다. * 와일드카드에 대한 자세한 내용은 AWS Identity and Access Management 사용 설명서의 리소스 ARN에서 와일드카드 사용을 참조하십시오.

자세한 내용은 AWS IoT Core 개발자 안내서의 AWS IoT 정책 및 AWS IoT 정책 조치를 참조하십시오.

AWS IoT Greengrass 정책 작업

AWS IoT Greengrass 코어 디바이스에 대한 최소 AWS IoT 정책

다음 예제 정책에는 코어 디바이스용 기본 Greengrass 기능을 지원하는 데 필요한 최소 작업 세트가 포함됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:client/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish",
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:GetThingShadow",
                "iot:UpdateThingShadow",
                "iot:DeleteThingShadow"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:AssumeRoleForGroup",
                "greengrass:CreateCertificate"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeployment"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetDeploymentArtifacts"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:UpdateCoreDeploymentStatus"
            ],
            "Resource": [
                "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id/deployments/*/cores/arn%3Aaws%3Aiot%3Aregion%3Aaccount-id%3Athing%2Fcore-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-name-*"
            ]
        }
    ]
}

{
    "Effect": "Allow",
    "Action": [
        "greengrass:Discover"
    ],
    "Resource": [
        "arn:aws:iot:region:account-id:thing/device-name"
    ]
}

AWS IoT 콘솔에서는 코어 인증서에 연결된 정책을 보고 편집할 수 있습니다.