Definir configurações de TLS nas configurações de domínio

AWS IoT Core fornece políticas de segurança predefinidas para você personalizar suas configurações de Transport Layer Security (TLS) para TLS 1.2 e TLS 1.3 nas configurações de domínio. Uma política de segurança é uma combinação de protocolos TLS e suas cifras que determinam os protocolos e cifras compatíveis durante as negociações de TLS entre um cliente e um servidor. Com as políticas de segurança suportadas, você pode gerenciar as configurações de TLS de seus dispositivos com mais flexibilidade, aplicar o máximo de medidas de up-to-date segurança ao conectar novos dispositivos e manter configurações TLS consistentes para dispositivos existentes.

A tabela a seguir descreve as políticas de segurança, suas versões de TLS e as regiões compatíveis:

Nome da política de segurança	Suportado Regiões da AWS
IoT SecurityPolicy _TLS13_1_3_2022_10	Tudo Regiões da AWS
IoT SecurityPolicy _TLS13_1_2_2022_10	Tudo Regiões da AWS
IoT SecurityPolicy _TLS12_1_2_2022_10	Tudo Regiões da AWS
IoT SecurityPolicy _TLS12_1_0_2016_01	ap-east-1, ap-northeast-2, ap-south-1, ap-southeast-2, ca-central-1, cn-northeast-1, cn-north-1, cn-northwest-1, eu-north-1, eu-north-1, eu-west-2, eu-west-2, eu-west-3 -west-3, me-south-1, sa-lest-1, us-east-2, us-west-1
IoT SecurityPolicy _TLS12_1_0_2015_01	ap-northeast-1, ap-southeast-1, eu-central-1, eu-west-1, us-east-1, us-west-2

Os nomes das políticas de segurança AWS IoT Core incluem informações de versão com base no ano e mês em que foram lançadas. Se você criar uma nova configuração de domínio, a política de segurança assumirá IoTSecurityPolicy_TLS13_1_2_2022_10 como padrão. Para obter uma tabela completa de políticas de segurança com detalhes de protocolos, portas TCP e cifras, consulte Políticas de segurança. AWS IoT Core não oferece suporte a políticas de segurança personalizadas. Para ter mais informações, consulte Segurança de transporte em AWS IoT Core.

Para definir as configurações de TLS nas configurações de domínio, você pode usar o AWS IoT console ou o. AWS CLI

Definir as configurações de TLS nas configurações de domínio (console)

Para definir as configurações de TLS usando o console AWS IoT

1. Faça login no AWS Management Console e abra o AWS IoT console.

2. Para definir as configurações de TLS ao criar uma nova configuração de domínio, siga estas etapas.

   1. No painel de navegação esquerdo, escolha Configurações e, na seção Configurações de domínio, escolha Criar configuração de domínio.

   2. Na página Criar configuração de domínio, na seção Configurações de domínio personalizado - opcional, escolha uma política de segurança em Selecionar política de segurança.

   3. Siga o widget e conclua o restante das etapas. Selecione Criar configuração de domínio.

3. Para atualizar as configurações de TLS em uma configuração de domínio existente, siga estas etapas.

   1. No painel de navegação esquerdo, selecione Configurações e, em Configurações de domínio, escolha uma configuração de domínio.

   2. Na página de Detalhes da configuração do domínio, escolha Editar. Em seguida, na seção Configurações de domínio personalizado - opcional, em Selecionar política de segurança, escolha uma política de segurança.

   3. Selecione Atualizar configuração de domínio.

Para obter mais informações, consulte Criar uma configuração de domínio e Gerenciar configurações de domínio.

Definir as configurações de TLS nas configurações de domínio (CLI)

É possível usar os comandos CLI create-domain-configuration e update-domain-configuration para definir suas configurações de TLS em configurações de domínio.

1. Para especificar as configurações de TLS usando o comando CLI create-domain-configuration:

   aws iot create-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   A saída desse comando pode ser semelhante à seguinte:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

   Se você criar uma nova configuração de domínio sem especificar a política de segurança, o valor será definido por padrão como: IoTSecurityPolicy_TLS13_1_2_2022_10.

2. Para descrever as configurações de TLS usando o comando CLI describe-domain-configuration:

   aws iot describe-domain-configuration \
       --domain-configuration-name domainConfigurationName

   Esse comando pode retornar os detalhes da configuração do domínio que incluem as configurações de TLS, como as seguintes:

   {
    "tlsConfig": {
    "securityPolicy": "IoTSecurityPolicy_TLS13_1_2_2022_10"
    }, 
    "domainConfigurationStatus": "ENABLED", 
    "serviceType": "DATA", 
    "domainType": "AWS_MANAGED", 
    "domainName": "d1234567890abcdefghij-ats.iot.us-west-2.amazonaws.com",
    "serverCertificates": [], 
    "lastStatusChangeDate": 1678750928.997, 
    "domainConfigurationName": "test", 
    "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

3. Para atualizar as configurações de TLS usando o comando CLI update-domain-configuration:

   aws iot update-domain-configuration \
       --domain-configuration-name domainConfigurationName \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   A saída desse comando pode ser semelhante à seguinte:

   {
   "domainConfigurationName": "test",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/test/34ga9"
   }

4. Para atualizar as configurações de TLS do endpoint do ATS, execute o comando CLI update-domain-configuration. O nome de configuração do domínio para o endpoint do ATS é iot:Data-ATS.

   aws iot update-domain-configuration \
       --domain-configuration-name "iot:Data-ATS" \
       --tls-config securityPolicy=IoTSecurityPolicy_TLS13_1_2_2022_10

   A saída do comando pode ser semelhante à seguinte:

   {
   "domainConfigurationName": "iot:Data-ATS",
   "domainConfigurationArn": "arn:aws:iot:us-west-2:123456789012:domainconfiguration/iot:Data-ATS"
   }

Para obter mais informações, consulte CreateDomainConfiguratione UpdateDomainConfigurationna Referência AWS da API.