本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

的裝置身分驗證和授權 AWS IoT Greengrass

AWS IoT Greengrass 環境中的裝置會使用 X.509 憑證進行身分驗證，並使用 AWS IoT 政策進行授權。憑證和原則允許裝置彼此、與 AWS IoT Core和 AWS IoT Greengrass安全地連線。

X.509 憑證為數位憑證，採用 X.509 公有金鑰基礎架構標準，將公有金鑰與憑證內含的身分建立關聯。X.509 憑證是由稱為憑證授權機構 (CA) 的受信任實體所發行。CA 負責維護一個或多個稱為憑證授權機構憑證的特殊憑證，用以發行 X.509 憑證。僅憑證授權機構可存取憑證授權機構憑證。

AWS IoT 政策定義 AWS IoT 裝置允許的一組操作。具體而言，它們允許和拒絕對 AWS IoT Core 和 AWS IoT Greengrass 資料平面操作的存取，例如發佈 MQTT 訊息和擷取裝置影子。

所有裝置都需要 AWS IoT Core 登錄檔中的項目，以及已連接 AWS IoT 政策的已啟用 X.509 憑證。裝置可分為兩類：

X.509 憑證

核心裝置和用戶端裝置之間的通訊，以及裝置和 AWS IoT Core 或 之間的通訊 AWS IoT Greengrass 必須經過身分驗證。此相互驗證是根據已註冊的 X.509 裝置憑證和加密金鑰。

在 AWS IoT Greengrass 環境中，裝置使用具有公有和私有金鑰的憑證進行下列 Transport Layer Security (TLS) 連線：

AWS IoT Greengrass 核心裝置會將憑證存放在 Greengrass 根資料夾中。

憑證授權機構 (CA) 憑證

Greengrass 核心裝置和用戶端裝置會下載根 CA 憑證，用於使用 AWS IoT Core 和 AWS IoT Greengrass 服務進行身分驗證。我們建議您使用 Amazon Trust Service (ATS) 根憑證授權機構憑證，例如 Amazon 根 CA 1。如需詳細資訊，請參閱《 AWS IoT Core 開發人員指南》中的伺服器身分驗證 CA 憑證。

用戶端裝置也會下載 Greengrass 核心裝置 CA 憑證。他們使用此憑證在相互身分驗證期間驗證核心裝置上的 MQTT 伺服器憑證。

本機 MQTT 代理程式上的憑證輪換

當您啟用用戶端裝置支援時，Greengrass 核心裝置會產生本機 MQTT 伺服器憑證，供用戶端裝置用於相互身分驗證。此憑證由核心裝置 CA 憑證簽署，核心裝置會存放在 AWS IoT Greengrass 雲端。用戶端裝置會在發現核心裝置時擷取核心裝置 CA 憑證。他們使用核心裝置 CA 憑證，在連線至核心裝置時驗證核心裝置的 MQTT 伺服器憑證。核心裝置 CA 憑證會在 5 年後過期。

MQTT 伺服器憑證預設會每 7 天過期一次，而且您可以將此持續時間設定為 2 到 10 天。此有限期間是依據安全最佳實務。此輪換有助於減輕攻擊者竊取 MQTT 伺服器憑證和私有金鑰以模擬 Greengrass 核心裝置的威脅。

Greengrass 核心裝置會在 MQTT 伺服器憑證過期前 24 小時輪換 MQTT 伺服器憑證。Greengrass 核心裝置會產生新的憑證，並重新啟動本機 MQTT 代理程式。發生這種情況時，連接到 Greengrass 核心裝置的所有用戶端裝置都會中斷連線。用戶端裝置可以在短時間內重新連線至 Greengrass 核心裝置。

AWS IoT 資料平面操作的 政策

使用 AWS IoT 政策來授權存取 AWS IoT Core 和 AWS IoT Greengrass 資料平面。 AWS IoT Core 資料平面可為裝置、使用者和應用程式提供操作。這些操作包括連線至 AWS IoT Core 和訂閱 主題的功能。 AWS IoT Greengrass 資料平面提供 Greengrass 裝置的操作。如需詳細資訊，請參閱AWS IoT Greengrass V2 政策動作。這些操作包括解析元件相依性及下載公有元件成品的功能。

AWS IoT 政策是類似 IAM 政策的 JSON 文件。它包含一或多個指定下列屬性的政策陳述式：

AWS IoT 政策支援*做為萬用字元，並將 MQTT 萬用字元 (+ 和 #) 視為文字字串。如需*萬用字元的詳細資訊，請參閱AWS Identity and Access Management 《 使用者指南》中的在資源 ARNs 中使用萬用字元。

如需詳細資訊，請參閱《 AWS IoT Core 開發人員指南》中的AWS IoT 政策和AWS IoT 政策動作。

AWS IoT Greengrass V2 政策動作

AWS IoT Greengrass V2 定義下列政策動作，Greengrass 核心裝置和用戶端裝置可在 AWS IoT 政策中使用。若要指定政策動作的資源，您可以使用 資源的 Amazon Resource Name (ARN)。

更新核心裝置的 AWS IoT 政策

您可以使用 AWS IoT Greengrass 和 AWS IoT 主控台或 AWS IoT API 來檢視和更新核心裝置的 AWS IoT 政策。

AWS IoT Greengrass V2 核心裝置的最低 AWS IoT 政策

以下範例政策包含支援核心裝置基本 Greengrass 功能所需的最少動作組合。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "arn:aws:iot:region:account-id:client/core-device-thing-name*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive",
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrass/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/greengrassv2/health/json",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/jobs/*",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name/shadow/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iot:AssumeRoleWithCertificate",
            "Resource": "arn:aws:iot:region:account-id:rolealias/token-exchange-role-alias-name"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetComponentVersionArtifact",
                "greengrass:ResolveComponentCandidates",
                "greengrass:GetDeploymentConfiguration",
                "greengrass:ListThingGroupsForCoreDevice"
            ],
            "Resource": "*"
        }
    ]
}

支援用戶端裝置的最少 AWS IoT 政策

下列範例政策包含支援與核心裝置上的用戶端裝置互動所需的最低動作集。若要支援用戶端裝置，核心裝置除了基本操作的最低 AWS IoT 政策之外，還必須具有此 AWS IoT 政策中的許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topicfilter/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/update/delta",
                "arn:aws:iot:region:account-id:topic/$aws/things/core-device-thing-name-gci/shadow/get/accepted"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:PutCertificateAuthorities",
                "greengrass:VerifyClientDeviceIdentity"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:VerifyClientDeviceIoTCertificateAssociation"
            ],
            "Resource": "arn:aws:iot:region:account-id:thing/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:GetConnectivityInfo",
                "greengrass:UpdateConnectivityInfo"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/core-device-thing-name"
            ]
        }
    ]
}

用戶端裝置的最低 AWS IoT 政策

下列範例政策包含用戶端裝置透過 MQTT 連線和通訊時，探索核心裝置所需的最低動作集。用戶端裝置的 AWS IoT 政策必須包含 greengrass:Discover動作，以允許裝置探索其相關聯 Greengrass 核心裝置的連線資訊。在 Resource區段中，指定用戶端裝置的 Amazon Resource Name (ARN)，而非 Greengrass 核心裝置的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iot:Connect"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Publish"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Subscribe"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topicfilter/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:Receive"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:topic/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:Discover"
            ],
            "Resource": [
                "arn:aws:iot:region:account-id:thing/*"
            ]
        }
    ]
}