驗證和授權用戶端裝置

使用用戶端裝置驗證 IPC 服務來開發自訂本機代理程式元件，讓本機 IoT 裝置 (例如用戶端裝置) 可以連線。

要使用這些 IPC 操作，請將客戶端設備身份驗證組件的版本 2.2.0 或更高版本作為自定義組件的依賴項。然後，您可以在自訂元件中使用 IPC 操作來執行以下操作：

最低 SDK 版本

下表列出與用戶端裝置驗證 IPC 服務互動時必須使用的最低版本。AWS IoT Device SDK

授權

若要在自訂元件中使用用戶端裝置驗證 IPC 服務，您必須定義允許元件執行這些作業的授權原則。如需定義授權原則的資訊，請參閱授權元件執行 IPC 作業。

用戶端裝置驗證和授權的授權原則具有下列屬性。

IPC 服務識別碼：aws.greengrass.clientdevices.Auth

授權政策範例

您可以參考下列授權原則範例，協助您設定元件的授權原則。

{
  "accessControl": {
    "aws.greengrass.clientdevices.Auth": {
      "com.example.MyLocalBrokerComponent:clientdevices:1": {
        "policyDescription": "Allows access to authenticate and authorize client devices.",
        "operations": [
          "aws.greengrass#VerifyClientDeviceIdentity",
          "aws.greengrass#GetClientDeviceAuthToken",
          "aws.greengrass#AuthorizeClientDeviceAction",
          "aws.greengrass#SubscribeToCertificateUpdates"
        ],
        "resources": [
          "*"
        ]
      }
    }
  }
}

VerifyClientDeviceIdentity

驗證用戶端裝置的身分。此作業會驗證用戶端裝置是否為有效AWS IoT物件。

請求

此操作的請求具有以下參數：

回應

此作業的回應包含下列資訊：

GetClientDeviceAuthToken

驗證用戶端裝置的認證，並為用戶端裝置建立工作階段。此作業會傳回工作階段 Token，您可以在後續要求中使用它來授權用戶端裝置動作。

若要成功連接用戶端裝置，用戶端裝置驗證元件必須授予用戶端裝置所使用之用戶端 ID 的mqtt:connect權限。

請求

此操作的請求具有以下參數：

回應

此作業的回應包含下列資訊：

AuthorizeClientDeviceAction

確認用戶端裝置是否具有對資源執行動作的權限。用戶端裝置授權原則會指定用戶端裝置在連線至核心裝置時可執行的權限。您可以在設定用戶端裝置驗證元件時定義用戶端裝置授權原則。

請求

此操作的請求具有以下參數：

回應

此作業的回應包含下列資訊：

SubscribeToCertificateUpdates

訂閱以在每次核心裝置循環時接收核心裝置的新伺服器憑證。當伺服器憑證輪換時，代理程式必須使用新的伺服器憑證重新載入。

根據預設，用戶端裝置驗證元件會每 7 天輪換一次伺服器憑證。您可以將輪換間隔設定為 2 到 10 天之間。

此作業是訂閱作業，您可以在其中訂閱事件訊息串流。若要使用此作業，請定義具有處理事件訊息、錯誤和資料流結束之函數的串流回應處理常式。如需詳細資訊，請參閱 訂閱 IPC 事件串流。

事件訊息類型：CertificateUpdateEvent

請求

此操作的請求具有以下參數：

回應

此作業的回應包含下列資訊：