使用 Amazon IoT Core 凭证提供程序授予直接调用Amazon服务的权限

配置凭证提供程序代表您的设备代入的 IAM 角色。将以下信任策略附加到该角色。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "credentials.iot.amazonaws.com"},
        "Action": "sts:AssumeRole"
    }
} 

对于要调用的每个Amazon服务，将访问策略附加到该角色。凭证提供程序支持以下策略变量：

当设备在向Amazon服务发出的请求中提供了事物名称时，凭证提供程序会将 credentials-iot:ThingName 和 credentials-iot:ThingTypeName 作为上下文变量添加到安全令牌。如果设备没有在请求中提供事物名称，则凭证提供程序将提供 credentials-iot:AwsCertificateId 作为上下文变量。您将事物名称作为 x-amzn-iot-thingname HTTP 请求标头的值进行传递。

这三个变量仅适用于 IAM policy，而不适用于 Amazon IoT Core 策略。

确保执行下一步（创建角色别名）的用户有权将新创建的角色传递给 Amazon IoT Core。以下策略将 iam:GetRole 和 iam:PassRole 权限都提供给了Amazon用户。iam:GetRole 权限可让用户获取有关您刚创建的角色的信息。iam:PassRole 权限可让用户将角色传递给其它 Amazon 服务。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:GetRole",
            "iam:PassRole"
        ],
        "Resource": "arn:aws:iam::your Amazon Web Services 账户 id:role/your role name"
    }
} 

创建 Amazon IoT Core 角色别名。打算直接调用Amazon服务的设备必须知道在连接到 Amazon IoT Core 时要使用的角色 ARN。对角色 ARN 进行硬编码并不是一个很好的解决方案，因为它需要您在角色 ARN 发生更改时更新设备。更好的解决方案是使用 CreateRoleAlias API 创建一个指向角色 ARN 的角色别名。如果角色 ARN 发生更改，您只需更新角色别名。无需在设备上进行任何更改。此 API 接受以下参数：

相关此 API 的更多信息，请参阅 CreateRoleAlias。

将策略附加到设备证书。附加到设备证书的策略必须向设备授予代入角色的权限。您可以通过授予对角色别名执行 iot:AssumeRoleWithCertificate 操作的权限来做到这一点，如以下示例所示。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"iot:AssumeRoleWithCertificate",
         "Resource":"arn:aws:iot:your region:your_aws_account_id:rolealias/your role alias"
      }
   ]
}

向凭证提供程序发出 HTTPS 请求来获取安全令牌。提供以下信息：

在 Amazon CLI 中运行以下命令以获取您Amazon Web Services 账户的凭证提供程序终端节点。相关此 API 的更多信息，请参阅 DescribeEndpoint。

aws iot describe-endpoint --endpoint-type iot:CredentialProvider

以下 JSON 对象是 describe-endpoint 命令的示例输出。它包含您用于请求安全令牌的 endpointAddress。

{
    "endpointAddress": "your_aws_account_specific_prefix.credentials.iot.your region.amazonaws.com"
} 

使用终端节点向凭证提供程序发出 HTTPS 请求以返回安全令牌。以下示例命令使用 curl，但您可以使用任何 HTTP 客户端。

curl --cert your certificate --key your device certificate key pair -H "x-amzn-iot-thingname: your thing name" --cacert AmazonRootCA1.pem https://your endpoint /role-aliases/your role alias/credentials

此命令返回包含 accessKeyId、secretAccessKey、sessionToken 和过期的安全令牌对象。以下 JSON 对象是 curl 命令的示例输出。

    {"credentials":{"accessKeyId":"access key","secretAccessKey":"secret access key","sessionToken":"session token","expiration":"2018-01-18T09:18:06Z"}}
                    

然后，您可以使用 accessKeyId、secretAccessKey 和 sessionToken 值来对向Amazon服务发出的请求进行签名。有关演 end-to-end 示，请参阅Amazon安全博客中的如何通过使用Amazon凭证提供程序使设备中不再需要硬编码Amazon IoT凭证。