写点什么

AWS IoT 物联网系列, 第三篇:Certificate Vending Machine – IoT 设备接入 AWS IoT 平台解决方案

  • 2019-10-23
  • 本文字数:3309 字

    阅读完需:约 11 分钟

AWS IoT 物联网系列, 第三篇:Certificate Vending Machine – IoT 设备接入 AWS IoT 平台解决方案

AWS IoT 物联网系列博客

当前物联网环境中,设备类型多种多样,连接方式不一而足。为了帮助读者更好的理解并运用 AWS IoT 相关服务,我们提供了一个完整的 IoT 起步指南,包含设备的注册及上线、设备管理、用户身份及权限管理以及成本控制,通过这一系列的起步指南,也可以快速了解到 AWS IoT 服务如何与 Amazon Alexa 语音助手进行集成。AWS IoT 物联网系列共 8 篇,本篇是该系列的第一篇,其他篇链接请在本文结尾处查看。



背景介绍

为了保证通信的安全性,IoT 设备与 AWS IoT 平台的 MQTT 通信使用基于证书的 TLS 1.2 双向认证体系。所谓的双向认证,即意味着 IoT 设备端需安装 IoT 设备证书,并且,该证书应该由 IoT 平台所使用的 CA 证书进行签发,从而完成 IoT 平台对 IoT 设备端的认证,反之亦然。


为了保证 IoT 设备和 IoT 平台的安全对接,对于 IoT 设备端,需要安装 2 类证书:


  1. IoT 设备证书

  2. IoT 平台 CA 证书


何时应当使用 Certificate Vending Machine?

对于部分已经出厂的 IoT 设备,可能在生产过程中没有预装任何证书,但是又希望这些设备连接至 AWS IoT 平台。此时,Certificate Vending Machine (简称 CVM) 可以作为给 IoT 设备写入相关证书的可行方案,让 IoT 设备自行向 CVM 服务器申请 AWS IoT 平台 CA 根证书与 IoT 设备证书,并且通过 AWS IoT 管理平台控制设备证书权限,确保物联网通信安全。


通过此文档的设计思想和相关源码,开发者可以快速开发出符合自己项目需求的 CVM 系统。但是需要注意,由于默认情况下,原设备没有任何证书进行申请证书阶段的 TLS 认证,所以使用 CVM 的过程中需要注意三点:


  1. IoT 设备与 CVM 系统通信时,原生并没有安全保护手段,所以需要在受信的 DNS 环境下进行,以防中间人攻击。或者采用其他安全链接的方式,例如使用 HTTPS 与 CVM 服务器交互(需要额外证书)。

  2. IoT 设备在利用 CVM 系统申请证书时, IoT 设备本身应该具备唯一标识符用于设备的身份标识,例如序列号,client ID 或者 product ID 等,通过该身份标识符进行证书申请及策略绑定。

  3. 所有通过 CVM 系统申请获发的 IoT 设备证书的 CA 根证书,只可以为 AWS IoT 平台默认使用的 CA 根证书(VeriSign Class 3 Public Primary G5 证书)。如果需要使用自定义的 CA 根证书来进行 IoT 设备证书的签发,请参考另一篇文档 – JITR 证书注册方式,即,为每个设备在出厂前写入独立的 IoT 设备证书和 CA 根证书。

CVM 实现原理

整个 CVM 实现可以分为三个部分: IoT 设备端、CVM 系统和 AWS IoT 平台


A. IoT 设备端需要完成的:


  • 通过 HTTPS 请求证书。

  • 请求时携带设备序列号以及密钥。


B. CVM 系统需要完成的:


  • 向 IoT 设备提供远程访问 API 接口。

  • CVM 系统作为代理向 IoT 平台申请每一个 IoT 设备的证书。

  • 通过校验设备的请求信息与数据库是否一致再决定是否为当前 IoT 设备申请证书, CVM 使用内部 Node.js 语言实现。

  • 使用 AWS 高性能的 NoSQL 数据库 DynamoDB 做为后台用户数据库。该数据库用来保存 IoT 设备出厂时注册的设备 ID、密钥和 IoT 平台 CA 根证书等信息。

  • CVM 系统通过查询 DynamoDB 数据中的关联关系,将 IoT Thing Name,Certificate Policy 以及 Certificate ID 关联至一起。同时,修改 DynamoDB 里的证书状态标识符,避免同一台设备遭到攻击后,重复向 IoT 平台大量申请证书的可能性,从而保证证书与设备的关联唯一性。

CVM 系统的基本工作流程如下:

CVM 系统的具体架构如下:

为了使 CVM 服务端更具稳定与扩展性,可以使用 AWS API GatewayLambda 来部署 CVM。通过这种方式,不需要长时间维护和管理部署在 EC2 上的 CVM,而是通过 IoT 设备的证书申请的需求,灵活的调配 AWS 上的服务资源。



具体如下:


  1. IoT 设备发送相应 API 请求到 API Gateway 申请 IoT 证书

  2. AWS API Gateway 调用申请证书的 Lambda 向 IoT 平台发起证书申请

  3. Lambda 接收到请求后, 查询 DynamoDB 校验请求合法性

  4. 确认当前请求合法之后,通过 API 的形式,向 IoT 平台申请证书

  5. IoT 平台返回新创建的 IoT 设备证书,以及 IoT 设备证书对应的 Certificate ID

  6. 通过查找 DynamoDB 中预先创建的对应关系,根据产品序列号,为当前申请到的证书附加对应的 Thing Name(设备属性)以及 Policy(权限)

  7. 利用 Lambda 进行 IoT 设备证书的策略的绑定以及 DynamoDB 关联关系表里的证书状态标识符更新

  8. 最终 CVM 将 IoT 平台 CA 根证书和 IoT 设备证书返回给 IoT 设备


使用 EC2 替代 API Gateway 与 Lambda 的解决方案,其工作流程与搭建 lambda 的模式基本一致,仅在 IoT 设备与 CVM 系统通信时的调用关系上有所区别



  1. IoT 设备向 CVM 服务器申请 IoT 设备证书

  2. EC2 接收到请求后,访问 MySQL 校验请求合法性

  3. 确认当前请求合法之后,CVM 通过 API 的形式,向 IoT 平台发起获取 IoT 设备证书的请求

  4. IoT 平台返回当前 IoT 设备对应的证书,以及当前证书的 Certificate ID

  5. 通过查找 MySQL 中预先创建的对应关系,根据产品序列号,为当前证书附加对应的 Thing Name(产品属性) 以及 Policy(权限)

  6. CVM 更新 MySQL 的关联关系表中的当前设备的所有关联信息以及证书状态标识符

  7. 最终 CVM 将 IoT CA 根证书和设备证书返回给 IoT 设备


目前 AWS IoT 平台默认所用的根证书(VeriSign Class 3 Public Primary G5)可以到这里下载

安全性说明

为了保证 CVM 系统的安全性,EC2 或者 Lambda 函数需要赋予合适的 IAM 角色, 使得 CVM 系统只能进行其授予的工作权限,以下用 lambda 举例如何为 CVM 系统分配正确的 IAM 角色权限。


首先,需要明确 CVM 系统需要具备以下 IAM 权限才能完成证书的申请及颁发过程:


√ 访问 AWS DynamoDB,用于查询、修改、更新 DynamoDB 中的设备关联表


√ 访问 IoT 平台,用于申请 IoT 设备证书




除 IAM 进行权限划分之外,需要在 DynamoDB 上创建一张关联关系表,用于设备、证书及策略的绑定关系,具体来说,需要在 DynamoDB 中创建如下数据库字段:


  • productid : IoT 设备 ID

  • accessToken: IoT 设备 Token

  • timestamp : 证书申请时间戳

  • applyState : 申请状态(如果申请过证书设置为-1,标记此设备已经注册过证书了)

  • certID : 设备关联的证书 ID

核心代码说明

以下的 CVM server 代码使用了 AWS Node.js SDK 提供的 IoT 接口完成证书申请以及附加对应的 Thing Name 和 Policy。


//使用 createKeysAndCertificate 接口创建证书,此接口返回创建后的证书 ID 以及证书


iot.createKeysAndCertificate (params = {}, callback) ⇒ AWS.Request


# 如果需要使用 CSR 进行证书生成,可以使用以下接口


# iot.createCertificateFromCsr(params = {}, callback) ⇒ AWS.Request


//为证书附加策略,传入上述接口返回的证书 ID


iot.attachPrincipalPolicy(params = {}, callback) ⇒ AWS.Request


//为证书添加 thing,同样是传入上述返回的证书 ID


iot.attachThingPrincipal(params = {}, callback) ⇒ AWS.Request



CVM 系统源码请点击这里

参考链接

Class: AWS.Iot


作者介绍:


刘洪曦


AWS 解决方案架构师,负责基于 AWS 的云计算方案架构的咨询和设计,同时致力于帮助海外企业在 AWS 云服务的应用和推广。在加入 AWS 之前曾在思科担任网络顾问工程师,负责亚太区域物联网及安全业务的拓展及架构设计,在物联网,数据安全,网络架构有丰富部署实践经验。

### 谢佰臻
亚马逊 AWS 解决方案架构师,擅长网站架设与网络应用开发,熟悉使用 Node.js、Html5、Mysql 数据库,对于 Serverless 架构有自己的理解和实践经验。


### AWS IoT 物联网系列其他博客目录如下:
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-1/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-2/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-3/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-4/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-5/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-6/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-7/)
[](https://amazonaws-china.com/cn/blogs/china/aws-iot-series-8/)
复制代码


本文转载自 AWS 技术博客。


原文链接:


https://amazonaws-china.com/cn/blogs/china/aws-iot-series-3/


2019-10-23 08:001040

评论

发布
暂无评论
发现更多内容

VMware Workstation (VM电脑虚拟机)激活精简版

Rose

VMware Fusion破解版下载 虚拟机安装 VM虚拟机密钥

photoshop 2021 对显卡的要求 ps2021中文破解版安装包下载

Rose

ps2021破解版 Photoshop 2021 Photoshop 2021要求

MestReNova 中文版:解析和解释核磁共振(NMR)和质谱(MS)数据

Rose

MestReNova软件 MestReNova14破解版 核磁共振 医学研究

Java实战1

thinkers

线程池、Lambda、Java实战

探索AIGC在腾讯自选股应用

ninetyhe

腾讯 AI 大模型 AIGC

把简单留给用户,把复杂交给 AI

Kyligence

大数据 AI 数据治理 指标平台

二叉搜索树(BST)

贺公子之数据科学与艺术

#算法

C4D 2024.3.2最新破解下载 c4d2024 mac中文版新功能介绍

Rose

3d建模 Cinema 4D 2024 c4d2024

Parallels Desktop 19 虚拟机如何安装?详细PD19图文安装教程 含激活版Windows镜像

Rose

Win11系统下载 Parallels Desktop 19 pd 19 虚拟机安装

手把手带你快速上手香橙派AIpro

华为云开发者联盟

人工智能 华为云 昇腾 华为云开发者联盟 AI开发板

有道QAnything背后的故事---关于RAG的一点经验分享

有道技术团队

语言 & 开发 #开源

阿里云大降价后,与主流云厂商的价格对比,你选哪家?

NineData

数据库 阿里云 服务器 云厂商 阿里云降价

王牌驼:带领4亿中国中老年群体领跑「精准营养」新时代

科技热闻

常用的Linux命令;Linux常用命令用法及实现方式

小魏写代码

Axure RP 9 与其他原型设计工具的比较:为何它是您的最佳选择?

Rose

原型设计 Axure RP 9汉化 Axure RP 9授权码

WebSocket 连接保持方法详解

Apifox

程序员 前端 后端 websocket 长连接

英特尔x爱立信:以开放式移动网络加速未来关键领域数字化转型

E科讯

运维一款月变更70+次的服务,是一种什么体验?

华为云开发者联盟

开发 华为云 华为云开发者联盟

马帮ERP与ETLCloud快速同步

RestCloud

数据同步 ETL 数据集成 ERP

App应用程序(概念、开发步骤、技术要点介绍)

天津汇柏科技有限公司

定制软件开发 app定制开发 软件开发定制

软件测试管理进阶,快速掌握高效沟通的汇报技巧

测试人

软件测试 自动化测试 测试开发 测试管理

文心一言变身虚拟患者,助力医学生轻松开启「实践模式」

飞桨PaddlePaddle

百度 paddle 百度飞桨 开发者说 文心一言

测试管理进阶 | 快速掌握高效沟通的汇报技巧

测吧(北京)科技有限公司

测试

资深项目管理者教你快速掌握高效沟通的汇报技巧

霍格沃兹测试开发学社

软件测试学习笔记丨 k8s环境部署实战

测试人

软件测试 测试开发

Solidity案例详解(四)投票智能合约

BSN研习社

区块链 Solidity

易点天下旗下出海应用数据分析与增长模型平台即将发布,一大波内测福利正在袭来!

新消费日报

文心一言 VS 讯飞星火 VS chatgpt (205)-- 算法导论15.4 1题

福大大架构师每日一题

福大大架构师每日一题

Module2作业

大鹏

哪里有office2016安装包?office2016下载含激活工具

Rose

office办公套件 office2016

AWS IoT 物联网系列, 第三篇:Certificate Vending Machine – IoT 设备接入 AWS IoT 平台解决方案_语言 & 开发_亚马逊云科技 (Amazon Web Services)_InfoQ精选文章