认证授权专题(三) : Cognito Identity Pool + IoT Core 实现 Mobile 端用户对设备权限的精细化控制

场景概述

目前，越来越多的Iot厂商会开发自己的APP，使得终端用户可以通过APP绑定自己的设备，检测自己设备的实时情况，并且对设备做即时的控制。在此场景下，Mobile端的终端用户应该只能发布消息到自己的设备。用户和设备的关系可能是一对多或者多对多,比如同一个user拥有多个设备，用户A只能发布消息到/userA/deviceX的topic中；多个设备可能受同时受多人控制，此时用户B和C都有权限发布消息到/device2/temp下。本文考虑到此两种场景并做展开，利用Cognito和AWS Iot Core，实现终端对设备的精细化控制权限管理。

架构图

通过cognito user pool，无需自己coding，即可轻松实现用户的注册、登录、注销等基本操作。Cognito Identity Pool可以与cognito user pool或是其他第三方账号(如google，facebook)做对接，利用IAM Role实现对AWS资源的精细化控制。本文同时使用cognito User Pool和cognito identity Pool，实现对Iot Core的访问管理。终端用户通过cognito user pool的用户池，获得登录token，通过此登录成功的token，拿到cognito Identity Pool Authorized Role的身份，使得他有权访问Iot Core并且只能发布消息到自己的设备控制topic。用户的登录ID和设备之间的绑定关系存储在AWS NoSQL数据库DynamoDB当中，用户只能发布消息到自己的Iot设备。

先决条件

0. 拥有AWS账号
1. 安装 AWS Iot JavaScript SDK
2. 安装Browserify将AWS IoT JavaScript SDK(Nodejs版本)转化为浏览器可以直接引用的JavaScript包.

操作步骤

第一步：资源配置

0. 创建dynamoDB table

创建名称为iot的table，将IdentityId为主键，其他的保留默认值即可. 此table主要用来维护用户id和设备id之间的mapping关系。

1. 创建cognito用户池user pool

输入user pool名称（如cognito-user-pool-for-iot），review defaults, 并根据需求做自定义修改（如可以修改necessary attributes，密码长度等），此demo均利用默认值。

2. 创建并配置应用客户端app client

选择应用客户端，取消generate client secret的选项

在左侧APP-Integration项目下，需要我们修改的有2个地方，一是APP client setting，修改callback URL以及scope token作用范围，二是自定义domain name（需要全region唯一）

注意：localhost:8000仅在测试环境中使用。实际生产环境，这里的callback请修改为https的网址，注意：不支持http协议。请勿写入http://ip等形式。

记下userPoolID和app Client ID，在下一步骤中会用到。

3. 创建cognito identity pool

命名完毕后，对于authentication provider, 选择Cognito. 输入上一步记下的两个ID：user pool ID(User Pools → demo-pool → General Settings → Pool ID)以及app client ID(User Pools → demo-pool → App Integration → App client settings → demo-app-client→ ID)， 同时我们可以勾选允许unauth用户访问。

4. 设置cognito identity pool权限：授予Iot和DDB的访问权限

在点击创建后，进入到权限设置页面。可以在这里直接设置，也可以后续在IAM role当中随时更新policy。
Identity pool会自动创建两个role，一种为unauthorized，即未登录仅游客身份的用户，可自行为此类用户授予一些基本的浏览权限；另外一种为authorized，成功验证身份的用户。

在本文当中，我们主要实现的功能为登录用户可以并且只能访问到隶属于自己的设备，未登录用户仅能网页浏览并且有登录选项。 因此，对于授权用户我们赋予对用户自己的id下的设备有着“iot:Connect”, “iot:Publish”, “iot:Subscribe”, “iot:Receive”, “iot:GetThingShadow”的允许权限，以及访问dynamoDB，和修改dynamoDB的权限。${cognito-identity.amazonaws.com:sub}为从cognito-user-pool传递过来的变量，标记用户的identityID。每个user不同且唯一。我们通过此值来限定不同user之间的访问权限。

• 对于authorized users. 请下载IAM policy并且替换以下参数：
  • 请将替换为自己的12位ID（去掉<>两个尖括号）
  • 请将去掉尖括号替换为自己使用的区域（去掉<>两个尖括号），如日本为ap-northeast-1，virginia为us-east-1,如使用其他region，请务必替换为自己的对应代码，其他region-code请参考此页. 本文使用日本区域ap-northeast-1做演示。 resource完整示例为arn:aws:iot:us-west-1:123456789102:client/${cognito-identity.amazonaws.com:sub}。
• Unauth-Role的policy如下

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mobileanalytics:PutEvents",
        "cognito-sync:*"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

5. 在Iot中添加Iot policy：为Iot授予访问权限

在Iot core当中安全–策略(policy)页面，添加策略，命名cognito-identity-general-policy，具体权限如下。Cognito将通过attachPolicy命令为自己授予这条policy，使得每个Auth user有权限访问Iot且仅能发消息给自己的设备。此段policy也可以在这里找到

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iot:Connect",
      "Resource": "arn:aws:iot:::client/${cognito-identity.amazonaws.com:sub}"
    },
    {
      "Effect": "Allow",
      "Action": "iot:Publish",
      "Resource": "arn:aws:iot:::topic/${cognito-identity.amazonaws.com:sub}/*"
    },
    {
      "Effect": "Allow",
      "Action": "iot:Subscribe",
      "Resource": "arn:aws:iot:::topic/${cognito-identity.amazonaws.com:sub}/*"
    }
  ]
}

#AWSIotDeviceSdk.js
var AwsIot = require('aws-iot-device-sdk');
window.AwsIot = AwsIot; // make it global

terminal> browserify path/to/AWSIotDeviceSdk.js -o bundle.js

AWS.config.region ='<your-region-code>';   //替换为自己的region-code

    var authData = { 
      ClientId:'<your-app-client-id>', // APP client id here, 如5smxxxc7lcetqvao6ed967sq01
      AppWebDomain : '<your-custom-domain>', // 去掉 "https://" 部分. 样例格式：xxx.auth.ap-northeast-1.amazoncognito.com
      TokenScopesArray : ['openid','email'], // like ['openid','email','phone']...
      RedirectUriSignIn : 'http://localhost:8000/',   //只供本地测试，实际生产请写https网址，且必须要和前面控制台中cognito callback设置保持一致，不然会报redirect_mismatch的错误
      RedirectUriSignOut : 'http://localhost:8000/',   //只供本地测试，实际生产请写https网址，且必须要和前面控制台中cognito callback设置保持一致，不然会报redirect_mismatch的错误
      IdentityProvider : '<identity-provider-id>', //替换为自己的identity pool id
          UserPoolId : '<your-user-pool-id>',   //user pool ID,example: ap-northeast-1_410bH7K8x
          AdvancedSecurityDataCollectionFlag : false
    };

    //在onsuccess回调函数当中
    AWS.config.credentials = new AWS.CognitoIdentityCredentials({
        IdentityPoolId: '<identity-provider-id>',//identity provider id,example: ap-northeast-1: xxxxxxxx-xxxx-xxxx-xxxxxx
        Logins: login
    });

  device = AwsIot.device({
      clientId: clientID,
      host: '<your-iot-endpoint>',   //example: xxxxxx.iot.<your-region-code>f.amazonaws.com
      protocol: 'wss',
      accessKeyId: AWS.config.credentials.accessKeyId,   
      secretKey: AWS.config.credentials.secretAccessKey,
      sessionToken: AWS.config.credentials.sessionToken  
  });

  function userButton(auth) {
    var state = document.getElementById('signInButton').innerHTML;
    if (state === "Sign Out") {

      //*************************需自行修改，替换为自己的域名，clientid以及回调地址************************//
      document.getElementById("signInButton").href="https://<your-custom-domain>.auth.<your-region-code>.amazoncognito.com/logout?response_type=code&client_id=<your-client-id>&logout_uri=<your-call-back-url>";
      document.getElementById("signInButton").innerHTML = "Sign In";
      auth.signOut();
      showSignedOut();

    } else {
      //auth.getSession();
      //*************************需自行修改，替换为自己的域名，clientid以及回调地址************************//
      document.getElementById("signInButton").href="https://<your-custom-domain>.auth.<your-region-endpoint>.amazoncognito.com/login?response_type=code&client_id=<your-client-id>&redirect_uri=your-call-back-url>";
      
    }
      
    }

python -m SimpleHTTPServer

  function publishMessage(env) {
    var topic = env.target.topic;
    var msg = env.target.msg;
    //device.publish(topic,msg, function (err) {
    device.publish(topic,msg, { qos: 1 }, function (err) {
          if (err) {
              console.log("failed to publish iot message! ",topic);
              console.error(err);
          } else {
              console.log("published to TopicName: ", topic);
              openTab("messagedetails");
              showMessage("Message Published", "Topic: "+topic , "Message: "+msg);
          }
      });

  }