一文了解 Amazon Web Services 物联网云应用系统的用户管理体系「物联网」

本文将会介绍一种基于 x.509 证书的认证方式，并结合 Amazon Identity and Access Management (IAM) 服务完成对相关资源的授权

企业在 Amazon Web Services 上构建自己的物联网云应用系统时，常常需要授权应用系统的最终用户直接访问 Amazon Web Services 资源（例如：允许最终用户访问非公开权限的 Amazon S3 存储桶）。Amazon Web Services 通过 Identity and Access Management (IAM) 服务授权用户访问 Amazon Web Services 资源。在面对最终用户时，企业可以选择 Amazon Cognito 结合 IAM 从应用程序端控制 Amazon Web Services 资源访问。这需要企业将 Amazon Cognito 与管理最终用户的身份提供商（IDP, Identity Provider）进行集成，以实现 Amazon Web Services 资源访问控制 [1]。

本文将会介绍一种基于 x.509 证书的认证方式，并结合 Amazon Identity and Access Management (IAM) 服务完成对相关资源的授权。从实现角度上看，该方式具有如下特点：

无需与第三方 IDP 即成，实现简单；
无需预付费用，适合对成本敏感的企业；
基于 509 的认证方式，安全可靠

在 Amazon Web Services 上，用户可以通过 Amazon Certificate Manager 或 Amazon IoT 服务获取 x.509 证书。本文所介绍的方案涉及到基于证书的认证、授权，将使用 Amazon IoT 服务对证书进行管理。

在介绍方案之前，先来简要介绍一下 Amazon IoT [2] 服务。Amazon IoT 通过“物品 (Thing)”、“证书 (Certificate)”、“策略 (Policy)”来管理物联设备。物品可以属于一个或多个物品组 (Thing Group)，策略可以关联给物品、物品组、或物品组中包含的其它物品组。此外，物品还可以属于某一种物品类型 (Thing Type)，属于物品类型的物品可以拥有最多 50 个属性 (Attribute) 用于描述物品，而不属于任何物品类型的物品最多只能拥有 3 个属性。下图所表示的是它们之间的对应关系：

借助 Amazon IoT 证书实现对最终用户的认证、授权管理，本质上就是将最终用户在逻辑上视作一个物联设备，借助 Amazon IoT 中的“物品”及物品属性的概念管理用户信息，利用 Amazon IoT 证书的认证、授权过程实现针对最终用户的认证、授权。接下来，我将进一步阐述这一对应关系。

概念对应关系

用户信息 vs 物品属性：
通常，在应用系统中进行用户管理时往往需要一个数据库来记录用户信息，例如记录用户的 ID、姓名、电话、邮箱等。Amazon IoT 中的物品可以通过属性的方式来记录物品的元数据，这些元数据可以用来表示最终用户的基本信息。
用户组 vs 物品组：
用户组通常用来简化对一批同类用户进行授权的过程。在 Amazon IoT 服务中，物品组在关联策略之后可以向组内所有物品进行统一授权，这与用户组的概念非常接近。本文中的方法也是用 Amazon IoT 物品组代表用户组。
公司/组织 vs 物品类型：
每一个物品仅能属于一个物品类型，正如一个用户往往只属于一个公司或组织。在本文中将使用 Amazon IoT 物品类型代表现实中的公司。这对于那些多租户的 SaaS 应用非常必要。

整体对应关系如下表示：