使用具有Cognito认证用户的web套接字连接到AWS IoT

Question

我正在尝试从浏览器使用web套接字连接到AWS IoT。

我试过这个例子：https://github.com/awslabs/aws-iot-examples/tree/master/mqttSample

还有一个稍微修改了一下，以便可以与Cognito身份池登录的用户一起使用。https://github.com/dwyl/learn-aws-iot/blob/master/src/js/utils/request.js#L27

如果我使用具有有效物联网策略的IAM用户，我可以成功连接，但如果我使用用户凭据，我会收到“101交换协议”响应，但随后它会关闭。

与经过身份验证的用户关联的IAM角色是正确的，我可以签署请求并执行其他私有操作，如调用APIGendpoint。此外，套接字连接不响应403。所以这可能不是权限问题。

还可能是什么？

Answer 1

下面是一个代码示例，用于从Lambda（NodeJS）函数将IoT策略附加到Cognito用户id。

function attachPrincipalPolicy(device_id, cognito_user_id) {
    const iotMgmt = new AWS.Iot();
    return new Promise(function(resolve, reject) {
        let params = {
            policyName: device_id + '_policy',
            principal: cognito_user_id
        };
        console.log("Attaching IoT policy to Cognito principal")
        iotMgmt.attachPrincipalPolicy(params, (err, res) => {
            if (err) {
                console.error(err);
                reject(err);
            } else {
                resolve();
            }
        });
    });
}

Answer 2

为了在前端实现凯勒的答案，我必须做几件事：

1. 通过转到物联网控制台创建物联网策略（名为“默认”）

然后我将前端代码更新为：

AWS.config.region = process.env.AWS_REGION;
AWS.config.credentials = new AWS.CognitoIdentityCredentials({
  IdentityPoolId: process.env.AWS_IDENTITY_POOL,
  Logins: {
    'graph.facebook.com': FACEBOOK_ACCESS_TOKEN
  }
});
AWS.config.credentials.get(() => {
  const IoT = new AWS.Iot();
  IoT.attachPrincipalPolicy({
    policyName: 'default',
    principal: AWS.config.credentials.identityId
  }, (err, res) => {
    if (err) console.error(err);
    // Connect to AWS IoT MQTT
  });
});

Answer 3

对于未经身份验证的cognito身份，“身份池未经身份验证”角色足以允许连接到IoT MQTT代理。然而，对于经过身份验证的cognito身份，需要两件事：

>

您必须使用AttachPrindal策略API将物联网策略（与附加到您的设备上的策略完全相同）附加到认知标识

第二步是我今天早些时候卡住的地方，因为在任何地方都不太清楚需要这样做。

AFAIK无法从任何AWS网站将IoT策略附加到cognito用户。但是，如果您的计算机上设置了AWS命令行界面，则可以从那里进行设置。该命令如下所示：

aws iot attach-principal-policy --policy-name <iot-policy-name> --principal <cognito-identity-id>

可以使用联邦标识找到cognito标识id

对于生产系统，您显然希望自动附加此策略，可能在用户注册时使用lambda函数。

文档中关于需要附加物联网策略的部分可以在此页面上找到：

要使经过身份验证的Amazon Cognito标识在AWS帐户中的topic1上通过HTTP发布MQTT消息，必须指定两个策略，如下所述。第一个策略必须附加到Amazon Cognito标识池角色，并允许该池中的标识进行发布调用。第二个策略使用AWS IoT AttachPrincipalPolicy API附加到Amazon Cognito用户，并允许指定的Amazon Cognito用户访问topic1主题。