AWS IoT: ресурс в причине политики AWS IoT PublishIn Status: AUTHORIZATION_ERROR - PullRequest
Новая
       12

AWS IoT: ресурс в причине политики AWS IoT PublishIn Status: AUTHORIZATION_ERROR

0 голосов
/ 29 февраля 2020

Я публикую сообщения от датчика температуры на AWS IoT Core, используя AWSIoTPythonSDK. Когда я явно указываю темы в качестве ресурса в политике сертификатов, я получаю AUTHORIZATION_ERROR в Cloudwatch

Примечание: PrincipleID (имя сертификата) изменено для безопасности 

2020-02-22T20:03:48.371-07:00
2020-02-23 03:03:48.371 TRACEID:2a0de6c8-dd28-586e-671f-119de983b5d5 PRINCIPALID:9ec115f5665XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0d7d6b7 /ERROR/ EVENT:PublishEvent TOPICNAME:topic/tSensor01/tempmon MESSAGE:PublishIn Status: AUTHORIZATION_ERROR Failure reason:AUTHORIZATION_FAILURE
@ingestionTime
1582427034767
@log
549210374177:AWSIotLogs
@logStream
a2d5c94d-f908-4e76-bd9e-3627976e8b72_549210374177_0
@message
2020-02-23 03:03:48.371 TRACEID:2a0de6c8-dd28-586e-671f-119de983b5d5 PRINCIPALID:9ec115f5665XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0d7d6b7 /ERROR/ EVENT:PublishEvent TOPICNAME:topic/tSensor01/tempmon MESSAGE:PublishIn Status: AUTHORIZATION_ERROR Failure reason:AUTHORIZATION_FAILURE

Вот моя политика сертификатов (отображается только iot: Publi sh), который вызывает AUTHORIZATION_ERROR 

"Statement": [
{
"Effect": "Allow",
"Action": [
"iot:Publish",
"iot:Receive"
],
"Resource": [
"arn:aws:iot:<region>:<account id>:topic/${iot:Connection.Thing.ThingName}/*",
"arn:aws:iot:<region>:<account id>:topic/${iot:ClientId}/*",
"arn:aws:iot:<region>:<account id>:topic/tSensor01/*",
"arn:aws:iot:<region>:<account id>:topic/tSensor01/tempmon"
]
},

Однако, чтобы изолировать проблему, я использовал метод грубой силы (не приемлемо), добавив следующую строку arn: aws: iot ::: * в политику и сообщения от устройства публикуются. 

{
"Effect": "Allow",
"Action": [
"iot:Publish",
"iot:Receive"
],
"Resource": [
"arn:aws:iot:<region>:<account id>:topic/${iot:Connection.Thing.ThingName}/*",
"arn:aws:iot:<region>:<account id>:topic/${iot:ClientId}/*",
"arn:aws:iot:<region>:<account id>:topic/tSensor01/*",
"arn:aws:iot:<region>:<account id>:topic/tSensor01/tempmon",
"arn:aws:iot:<region>:<account id>:*"
]
},

Такой метод грубой силы недопустим, и я хотел бы знать причину root.

Подключение устройства работает нормально. Поэтому можно с уверенностью предположить, что моя учетная информация не является проблемой

Ниже приведена трассировка соединения в журнале Cloudwatch 

2020-02-22T20:03:48.314-07:00
2020-02-23 03:03:48.314 TRACEID:f801f2bb-147f-5c94-2e2e-7d63d7cacd26 PRINCIPALID:9ec115f5665XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0d7d6b7 /INFO/ EVENT:MQTT Client Connect MESSAGE:Connect Status: SUCCESS
@ingestionTime
1582427034767
@log
549210374177:AWSIotLogs
@logStream
a2d5c94d-f908-4e76-bd9e-3627976e8b72_549210374177_0
@message
2020-02-23 03:03:48.314 TRACEID:f801f2bb-147f-5c94-2e2e-7d63d7cacd26 PRINCIPALID:9ec115f5665XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0d7d6b7 /INFO/ EVENT:MQTT Client Connect MESSAGE:Connect Status: SUCCESS

Спасибо

1 Ответ

0 голосов
/ 16 марта 2020

Мне удалось решить проблему. В политике сертификатов не было проблем. Проблема заключалась в том, что я передавал AWS Device SDK. Я передавал topic / tSensor01 / tempmon Вместо этого, когда я передавал tSensor01 / tempmon в SDK, это решило проблему. topi c может рассматриваться как услуга и НЕ ДОЛЖНА передаваться в SDK

...