AWS IoT JSON形式のテンプレートを使ってデバイスを自動登録する (Just-in-Time Provisioning)

こんにちは、hagiwaraです。 AWS IoTでデバイス(モノ)を初回接続時に自動登録することができます。その方法が2種類あります。Just-in-Time Registration (JITR)とJust-in-Time Provisioning (JITP)です。今回は後者のJITPを試してみました。 前者のJITRについては、高橋さんのブログを参照してください。

AWS IoTを使用しているので「デバイス」ではなく「モノ」という単語を使うべきとも思いましたが、個人的に「モノ」が脳内でゲシュタルト崩壊？してしまったので、「デバイス」で統一しています。

JITRとJITPの違い

両者の異なる点は、デバイスをAWS Lambdaを使用して登録するのか、JSON形式のプロビジョニング用テンプレートを元に登録するのかという点です。CA証明書および検証用証明書をAWSに設定する点は同じです。

上の図は、オフィシャルブログに記載されているものを元に記載しました。 どちらを採用するかの判断は、Lambdaで細かいカスタマイズをする必要がある場合はJITR、テンプレートで事足りる場合はJITPといった感じでしょうか。

セットアップ

JITPの設定を行なっていきます。

1. 独自のCA証明書および検証用証明書の作成

ここは、JITRと同様です。

1-1 CA証明書作成

# キーペア作成
openssl genrsa -out rootCA.key 2048

# 証明書作成
CA_SUBJ="/C=JP/ST=Tokyo/L=Tokyo/O=MyOrg/OU=MyOU/CN=RootCA"
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem -subj "$CA_SUBJ"

1-2 検証用証明書作成

# キーペア作成
openssl genrsa -out verificationCert.key 2048

# AWS IoTのユーザーCA登録コード取得
CODE=`aws iot get-registration-code --output text`

# コモンネームに登録コードを設定してCSRを作成
VC_SUBJ="/C=JP/ST=Tokyo/L=Tokyo/O=MyOrg/OU=verification/CN=${CODE}"
openssl req -new -key verificationCert.key -out verificationCert.csr -subj "$VC_SUBJ"

# 証明書を作成
openssl x509 -req -in verificationCert.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out verificationCert.pem -days 500 -sha256

2. デバイスを自動登録するロールの作成

JITPを行うIAM Roleを作成します。

2-1 IAM ロール一覧

IAM の画面から [ロールの作成] を選択。

2-2 信頼されたエンティティの種類およびユースケースの選択

信頼されたエンティティはAWSサービス、ユースケースにIoTを選択して次へ。

---

2-3 アクセス権限

必要に応じアクセス権限の境界を設定しますが、今回はなにもせずデフォルトのまま次へ。

2-4 タグ

お好みでタグを追加し次へ。

2-5 確認

ロール名を入力し作成。今回はJITPRoleという名前にしました。

3. デバイスにアタッチするポリシーの作成

テンプレートからポリシーを作成することも可能ですが、そうするとデバイスごとに別のポリシーが作成されてしまいます。今回は共通で使用するポリシーをあらかじめ作成しておきます。

AWS IoT Coreコンソール画面をブラウザで開き、[安全性] → [ポリシー] → [作成] → [アドバンストモード] を選択し、以下を入力して作成しました。

名前 : jitp-things-policy

ステートメント :

{
"Version": "2012-10-17",
"Statement": [
{
"Action": "iot:Connect",
"Resource": "arn:aws:iot:ap-northeast-1:<アカウントID>:client/${iot:Connection.Thing.ThingName}",
"Effect": "Allow"
},
{
"Action": [
"iot:Publish",
"iot:Receive"
],
"Resource": "arn:aws:iot:ap-northeast-1:<アカウントID>:topic/$aws/things/${iot:Connection.Thing.ThingName}/shadow/*",
"Effect": "Allow"
},
{
"Action": "iot:Subscribe",
"Resource": "arn:aws:iot:ap-northeast-1:<アカウントID>:topicfilter/$aws/things/${iot:Connection.Thing.ThingName}/shadow/*",
"Effect": "Allow"
}
]
}

4. テンプレートの作成

4-1 プロビジョニングの設定をテンプレートに記述

以下のようなテンプレートを作成しました。 パラメータの内容についてこちらを参照してください。ポイントはThingNameにデバイス証明書のコモンネームを代入している点と、先ほど作成したポリシーを指定しているところです。 今回は設定していませんが、タイプやグループも指定可能です。その場合はあらかじめそれらを作成しておく必要があります。

{
"Parameters": {
"AWS::IoT::Certificate::CommonName": { "Type": "String" },
"AWS::IoT::Certificate::Country": { "Type": "String" },
"AWS::IoT::Certificate::Id": { "Type": "String" }
},
"Resources": {
"thing": {
"Type": "AWS::IoT::Thing",
"Properties": {
"ThingName": { "Ref": "AWS::IoT::Certificate::CommonName" },
"AttributePayload": { "version": "v1", "country": { "Ref": "AWS::IoT::Certificate::Country" } }
}
},
"certificate": {
"Type": "AWS::IoT::Certificate",
"Properties": {
"CertificateId": { "Ref": "AWS::IoT::Certificate::Id" },
"Status": "ACTIVE"
}
},
"policy": {
"Type": "AWS::IoT::Policy",
"Properties": {
"PolicyName": "jitp-things-policy"
}
}
}
}

4-2 テンプレートとロールを統合

上記テンプレートを文字列にしてtemplateBodyに、先ほど作成したロールをroleArnに設定したファイルを作成します。今回はprovisioning-template.jsonという名前で作成しました。

{
"templateBody": "{\"Parameters\":{\"AWS::IoT::Certificate::CommonName\":{\"Type\":\"String\"},\"AWS::IoT::Certificate::Country\":{\"Type\":\"String\"},\"AWS::IoT::Certificate::Id\":{\"Type\":\"String\"}},\"Resources\":{\"thing\":{\"Type\":\"AWS::IoT::Thing\",\"Properties\":{\"ThingName\":{\"Ref\":\"AWS::IoT::Certificate::CommonName\"},\"AttributePayload\":{\"version\":\"v1\",\"country\":{\"Ref\":\"AWS::IoT::Certificate::Country\"}}}},\"certificate\":{\"Type\":\"AWS::IoT::Certificate\",\"Properties\":{\"CertificateId\":{\"Ref\":\"AWS::IoT::Certificate::Id\"},\"Status\":\"ACTIVE\"}},\"policy\":{\"Type\":\"AWS::IoT::Policy\",\"Properties\":{\"PolicyName\":\"jitp-things-policy\"}}}}",
"roleArn": "arn:aws:iam::<アカウントID>:role/JITPRole"
}

JSON→文字列の変換は、ブラウザのコンソールから雑に... JSON.stringify({templateBody:JSON.stringify(JSON.parse(`<ここにコピペ>`))})

5. CA証明書およびテンプレートの登録

上記で作成したCAを登録し、自動登録の設定を追加します。

# AWSに独自CA証明書を登録
aws iot register-ca-certificate --ca-certificate file://rootCA.pem --verification-cert file://verificationCert.pem

# 以下、上記で返却される証明書ID(certificateId)を使用

# 登録した証明書をアクティブに変更
aws iot update-ca-certificate --certificate-id <証明書ID> --new-status ACTIVE

# テンプレートを指定して自動登録を有効化
aws iot update-ca-certificate --certificate-id <証明書ID> --new-auto-registration-status ENABLE --registration-config file://provisioning-template.json

以上で設定は終了です、次はデバイスの登録を行なっていきます。

デバイスを接続する

先ほど作成した独自のCA証明書から、デバイスごとにデバイス証明書を作成し、それを使用して接続します。 AWS IoT は登録されていない証明書でのアクセスがあった場合、その証明書を検証します。登録されたCAに基づくものであれば、自動で証明書の登録を行い、テンプレートの内容に従ってデバイスの登録を行います。

1. デバイスごとにデバイス証明書を作成

MyJITPThingという名前にして証明書を作成しました。接続に使用する証明書にはCA証明書を含める必要があるので、デバイス証明書とCA証明書を統合します。

# 名前
THING_NAME="MyJITPThing"

# キーペア作成
openssl genrsa -out deviceCert.key 2048

# コモンネームに名前を設定してCSRを作成
DE_SUBJ="/C=JP/ST=Tokyo/L=Tokyo/O=MyOrg/OU=device/CN=${THING_NAME}"
openssl req -new -key deviceCert.key -out deviceCert.csr -subj "$DE_SUBJ"

# 証明書作成
openssl x509 -req -in deviceCert.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 365 -sha256

# デバイス証明書とCA証明書を統合
cat deviceCert.crt rootCA.pem > deviceCertAndCACert.crt

2. AWSサーバー接続用の証明書を取得

AWSサーバー認証用の証明書をダウンロードしておきます。AWS ドキュメント

curl https://www.amazontrust.com/repository/AmazonRootCA1.pem > root.cert

3. AWS IoT に接続する

mosquitto_sub を使って未登録の証明書で接続してみます。

END_POINT=`aws iot describe-endpoint --endpoint-type iot:Data-ATS --output text`
mosquitto_sub --cafile root.cert \
--cert deviceCertAndCACert.crt \
--key deviceCert.key \
-h $END_POINT \
-p 8883 \
-q 1 \
-i MyJITPThing \
--tls-version tlsv1.2 \
-t '$aws/things/MyJITPThing/shadow/update/delta' \
-d

以下のような感じで出力されました、無事接続はできてそうです。

$ mosquitto_sub --cafile root.cert --cert deviceCertAndCACert.crt --key deviceCert.key -h $END_POINT -p 8883 -q 1 -i MyJITPThing --tls-version tlsv1.2 -t '$aws/things/MyJITPThing/shadow/update/delta' -d
Client MyJITPThing sending CONNECT
Client MyJITPThing sending CONNECT
Client MyJITPThing sending CONNECT
Client MyJITPThing sending CONNECT
Client MyJITPThing sending CONNECT

3. 確認

コンソールからも無事登録されてることが確認できました！

記載はしていませんが、詳細画面から自動登録された証明書と、前もって作成しておいたポリシーがアタッチされていることが確認できます。

まとめ

以上、テンプレートを使用したデバイス登録を試してみました。デバイス登録時の設定がテンプレートで事足りる場合は、Lambdaを実装しなくていいのでこちらのほうがよさそうです。

参考 URL

ジャストインタイムのプロビジョニング Setting Up Just-in-Time Provisioning with AWS IoT Core AWS IoTの証明書自動登録でクライアント証明書の運用を楽にする