[AWS] AWS SDK를 활용해 AWS IoT 디바이스 등록하기

디바이스를 등록하기 전에 해야할 일이 있다.

 

1. 인증서를 생성해서 해당 디바이스에 등록
2. 해당 인증서에 정책 연결 

이 과정을 끝내고 디바이스를 등록하고자 한다. 

 

인증서랑 정책이 뭔데 

인증서와 정책에 관련해서 이전 글에 기록했다. 

사실 이 둘에 대해 깊게 알지는 못하지만.. 간단히 요약하자면 다음과 같다.

 

🔶 인증서

• 디바이스를 인증하고 AWS IoT Core와 안전하게 통신할 수 있도록 설정 (디바이스 신원 확인)
• 수많은 디바이스가 인터넷에 연결되므로 인증서를 통해 디바이스 인증하고, 통신 안전하게 보호

 

🔶 정책

• 인증서를 가진 디바이스가 어떤 작업을 수행할 수 있는지에 대한 권한 정의
• MQTT 메시지 게시 및 구독, HTTP 요청 등 디바이스가 허용된 작업을 수행하도록 제한

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iot:Publish",
      "Resource": "arn:aws:iot:us-east-1:123456789012:topic/my/topic"
    }
  ]
}

👉 특정 디바이스가 MQTT 토픽에 메시지를 게시할 수 있도록 허용하는 정책의 예시

 

 

 

IotAsyncClient & IotDataPlaneAsyncClient

IotAsyncClient

👉 IoT 디바이스 리소스 관리 및 보안 정책 설정

• createThing
• updateThing
• deleteThing 등

 

 

IotDataPlanceAsyncClient

👉 디바이스 상태 관리 및 메시지 전송

• publish (메시지 전송)
• getThingShadow
• updateThingShadow 등

---

✳️ AWSIotClientConfig

@Configuration
public class AWSIotClientConfiguration {
    
    private final IotDataPlaneAsyncClient iotDataPlaneAsyncClient;
    private final IotAsyncClient iotAsyncClient;

    
    AWSIotClientConfiguration(@Value("${aws.accessKeyId}") String accessKeyId,
                              @Value("${aws.secretAccessKey}") String secretAccessKey,
                              @Value("${aws.region}") String region) throws IOException {
       
       // 코드 생략
       // region, credential, endpoint 등 설정 필요

        this.iotAsyncClient = IotAsyncClient.builder()
                .region(Region.of(region))
                .credentialsProvider(credentialsProvider)
                .build();

        this.iotDataPlaneAsyncClient = IotDataPlaneAsyncClient.builder()
                .region(Region.of(region))
                .endpointOverride(URI.create("https://" + endpoint))
                .credentialsProvider(credentialsProvider)
                .build();
        
        
    }

	// 빈 등록
	@Bean
    public IotAsyncClient iotAsyncClient(){
        return this.iotAsyncClient;
    }
    
    
    @Bean
    public IotDataPlaneAsyncClient iotDataPlaneAsyncClient() {
        return this.iotDataPlaneAsyncClient;
    }
    
    @PreDestroy
    public void preDestroy() {
        iotDataPlaneAsyncClient.close();
        iotAsyncClient.close();
    }
}

 

✳️ AWSDeviceManager 

@Component
@Validated
public class AWSDeviceManager implements CloudDeviceManager {

    private final IotAsyncClient iotAsyncClient;

	// 의존성 주입
    AmazonDeviceManager(IotAsyncClient iotAsyncClient) {
        this.iotAsyncClient = iotAsyncClient;
    }
    
    // 디바이스 및 정책 관련 service 코드
}

 

 

인증서 생성, 등록, 삭제 

IotAsyncClient를 활용해 인증서를 생성하고 등록하는 과정을 살펴보자

 

✳️ 인증서 생성  

👉 생성하는데 활용되는 메서드가 여러 개 있다.. 차이를 알아보고 적절한 것으로 선택했다.

---

🔶 createKeysAndCertificate 👉 선택

https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/create-keys-and-certificate.html

create-keys-and-certificate — AWS CLI 2.22.3 Command Reference

"2048-bit RSA key pair(공개 키와 비공개 키)를 생성하고 발행된 공개 키를 통해 X.509 인증서를 생성한다"

 

 

🔷 Request

POST /keys-and-certificate?setAsActive=setAsActive HTTP/1.1​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateArn": "string",
   "certificateId": "string",
   "certificatePem": "string",
   "keyPair": { 
      "PrivateKey": "string",
      "PublicKey": "string"
   }
}​

 

🔹키의 사용 목적 
👉 TLS(Transport Layer Security)를 통해 암호화되고, 디바이스는 비공개 키를 사용해 AWS IoT Core에 자신의 신원을 증명한다. AWS IoT Core는 인증서에 포함된 공개 키를 사용해 디바이스를 검증한다. 
또한, 디바이스는 AWS IoT Core와의 연결을 통해 MQTT 메시지를 주고 받는데, 메시지가 TLS 암호화로 보호되므로 키는 메시지 기밀성과 무결성을 보장한다.

 

 

 

 

 

 

🔶 createCertificateFromCsr

https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/create-certificate-from-csr.html

create-certificate-from-csr — AWS CLI 2.22.3 Command Reference

레퍼런스를 참고해보면 "특정한 certificate signing request를 사용해 X.509 인증서를 생성하는 것"이라 나와있다.
주로 디바이스나 외부 시스템에서 생성한 공개 키에 기반한 인증서를 발급할 때 사용된다고 한다. 

 

🔷 Request

POST /certificates?setAsActive=setAsActive HTTP/1.1
Content-type: application/json

{
   "certificateSigningRequest": "string"
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateArn": "string",
   "certificateId": "string",
   "certificatePem": "string"
}

 

⛔ output을 보면 원하는 것을 얻을 수 있긴 했지만 요청할 때 CSR이 필요했다.

 

 

 

 

 

🔶 createCertificateProvider

https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/create-certificate-provider.html

create-certificate-provider — AWS CLI 2.22.3 Command Reference

"CA 또는 certificate provider를 생성하고 구성하는 데 사용된다"

 

🔷 Request

POST /certificate-providers/certificateProviderName HTTP/1.1
Content-type: application/json

{
   "accountDefaultForOperations": [ "string" ],
   "clientToken": "string",
   "lambdaFunctionArn": "string",
   "tags": [ 
      { 
         "Key": "string",
         "Value": "string"
      }
   ]
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateProviderArn": "string",
   "certificateProviderName": "string"
}​

 

⛔ CA를 AWS IoT Core에 등록하는 등 다소 복잡한 과정 필요

 

 

---

✳️ 인증서 등록

AWS IoT에 이미 생성된 인증서를 등록하는 API이다.
디바이스에서 자체적으로 인증서를 생성한 경우나 외부 인증기관(CA)을 통해 발급받은 인증서를 사용하는 경우에 활용할 수 있다.

현재는 AWS IoT에서 직접 인증서를 생성하는 경우이므로 추후에 필요하게 된다면 쓸 수 있을 것 같다. 

 

🔶 registerCertificate

https://docs.aws.amazon.com/iot/latest/apireference/API_RegisterCertificate.html

RegisterCertificate - AWS IoT

🔷 Request

POST /certificate/register?setAsActive=setAsActive HTTP/1.1
Content-type: application/json

{
   "caCertificatePem": "string",
   "certificatePem": "string",
   "status": "string"
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateArn": "string",
   "certificateId": "string"
}​

 

 

 

 

 

🔶 registerCACertificate

https://docs.aws.amazon.com/iot/latest/apireference/API_RegisterCACertificate.html

RegisterCACertificate - AWS IoT

🔷 Request

POST /cacertificate?allowAutoRegistration=allowAutoRegistration&setAsActive=setAsActive HTTP/1.1
Content-type: application/json

{
   "caCertificate": "string",
   "certificateMode": "string",
   "registrationConfig": { 
      "roleArn": "string",
      "templateBody": "string",
      "templateName": "string"
   },
   "tags": [ 
      { 
         "Key": "string",
         "Value": "string"
      }
   ],
   "verificationCertificate": "string"
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateArn": "string",
   "certificateId": "string"
}

 

 

 

🔶 registerCertificateWithoutCA

https://docs.aws.amazon.com/iot/latest/apireference/API_RegisterCertificateWithoutCA.html

RegisterCertificateWithoutCA - AWS IoT

🔷 Request

POST /certificate/register-no-ca HTTP/1.1
Content-type: application/json

{
   "certificatePem": "string",
   "status": "string"
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "certificateArn": "string",
   "certificateId": "string"
}

 

 

 

---

✳️ 인증서 삭제

 

🔶 deleteCertificate 👉 선택

https://docs.aws.amazon.com/iot/latest/apireference/API_DeleteCertificate.html

DeleteCertificate - AWS IoT

만약 정책 또는 IoT thing에 인증서가 연결되어있거나 활성화(ACTIVE)되어 있다면 인증서는 삭제될 수 없다.
인증서를 삭제하기 위해서는 DetachPolicy를 먼저 수행한 후 UpdateCertificate을 통해 비활성화(INACTIVE) 상태로 설정해야한다. 

 

 

 

🔶 deleteCACertificate

https://docs.aws.amazon.com/iot/latest/apireference/API_DeleteCACertificate.html

DeleteCACertificate - AWS IoT

등록된 CA인증서를 삭제한다.

 

 

 

 

🔶 deleteCertificateProvider

https://docs.aws.amazon.com/iot/latest/apireference/API_DeleteCertificateProvider.html

DeleteCertificateProvider - AWS IoT

만약 certificate provider resource를 삭제한다면 CreateCertificateFromCsr이 수행될 것이고, AWS IoT는 CSR을 통해 서명한 인증서를 생성한다. 

 

 

 

 

 

 

 

정책 연결, 삭제

✳️ 정책 연결 

 

🔶 attachPolicy

https://docs.aws.amazon.com/iot/latest/apireference/API_AttachPolicy.html

AttachPolicy - AWS IoT

특정 인증서 또는 기타 자격 증명에 정책을 연결한다.

🔷 Request

PUT /target-policies/policyName HTTP/1.1
Content-type: application/json

{
   "target": "string"
}​

🔷 Response
👉 Empty HTTP body

HTTP/1.1 200

 

 

---

 

✳️ 정책 삭제

🔶 detachPolicy

https://docs.aws.amazon.com/iot/latest/apireference/API_DetachPolicy.html

DetachPolicy - AWS IoT

 

🔷 Request

POST /target-policies/policyName HTTP/1.1
Content-type: application/json

{
   "target": "string"
}​

🔷 Response
👉 Empty HTTP body

HTTP/1.1 200

 

 

 

 

사물(thing) 등록, 삭제

✳️ 사물 생성

 

🔶 createThing

https://docs.aws.amazon.com/iot/latest/apireference/API_CreateThing.html

CreateThing - AWS IoT

 

🔷 Request

POST /things/thingName HTTP/1.1
Content-type: application/json

{
   "attributePayload": { 
      "attributes": { 
         "string" : "string" 
      },
      "merge": boolean
   },
   "billingGroupName": "string",
   "thingTypeName": "string"
}​

🔷 Response

HTTP/1.1 200
Content-type: application/json

{
   "thingArn": "string",
   "thingId": "string",
   "thingName": "string"
}​

 

---

✳️ 사물 삭제

 

🔶 deleteThing

https://docs.aws.amazon.com/iot/latest/apireference/API_DeleteThing.html

DeleteThing - AWS IoT

 

🔷 Request

DELETE /things/thingName?expectedVersion=expectedVersion HTTP/1.1​

🔷 Response
👉 Empty HTTP body

HTTP/1.1 200​

 

 

참고자료

https://docs.aws.amazon.com/iot/latest/apireference/API_Operations_AWS_IoT.html

https://sdk.amazonaws.com/java/api/latest/software/amazon/awssdk/services/iot/package-summary.html