我们想象这么一个IoT应用场景：厂商A使用AWS IoT来开发物联网解决方案，那么A把设备卖给用户的时候，需要使用户能够登入AWS IoT系统来控制其购买的A的设备，也就是说给用户分配适当的权限。下面本文简要概括讨论如何实现这样一个场景。

部分细节可以参考这个博客：https://blog.csdn.net/luo_bo1/article/details/84567988

1. 用户身份的管理

首先，用户必须有一个独特的身份在这个系统中。事实上，开发者甚至不需要自己维护一个管理身份的服务器，用户也不愿意注册那么多账号。为解决这个问题，便产生了直接使用第三方账号身份来映射到AWS IoT系统中的方法，也就是说，用户只要有一些公共的第三方身份提供商的账号（如谷歌、亚马逊等），便允许直接使用AWS IoT系统。本文使用了Login with Amazon这个第三方服务，厂商只要根据Login with Amazon的文档实现一个接口即可。主要有如下几步：

（1） 在developer.amazon.com后台注册一个OAuth的客户端，还要提供隐私策略，获得一个亚马逊发放的OAuth ClietID和Client Secret，这样亚马逊才能认证这是哪个开发者想获得用户的信息。在用户授权后，即可向亚马逊获得用户的基本身份信息。

（2）本人是用Web实现的，因此需要设置OAuth过程中需要的回调URL，并且把这个URL加入Login with Amazon的白名单。此外，还要在Web setting中设置Allow origin。在调用亚马逊这个接口时，亚马逊会验证ClientId，web URL来认证开发者的身份，并且有了origin也能防止这是别人在冒用你的ClientID（用户点击login with amazon的时候浏览器会携带origin发给亚马逊，尽管这个有时可以伪造）；用户授权后，结果token会以重定向的方式让用户浏览器访问白名单中存在的回调URL，这样就确保只有开发者的服务器可以获得token，防止别人偷取。

（3）开发者获得了用户的token，就可以查询获得用户在Amazon的 信息，进而获得到一个唯一的用户ID。这个ID应该是唯一匿名化的身份标识，即不会泄露用户的信息，不同Client获得的也不一样，防止用户被追踪。

2. 给对应用户分配适当的权限

现在我们获得了用户的身份，但是用户要访问的是AWS IoT中的资源，如何设置才能将AWS中的权限，关联至第三方身份提供商给的身份呢？这就需要AWS Cognito的Identity Pool出马了。

（1）首先，cognito需要验证用户的身份，然后在Identity Pool中创建一个对应的身份映射。这首先需要在cognito的Identity Pool中设置Authentication providers，添加开发者创建的login with amazon的标识，即Amazon App ID。这样，开发者只要给cognito结点发送获得到的用户token，cognito就可以与身份提供商交互来验证该token是否有效；若有效，会创建一个cognito ID来标识该第三方身份的用户，这个cognito ID与该用户的第三方身份应该是绑定的。

（2）开发者获得用户第三方token后，向cognito发送该token，就表明了该用户身份，cognito会再返回给程序一系列cognito的token。由于用户cognito就是AWS自己的服务，所以可以关联AWS IoT中的权限给该用户使用。具体动态关联的方法没有深究，只是用aws cli简单测试实现，正确动态做法可以参考官方PPT：https://www.slideshare.net/AmazonWebServices/iot-apps-with-aws-iot-and-websockets

aws cli使用需要先设置， 可以参考https://razeencheng.com/post/tool-awscli-overview-1

指令有点坑，记录一下：

aws iot  attach-policy --policy-name <value> --target <value>

（3）最后强调一点，策略设置时要注意权限的控制，AWS提供了策略变量来获得用户特有的不变凭证，参考https://blog.csdn.net/luo_bo1/article/details/84567988即可。另外设置的时候有点坑，既要设置认证过cognito用户的粗粒度权限，又要在AWS IoT中设置细粒度的权限并且关联到cognito用户上。

3.附录JS代码

注：必须自己搭建个web服务器来测试，否则由于浏览器安全限制（好像是专门本地的文件）无法使用亚马逊的js API。推荐XAMPP，起名成html直接放到htdoc下就好了，xampp还直接支持https。

 <!doctype html>

 <html lang="en_US">

 <head>

     <script src="https://sdk.amazonaws.com/js/aws-sdk-2.451.0.min.js"></script>

 </head>

 <body>

     <a href id="LoginWithAmazon">

         <img border="0" alt="Login with Amazon"

             src="https://images-na.ssl-images-amazon.com/images/G/01/lwa/btnLWA_gold_156x32.png" width="156"

             height="32" />

     </a>

     <button onclick="myFunction()">Myfunction</button>

     <div id="amazon-root"></div>

     <script type="text/javascript">

         window.onAmazonLoginReady = function () {

             amazon.Login.setClientId('amzn1.application-oa2-client.XXXXX');

         };

         (function (d) {

             var a = d.createElement('script'); a.type = 'text/javascript';

             a.async = true; a.id = 'amazon-login-sdk';

             a.src = 'https://assets.loginwithamazon.com/sdk/na/login1.js';

             d.getElementById('amazon-root').appendChild(a);

         })(document);

     </script>

     <script type="text/javascript">

         document.getElementById('LoginWithAmazon').onclick = function () {

             options = { scope: 'profile' };

             amazon.Login.authorize(options,

                 'https://127.0.0.1/test.html');

             return false;

         };

     </script>

     <script>

         function myFunction() {

             // Set the region where your identity pool exists (us-east-1, eu-west-1)

             AWS.config.region = 'us-east-1';

             // Configure the credentials provider to use your identity pool

             AWS.config.credentials = new AWS.CognitoIdentityCredentials({

                 IdentityPoolId: 'us-east-1:d9fe3941-df89-4190-ab80-XXXXX',

                 Logins: { // optional tokens, used for authenticated login

                     'www.amazon.com': '第三方登陆获得的token'

                 }

             });

 //检查获得的用户token是否有效https://api.amazon.com/auth/O2/tokeninfo?access_token=Atza%7CIwEBINapjp9vq3UgptE95f5fqL4DQ5K57Ex5tWTLh0D6K3-omYt8N2H_D-H8tDnn9fyqkrbZ0HdrnQJ4F2_-VtMVB5IOM5quEqr8qZCVVOswPKBHYnL5VwZ4YXtWJiqkssPlsvygcSD74lJWJlAVGTewHP9HWAR4HL4kADPJIyKxI2i_BWpGrDpQb6nw5Yeh6VbtTG9zTWpZUfZsENpkoMo6K5m0H-rw_NmiiZxIBsaOgtIlYTTcG5qKcRFevPXk8SQ8BZKRmXd5Hx2M1bld4rInXLfR41OvuTXH1GKXJHVKMc2hvGt6sMOCcqAXw2ABKAciYAQ1X9uV-RD5zWcp02bw7fgKr8IgwmORyHUhLnnwY8FRYTUQQcTlNHsHVzsbSQ7FYZn7IST9O7nKiSyUryh3VJyCnEqyyvpDzIhSjNjPIyIprpKZoZL1iVKH0oLL_4slT79DVAmuOsUjUKjXnWHbImrF0ZZissrfHPCE2708RWwu-ZgpSsmhPqgRpgE-TlX803ziNo2kvazKpdPg6O6MGG7H2yV8PUW-zwVXO1XxJTK4Nw

             // Make the call to obtain credentials

             AWS.config.credentials.get(function () {

                 // Credentials will be available when this function is called.

                 var accessKeyId = AWS.config.credentials.accessKeyId;

                 var secretAccessKey = AWS.config.credentials.secretAccessKey;

                 var sessionToken = AWS.config.credentials.sessionToken;

                 var identityId = AWS.config.credentials.identityId;

                 console.log(accessKeyId);

                 console.log(secretAccessKey);

                 console.log(sessionToken);

                 console.log(identityId);

             });

         }

     </script>

 </html>

让用户使用第三方账号（如亚马逊账号）接入AWS IoT系统的更多相关文章

  1. 在亚马逊amazon的AWS上安装Node和MongoDB服务器

    在亚马逊amazon的AWS上安装Node和MongoDB服务器 在建立AWS上账号.创建EC2 ,用putty链接上之后,就可以用下面的方法开始安装. !!! 如果不是是自己建立的EC2, 而是由B ...

  2. 亚马逊云服务器AWS安装CentOS

    亚马逊云服务器默认创建的实例,在停止之后再启动的情况下,IP会发生改变.所以我们最好先创建一个弹性IP,即EIP,不过我也不清楚这个费用. 1.按如图操作创建一个弹性IP,弹性IP创建之后可以随便绑定 ...

  3. Authenticator App 两步验证会不会造成亚马逊账号关联？

    今天听人说,因为用Authenticator App做亚马逊两步验证造成了帐号关联…… 我给大家解释一下Authenticator的实现原理,作为计算机专业科班出身的我,此次从各方面了解并经过自己亲测 ...

  4. [ PHP+jQuery ] ajax 多级联动菜单的应用：电商网站的用户地址选择功能 ( 二 ) - 仿亚马逊下拉面板

    /** jQuery version: 1.8.3 Author: 小dee Date: 2014.11.8 */ 接上一篇博客. 实现带缓存的仿亚马逊下拉面板 效果图: 图1 初始 图2 点击省份 ...

  5. 亚马逊云VPS AWS更改LINUX为ROOT权限密码登陆

    LINUX VPS没有ROOT权限是很难受的事,并且密码登陆也方便一些.首先用AWS证书验证的账户登录,1.修改ROOT密码sudo passwd root2.sudo chmod 777 /etc/ ...

  6. 亚马逊VE账号运营

    VE劲爆内幕大揭秘!“仿牌+Amazon VE”跟卖之路 Amazon Vendor Express 是Amazon.com2015年下旬推出的新的供应商平台,商家通过这个平台可以把产品卖给Amazo ...

  7. 亚马逊MWS开发套路演示

    MWS是商城网络服务的缩写,具体介绍看这里http://docs.developer.amazonservices.com/zh_CN/dev_guide/DG_IfNew.html.MWS就是一组A ...

  8. [转]Amazon AWS亚马逊云服务免费一年VPS主机成功申请和使用方法

    今天部落将再次为大家介绍如何成功申请到来自亚马逊的Amazon AWS免费一年的VPS主机服务.亚马逊公司这个就不用介绍了,是美国最大的一家网络电子商务公司,亚马逊弹性计算云Amazon EC2更是鼎 ...

  9. RBC：Echo设备2020年可为亚马逊贡献100亿美元收入

    BI 中文站 12 月 22 日报道 加拿大皇家银行资本市场(RBC Capital Markets)分析师马克-马哈尼(Mark Mahaney)表示,亚马逊是首批将智能音箱引进主流受众的公司之一, ...

随机推荐

  1. java生成二维码，读取（解析）二维码图片

    二维码分为好多种,我们最常用的是qrcode类型的二维码,以下有三种生成方式以及解析方式: 附所需jar包或者js地址 第一种:依赖qrcode.jar import java.awt.Color; ...

  2. spring boot jar 部署linux服务器

    用命令启动spring boot 项目,一旦终端命令窗口关闭,项目也就关闭了,所以我们采用脚本的方式来运行jar 正常命令 java -jar xxx.jar 脚本启动,vim 创建 start.sh ...

  3. Vue挂载元素的替换

    Vue根组件已有挂载DOM'#app',在render又引进一个组件,该组件最外层也是用了'#app',为何根组件的DOM'#app'会被替换掉. //main.js import Vue from ...

  4. mingw qt（可以去掉mingwm10.dll、libgcc_s_dw2-1.dll、libstdc++-6.dll的依赖，mingw默认都是动态链接gcc的库而TDM是静态链接gcc库，tdm版本更好用。用aspack压缩没有问题。qt本身不使用异常处理）good

    原文地址:mingw qt作者:孙1东 不使用Qt SDK,使用mingw编译qt源代码所遇问题及解决方法: configure -fast -release -no-exceptions -no-r ...

  5. Crystal Report - 利用后台代码设计或实现水晶报表工具栏相关功能

    水晶报表工具栏分页按钮响应事件: 水晶报表中有自带的分页功能,在设置好每页显示的记录后会自动分页,并自动记录总页数和保存当前页,在工具栏可以通过“首页”“尾页”“下一页”“上一页”和“跳页”进行页面跳 ...

  6. 《深入浅出WPF》笔记——资源篇

    原文:<深入浅出WPF>笔记--资源篇 前面的记录有的地方已经用到了资源,本文就来详细的记录一下WPF中的资源.我们平时的“资源”一词是指“资财之源”,是创造人类社会财富的源泉.在计算机程 ...

  7. CCLink

    1什么是CC-Link? CC-Link全称Control & Communication Link,即控制与通信链路通信,是一种可以同时高速处理控制和信息数据的现场网络系统,可以提供高效.一 ...

  8. Object-c学习笔记(1)

    说明:本人用的win8 系统装Code::Blocks练习OC. 1.类的声明和实现的关系图:  @interface就好像暴露在外面的时钟表面  @implementation就好像隐藏在时钟内部的 ...

  9. android隐藏显示小键盘

    记录一下开发中虚拟键盘的使用,fragment和activity中不同的使用 fragment下点击其它位置隐藏小键盘,复制到initView()方法中 view.setOnTouchListener ...

  10. Exclusive access control to a processing resource

    A data processing system is provided with multiple processors that share a main memory. Semaphore va ...