React应用中AWS IoT MQTT与Cognito认证连接问题

核心现象 #

已成功通过Cognito身份池获取AWS凭证，但MQTT客户端始终处于离线状态，连接立即关闭并反复重连。控制台日志显示签名URL生成后无查询参数，且未触发connect事件。

排查与解决方案 #

1. 修复WebSocket签名URL生成问题 #

从日志可见，生成的签名URL无认证查询参数（wss://xxx/mqtt?），这是连接失败的直接原因：

• 问题根源：AWS SignatureV4仅支持对http/https请求签名，代码中错误使用了wss协议进行签名。
• 代码修改：将HttpRequest的protocol改为https，签名完成后再拼接为wss URL：

const request = new HttpRequest({
  hostname: IOT_ENDPOINT,
  protocol: "https", // 替换原"wss"
  method: "GET",
  path: "/mqtt",
  headers: { host: IOT_ENDPOINT },
});

修改后生成的URL应包含X-Amz-Signature、X-Amz-Credential等必要认证参数。

2. 确保IoT策略正确关联到Cognito身份 #

IAM角色权限（如AWSIoTDataAccess）仅允许调用IoT API，MQTT连接的权限由IoT策略单独控制，且必须关联到用户的Cognito身份ID：

• 创建IoT策略（示例）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["iot:Connect"],
      "Resource": ["arn:aws:iot:eu-west-3:YOUR_ACCOUNT_ID:client/${cognito-identity.amazonaws.com:sub}"]
    },
    {
      "Effect": "Allow",
      "Action": ["iot:Subscribe", "iot:Receive"],
      "Resource": ["arn:aws:iot:eu-west-3:YOUR_ACCOUNT_ID:topicfilter/XXXX/status"]
    }
  ]
}

• 将策略附加到用户的Cognito身份ID：
  使用AWS CLI执行：

aws iot attach-principal-policy --policy-name YOUR_IOT_POLICY_NAME --principal COGNITO_IDENTITY_ID

（COGNITO_IDENTITY_ID可从控制台日志的identityId字段获取）

3. 补充MQTT客户端配置 #

• 指定唯一clientId（建议用Cognito身份ID），避免连接冲突：
  在mqtt.connect时添加clientId参数（需将credentials传递到connectToMQTT函数中）：

const client = mqtt.connect(signedUrl, {
  protocol: "wss",
  reconnectPeriod: 5000,
  clientId: credentials.identityId // 添加此行
});

4. 跨区域场景验证 #

Cognito与IoT跨区域是允许的，但需确保：

• 签名时region参数与IoT端点区域完全一致（代码中AWS_REGION_IOT需设为eu-west-3）
• Cognito身份池的IAM角色允许sts:AssumeRoleWithWebIdentity动作（默认已配置，可检查角色信任策略）

额外排查步骤 #

• 查看AWS IoT CloudWatch日志，过滤Connect事件：若存在Connect-Rejected，日志会明确给出失败原因（如权限不足、签名无效）
• 使用AWS CLI生成测试签名URL，对比代码生成的URL是否一致：

aws iot generate-presigned-url --endpoint-url wss://YOUR_IOT_ENDPOINT --region eu-west-3 --protocol wss --mqtt --action connect

内容的提问来源于stack exchange，提问作者Rodrigo Carnero