AWS IoT Thing扮演IAM角色时如何传递ThingName以限制S3桶访问？

核心思路 #

通过AWS IoT角色别名让IoT服务代表Thing扮演IAM角色，利用IoT上下文变量${iot:ThingName}动态限制S3访问路径，无需硬编码Thing名称。

具体步骤 #

1. 调整IAM角色的信任策略 #

将角色的信任对象改为AWS IoT服务，确保IoT服务能代表Thing扮演该角色，策略内容如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "iot.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "iot:ThingName": "${iot:ThingName}"
        }
      }
    }
  ]
}

该条件确保只有合法的IoT Thing请求才能使用该角色，同时保留ThingName变量的传递。

2. 更新IAM角色的权限策略 #

在权限策略中使用${iot:ThingName}变量动态指定S3路径，限制Thing只能访问对应名称的目录：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::MYBUCKET/${iot:ThingName}",
        "arn:aws:s3:::MYBUCKET/${iot:ThingName}/*",
        "arn:aws:s3:::MYBUCKET"
      ],
      "Condition": {
        "StringLike": {
          "s3:prefix": "${iot:ThingName}/*"
        }
      }
    }
  ]
}

• 针对ListBucket动作，通过s3:prefix进一步限制只能查看自身目录下的内容
• 可按需调整允许的S3动作（如添加DeleteObject等）

3. 创建AWS IoT角色别名 #

角色别名是IoT Thing获取临时IAM凭证的入口，关联之前创建的IAM角色：

aws iot create-role-alias --role-alias MyThingRoleAlias --role-arn arn:aws:iam::ACCOUNT_ID:role/MY_IOT_ROLE --credential-duration-seconds 3600

替换ACCOUNT_ID和MY_IOT_ROLE为你的实际账号ID和IAM角色ARN。

4. 配置IoT证书的策略 #

给Thing绑定的证书添加权限，允许其使用角色别名获取临时凭证：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iot:AssumeRoleWithCertificate",
      "Resource": "arn:aws:iot:REGION:ACCOUNT_ID:role-alias/MyThingRoleAlias"
    }
  ]
}

替换REGION、ACCOUNT_ID为实际信息。

验证逻辑 #

当Thing通过证书连接AWS IoT Core并请求临时凭证时，IoT服务会自动将iot:ThingName变量注入到IAM会话中，权限策略中的变量会被替换为当前Thing的名称，从而实现Thing1只能访问MYBUCKET/Thing1路径的效果。

内容的提问来源于stack exchange，提问作者firion