基于AWS IoT安全隧道的浏览器设备远程访问故障排查求助

核心问题定位 #

你遇到的问题主要源于两个关键点：Cookie域的拼写错误，以及对AWS IoT安全隧道Cookie作用域的误解。

分步排查与修复 #

1. 修正Cookie域的拼写错误 #

你提到文档指定的Cookie域是.amazonwas.com，这明显是拼写错误——官方文档中正确的域应该是AWS IoT隧道终端节点的父域，格式为：

.tunnel.iot.<你的AWS区域>.amazonaws.com

比如你的隧道终端节点是xxx.tunnel.iot.us-east-1.amazonaws.com，Cookie域就必须设为.tunnel.iot.us-east-1.amazonaws.com。之前的错误域名直接导致浏览器判定“域不匹配”，无法存储Cookie。

2. 跨域Cookie设置的正确配置 #

确保以下配置全部到位：

• API Gateway CORS配置：
  • Access-Control-Allow-Origin设为你的前端站点精确域名（不能用*，因为开启了Allow-Credentials）
  • Access-Control-Allow-Credentials设为true
• Lambda返回的Set-Cookie头：
  必须包含完整的属性，示例格式：

  Set-Cookie: AWSIOTTunnelToken=<你的clientAccessToken>; Domain=.tunnel.iot.<区域>.amazonaws.com; Path=/; Secure; SameSite=None; HttpOnly
  

  注意：HttpOnly可选，但建议加上以提升安全性；Secure和SameSite=None是跨域场景下的必填项。

3. 自身域名Cookie导致WebSocket失败的原因 #

当你把Cookie域改为自身站点域名时，浏览器只会将该Cookie发送给你的域名，而WebSocket连接的是AWS IoT隧道的域名（.amazonaws.com后缀），因此浏览器不会携带这个Cookie，导致隧道认证失败，最终连接无响应。

4. 额外验证点 #

• 检查Lambda创建隧道的响应：确认返回的clientAccessToken有效，且Cookie的值与该token完全一致。
• 验证IAM权限：确保Lambda执行角色拥有iot:CreateTunnel权限，同时前端用户的身份（如果使用Cognito等）拥有访问该隧道的权限。
• 查看Network面板：在浏览器开发者工具中，检查WebSocket请求的Request Headers是否携带了AWSIOTTunnelToken Cookie，如果没有，说明Cookie的Domain或Path设置错误。
• 确保站点使用HTTPS：Secure Cookie只能在HTTPS环境下生效，WebSocket必须使用wss://协议。

内容的提问来源于stack exchange，提问作者Adrián Rodriguez