如何授权特定AWS Cognito用户订阅AWS IoT

1. 配置Cognito与IoT的权限关联 #

首先需要给Cognito用户池中的特定用户/用户组绑定IoT专属策略，确保只有授权用户能连接、订阅目标主题：

• 创建IoT策略：登录AWS IoT控制台，在安全 > 策略中新建策略，使用以下模板（替换占位符为你的实际信息）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Subscribe",
        "iot:Receive"
      ],
      "Resource": [
        "arn:aws:iot:${your-region}:${your-account-id}:client/amplify-*",
        "arn:aws:iot:${your-region}:${your-account-id}:topicfilter/your-target-topic/*"
      ]
    }
  ]
}

• 用amplify-*限定客户端ID前缀，避免任意客户端连接；topicfilter指定允许订阅的主题范围，根据业务需求调整。
• 绑定策略到授权用户：
  • 若按用户组授权：在Cognito用户池创建专属用户组，关联一个IAM角色，将上述IoT策略附加到该IAM角色，再把目标用户加入此组。
  • 若按单个用户授权：直接给目标用户对应的IAM身份（在Cognito身份池的身份列表中找到）附加IoT策略。

2. 前端Amplify集成IoT实时订阅 #

在Amplify前端项目中，通过Cognito身份凭证初始化IoT MQTT客户端，实现实时数据接收：

• 先安装依赖：

npm install aws-iot-device-sdk aws-amplify

• 编写核心代码：

import { Auth } from 'aws-amplify';
import { device } from 'aws-iot-device-sdk';

// 获取当前Cognito用户的临时凭证
const getCognitoCredentials = async () => {
  const credentials = await Auth.currentCredentials();
  return {
    accessKeyId: credentials.accessKeyId,
    secretAccessKey: credentials.secretAccessKey,
    sessionToken: credentials.sessionToken
  };
};

// 初始化MQTT客户端并订阅主题
const initIoTSubscription = async (targetTopic) => {
  const credentials = await getCognitoCredentials();
  const iotClient = device({
    region: 'your-region', // 例如us-east-1
    host: 'your-iot-endpoint', // 从IoT控制台 > 设置 > 设备数据端点获取
    clientId: `amplify-client-${Math.random().toString(36).substring(2, 10)}`,
    credentials: credentials
  });

  // 连接成功后订阅主题
  iotClient.on('connect', () => {
    console.log('IoT连接成功');
    iotClient.subscribe(targetTopic);
  });

  // 接收实时消息
  iotClient.on('message', (topic, payload) => {
    const data = JSON.parse(payload.toString());
    console.log(`收到主题[${topic}]的消息:`, data);
    // 这里处理业务逻辑，比如更新前端UI
  });

  // 处理连接错误
  iotClient.on('error', (error) => {
    console.error('IoT连接出错:', error);
  });

  return iotClient;
};

// 调用示例
initIoTSubscription('your-target-topic/user123');

3. 权限验证 #

• 用授权用户登录前端，验证是否能正常接收IoT主题消息；
• 用未授权用户（未加入指定组/无IoT策略）登录，确认无法连接或订阅主题；
• 可在AWS IoT控制台的测试页面发布测试消息，验证前端接收情况，同时通过CloudWatch的IoT日志排查权限问题。

内容的提问来源于stack exchange，提问作者Panagiotis Giannelos