AWS IoT设备MQTT发布订阅主题权限配置问题排查

核心问题：策略变量与资源类型配置错误 #

你当前的发布、订阅权限失效，主要是两个细节错误导致：

1. 变量引用错误：${iot:Connection.Thing.ThingName}仅在连接阶段生效（用于验证clientId与ThingName的绑定），发布/订阅操作时应使用${iot:ThingName}——该变量直接引用证书关联的Thing名称，是设备操作主题时的正确变量。
2. 订阅资源类型错误：Subscribe动作对应的资源类型是topicfilter而非topic，你之前用topic类型会导致订阅权限不匹配，因为订阅操作针对的是主题过滤器而非具体主题。

修正后的策略 #

替换变量并修正订阅资源类型后，策略如下：

Allow iot:Connect arn:aws:iot:<reg>:<acc>:client/${iot:Connection.Thing.ThingName}
Allow iot:Publish arn:aws:iot:<reg>:<acc>:topic/v1/+/${iot:ThingName}
Allow iot:Subscribe arn:aws:iot:<reg>:<acc>:topicfilter/v1/+/${iot:ThingName}
Allow iot:Receive arn:aws:iot:<reg>:<acc>:topic/v1/+/${iot:ThingName}

额外排查点 #

• 确认证书与Thing的关联：在AWS IoT控制台检查设备证书的「关联的Thing」是否正确，确保claim流程完成了证书与Thing的绑定。
• 主题大小写一致性：ThingName区分大小写，需保证设备发布/订阅的主题中ThingName与AWS IoT注册的完全一致。
• 针对性测试：可临时添加指定具体ThingName的测试策略（如arn:aws:iot:<reg>:<acc>:topic/v1/update/TestThing），验证是否能正常操作，排除变量之外的问题。

内容的提问来源于stack exchange，提问作者Daniel Gould