AWS CDK如何批量创建绑定证书与策略的IoT Thing

基于Provisioning Template（预置模板）的方案修正 #

你采用的预置模板实现思路是可行的，但现有代码存在4处核心问题，修正后可正常支持批量预置：

• 策略关联逻辑错误：当前模板中定义AWS::IoT::Policy资源是尝试新建策略，不符合绑定已有策略的需求，应替换为AWS::IoT::PolicyPrincipalAttachment资源实现已有策略和证书的绑定；且代码中PolicyName取值为CDK构造对象的toString()结果，无法拿到实际策略名，应直接引用策略构造的policyName属性。
• 缺少资源关联关系：模板仅独立创建了Thing和证书，缺少AWS::IoT::ThingPrincipalAttachment资源将证书挂载到对应Thing，创建出的资源无法关联。
• 证书配置冗余：证书属性中多余的CertificateId引用无效，使用CSR创建证书时不需要指定该参数，该参数仅为JITP（即时预置）场景的内置参数，常规预置模板无需配置。
• 预置角色权限缺失：需要为iotProvisioningRole补充对应权限，允许其执行创建Thing、创建/激活证书、绑定策略、挂载Thing主体等操作，否则模板执行时会报权限错误。

修正后的预置模板核心代码如下：

const iotAssumeRoleWithCertificatePolicy = new iot.CfnPolicy(this, 'iotAssumeRoleWithCertificatePolicy', {
  policyName: 'iotAssumeRoleWithCertificatePolicy',
  policyDocument: {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "iot:AssumeRoleWithCertificate",
        "Resource": iotRoleAlias.roleArn.toString(),
      }
    ]
  },
});

const provisioningTemplateBody = {
  "Parameters": {
    "ThingName": {
      "Type": "String"
    },
    "CSR": {
      "Type": "String"
    },
  },
  "Resources": {
    "thing": {
      "Type": "AWS::IoT::Thing",
      "Properties": {
        "ThingName": { "Ref": "ThingName" },
        "ThingTypeName": "server-type",
        "ThingGroups": ["server-group"]
      }
    },
    "certificate": {
      "Type": "AWS::IoT::Certificate",
      "Properties": {
        "CertificateSigningRequest": { "Ref": "CSR" },
        "Status": "ACTIVE"
      }
    },
    "attachPolicyToCert": {
      "Type": "AWS::IoT::PolicyPrincipalAttachment",
      "Properties": {
        "PolicyName": iotAssumeRoleWithCertificatePolicy.policyName,
        "Principal": { "Ref": "certificate" }
      }
    },
    "attachCertToThing": {
      "Type": "AWS::IoT::ThingPrincipalAttachment",
      "Properties": {
        "ThingName": { "Ref": "thing" },
        "Principal": { "Ref": "certificate" }
      }
    }
  }
}

const provisiongTemplate = new iot.CfnProvisioningTemplate(this, 'iot-provisioning-template', {
  provisioningRoleArn: iotProvisioningRole.roleArn,
  templateBody: JSON.stringify(provisioningTemplateBody),
});

该方案的适用场景：设备总量大、后续需要动态新增设备，CDK部署仅完成模板、角色、基础策略的初始化，批量创建设备时直接调用IoT的RegisterThing接口，传入设备名和对应CSR即可完成全流程配置。

CDK部署阶段直接批量创建资源方案 #

如果需要在CDK部署时一次性创建固定数量的设备资源，不需要后续动态新增，可以直接在CDK代码中循环生成对应资源，无需依赖预置模板，核心实现代码如下：

// 定义需要批量创建的设备名称列表
const deviceNameList = ["device-001", "device-002", "device-003", "device-004"];

// 提前创建公共访问策略
const commonIotPolicy = new iot.CfnPolicy(this, 'iotAssumeRoleWithCertificatePolicy', {
  policyName: 'iotAssumeRoleWithCertificatePolicy',
  policyDocument: {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "iot:AssumeRoleWithCertificate",
        "Resource": iotRoleAlias.roleArn.toString(),
      }
    ]
  },
});

// 循环为每个设备创建资源并完成关联
deviceNameList.forEach((deviceName, idx) => {
  // 创建设备
  const thing = new iot.CfnThing(this, `iot-thing-${idx}`, {
    thingName: deviceName,
    thingTypeName: "server-type",
    thingGroups: ["server-group"]
  });

  // 创建激活证书，使用自定义CA签发时传入对应CSR即可
  const deviceCert = new iot.CfnCertificate(this, `iot-cert-${idx}`, {
    status: "ACTIVE",
    // certificateSigningRequest: "对应设备的CSR内容"
  });

  // 绑定证书与公共策略
  new iot.CfnPolicyPrincipalAttachment(this, `iot-policy-attach-${idx}`, {
    policyName: commonIotPolicy.policyName!,
    principal: deviceCert.attrArn
  });

  // 绑定证书与设备
  new iot.CfnThingPrincipalAttachment(this, `iot-thing-attach-${idx}`, {
    thingName: thing.thingName!,
    principal: deviceCert.attrArn
  });
});

方案注意事项 #

• 该方案仅适合设备列表固定、单批次创建设备数少于200台的场景，设备量过大会导致CDK合成的CloudFormation模板超出大小限制，部署失败。
• 如果选择CDK直接生成证书（不传入CSR），需要在资源创建完成后及时从CloudFormation输出中获取证书私钥、公钥内容，这类敏感信息仅在创建时返回一次，后续无法再次查询。

内容的提问来源于stack exchange，提问作者unacorn