设备连接AWS IoT Core自动创建凭证方案与JITR问题咨询

你构思的初始设计存在核心安全缺陷，不建议生产环境使用：

• 全量设备共用同一组仅持有connect权限的通用密钥，会把单点泄露风险扩散到整个设备集群：只要任意一台设备被逆向、固件被提取拿到这组通用密钥，攻击者就能批量模拟未激活设备发起连接，直接绕过你最外层的接入校验
• 首次连接后下发高权限凭证的流程如果没有绑定设备唯一硬件标识做校验，相当于给未认证的连接开放了权限提升入口，很容易出现越权获取其他设备发布/订阅权限的问题
• 生产环境标准的预置凭证方案是一机一密：设备生产阶段就为每台设备烧录独立的X.509证书、私钥，配套仅允许连接到激活主题的最小权限策略，从根源避免共用密钥的风险。

你配置JITR无法正常运行，90%以上的问题出在以下几个配置漏项，逐个核对即可：

• 检查CA证书注册配置：你上传到IoT Core的根CA必须开启「自动注册」开关，且完成域持有校验——注册CA时IoT Core会生成一个随机校验串，你需要用CA私钥给这个校验串签发证书回传，证明你实际持有该CA的私钥，未完成这步的CA完全不会触发JITR流程。
• 检查CA绑定的默认策略：设备首次发起JITR连接时，会先套用CA配置的默认策略，这个策略必须开放iot:Connect权限，且资源ARN需要匹配设备端传入的client ID，否则连接会直接被策略拦截，根本到不了注册环节。
• 检查事件规则配置：JITR本身不会自动给新证书绑定高权限策略，它只会在检测到未注册的可信证书连接时，向IoT事件总线发送certificateRegister事件。你必须配置事件规则将这个事件路由到你的后端服务（Lambda、SQS、HTTP接口等），由后端完成证书激活、绑定正式权限策略的操作。如果没配这个事件规则，IoT Core只会生成一张待激活的空证书，设备连接会直接被断开，看起来就像JITR没生效。
• 检查设备端TLS握手参数：JITR要求设备在TLS握手阶段必须同时发送设备证书、完整的CA根证书链，SNI扩展字段必须正确填写你使用的IoT Core接入点域名。大部分嵌入式SDK默认不会携带完整CA链，会导致IoT Core无法完成证书链校验，直接拒绝连接。
• 开启CloudWatch日志排查：把IoT Core的日志级别调整为DEBUG，所有JITR流程的报错都会直接输出到日志组，常见报错包括CA未开自动注册、证书链不匹配、默认策略权限不足、事件规则触发失败，直接对照日志错误码定位问题效率最高。

额外提一句：数千台设备的规模下，你其实可以优先选JITP（即时预置）方案，不需要自己写后端处理注册事件，只要在CA上配置好预置模板，就能自动完成证书注册、激活、绑定策略、关联物模型的全流程，配置和维护成本比JITR低很多。

内容的提问来源于stack exchange，提问作者Thinh Pham