如何通过API Gateway对AWS IoT设备进行身份验证

最简单的API Gateway设备身份认证方案 #

双向TLS（mTLS）认证是当前场景下最简便的实现方案，不需要额外开发业务层认证逻辑：

• 主流云厂商的API Gateway都原生支持mTLS能力，你只需要在网关侧配置信任的根CA证书，开启对应API的mTLS校验开关即可
• 设备发起GET请求时，在TLS握手阶段携带客户端证书，API Gateway会自动完成证书有效性校验，校验通过才会转发请求到后端，校验失败直接拦截返回403
• 全程不需要修改后端业务代码，也不需要引入额外的认证服务，配置即可用

能否复用IoT Core生成的MQTT通信证书 #

完全可以，不需要给设备重新签发新证书，适配成本极低：

1. 首先导出IoT Core签发设备证书时使用的根CA证书，上传到API Gateway的mTLS信任CA列表中
2. 若你之前给IoT Core设备证书设置了自定义的CN/OU字段作为设备标识，还可以配置API Gateway直接从客户端证书中提取对应字段，自动透传给后端服务，不需要额外做证书和设备ID的映射
3. 设备侧不需要调整证书存储逻辑，原本用于MQTT连接的客户端证书和私钥，直接在发起HTTPS GET请求时携带即可，X.509证书本身没有限制仅能用于MQTT通信场景

额外提示：如果你在IoT Core侧配置了证书吊销列表（CRL），记得同步把CRL配置到API Gateway侧，避免已经被吊销的设备证书依然可以访问API接口

内容的提问来源于stack exchange，提问作者Karalina Lavishak