Amazon IoT Core多设备接入：需分别创建thing还是可共用单个？

核心结论 #

技术上你可以让所有设备共用同一个Thing，但强烈不推荐你这么做，即便你用的是SigV4身份验证、每台设备有独立IAM凭证，也建议为每台IoT设备创建独立的Thing资源。

不推荐共用Thing的原因 #

• 细粒度权限管控失效
  IoT Core的访问策略默认绑定Thing资源ARN，共用Thing的情况下你无法为单台设备配置独立的MQTT主题访问权限。在多用户使用的家庭自动化场景下，很容易出现用户越权访问其他用户设备、不同设备消息串流的安全隐患。
• 设备运维能力完全丧失
  Thing注册表是IoT Core提供设备全生命周期管理的基础，共用Thing后所有设备的在线状态、上下行消息日志、设备影子数据会全部混合，无法做单设备问题排查、故障封禁、批量固件升级等运维操作。如果某台设备的IAM凭证泄露，你无法单独禁用该设备，只能关停关联Thing的全部权限，影响所有正常设备运行。
• 后续扩展能力受限
  设备影子、IoT任务、位置跟踪、规则引擎按设备维度过滤等IoT Core原生功能，全部基于单Thing维度实现，共用Thing后这些能力完全无法使用，后续业务迭代需要调整架构的成本极高。

适配你的ESP8266+SigV4场景的最佳实践 #

你不需要修改现有SigV4认证逻辑，也不需要给低性能的ESP8266烧录额外证书，仅需要为每台设备批量创建独立Thing即可，不会增加设备端的运行负载。

具体配置逻辑如下：

1. 通过AWS CLI或IoT Core开放API批量创建所有设备对应的Thing，无需手动在控制台逐个操作
2. 为每台设备的独立IAM凭证配置关联Thing的权限策略，参考示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iot:Connect",
      "Resource": "arn:aws:iot:<你的区域>:<你的账号ID>:client/${iot:ClientId}"
    },
    {
      "Effect": "Allow",
      "Action": ["iot:Subscribe", "iot:Receive"],
      "Resource": "arn:aws:iot:<你的区域>:<你的账号ID>:topicfilter/cmd/*/${iot:ClientId}"
    },
    {
      "Effect": "Allow",
      "Action": "iot:Publish",
      "Resource": "arn:aws:iot:<你的区域>:<你的账号ID>:topic/data/*/${iot:ClientId}"
    }
  ]
}

3. 每台设备连接IoT Core时，将自己的Thing名称作为ClientId传入即可，原有SigV4签名逻辑无需任何修改。

内容的提问来源于stack exchange，提问作者Gianluca Ghettini