AWS IoT场景下用户通过所属设备认证及差异化权限设置咨询

1. 双场景认证方式配置可行性 #

完全支持两种独立的认证方式适配不同终端场景，且无需降低核心账号的安全基线：

• 桌面端强密码认证场景：直接使用IAM用户标准密码认证，可搭配IAM Identity Center多因子校验，密码规则自定义为强校验策略（长度≥12位、包含大小写/特殊字符等），完全适配全键盘输入场景。
• IoT设备端数字弱密码认证场景：借助*AWS IoT Core自定义认证（Custom Authorizer）*能力实现，无需修改IAM主账号密码规则：将用户绑定设备的专属数字密码存储在自有业务库或AWS Secrets Manager中，设备端输入数字密码后传递给自定义认证关联的Lambda函数做校验，校验通过后下发临时访问凭证即可。如果设备已预置X.509证书，也可搭配短数字PIN做二次校验，进一步提升设备端认证安全性。

2. 分场景差异化访问策略配置方案 #

可通过IAM上下文条件键实现两类登录场景的权限隔离，核心逻辑如下：

• 桌面端登录时，给会话打上auth_type: desktop_password的标签，对应策略放开全量业务权限，比如设备集群管理、配置修改、数据导出等操作。
• IoT设备端登录时，给自定义认证下发的临时凭证打上auth_type: device_pin的标签，对应策略仅放开基础权限，比如数据上报、自身设备状态查询等，同时可设置该类临时凭证有效期不超过1小时，降低密码泄露风险。

示例IAM策略参考片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iot:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/auth_type": "desktop_password"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["iot:Publish", "iot:Receive"],
      "Resource": "arn:aws:iot:region:account-id:topic/user/${aws:username}/device/*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/auth_type": "device_pin"
        }
      }
    }
  ]
}

内容的提问来源于stack exchange，提问作者DG.