AWS IoT Thing授权咨询：客户自主维护专属Thing权限方案

可以通过Thing Groups结合IAM策略实现需求，之前未成功多半是策略配置或分组关联逻辑没匹配到位，以下是具体实现步骤：

1. 创建客户专属Thing Group #

为目标客户创建独立的Thing Group（比如CustomerX-Things），后续该客户的所有Thing都必须加入此分组——即便Thing没有固定命名前缀，只要关联到对应分组，就能通过分组标识符做权限匹配。

• 新创建的Thing可通过注册流程自动关联分组，或要求客户在创建Thing时指定加入该组；
• 已存在的该客户Thing，可手动或通过脚本批量加入分组。

2. 配置精准的IAM权限策略 #

通过iot:ThingGroupName条件限制客户操作范围，同时开放所有Thing的查看权限，示例策略如下（替换占位符后使用）：

{
  "Version": "2012-10-17",
  "Statement": [
    // 允许查看所有Thing
    {
      "Effect": "Allow",
      "Action": [
        "iot:ListThings",
        "iot:DescribeThing"
      ],
      "Resource": "*"
    },
    // 允许操作自身分组内的Thing（新增/更新）
    {
      "Effect": "Allow",
      "Action": [
        "iot:CreateThing",
        "iot:UpdateThing",
        "iot:AddThingToThingGroup"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iot:ThingGroupName": "CustomerX-Things"
        }
      }
    },
    // 显式拒绝操作非自身分组的Thing（增强安全性）
    {
      "Effect": "Deny",
      "Action": [
        "iot:UpdateThing",
        "iot:DeleteThing"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "iot:ThingGroupName": "CustomerX-Things"
        }
      }
    }
  ]
}

说明：客户创建Thing时必须指定加入专属组，否则创建后的Thing无法被自身编辑，可通过客户端逻辑强制或IoT规则自动完成关联。

3. 验证权限逻辑 #

• 用客户的IAM身份创建Thing并加入专属组，确认可正常更新；
• 尝试操作其他组的Thing，确认会被拒绝；
• 确认能正常查看所有Thing的列表与详情。

内容的提问来源于stack exchange，提问作者Mikko Tanskanen