カスタム認証ワークフローについて

デバイスは、サポートされているいずれかの デバイス通信プロトコル を使用して、お客様の AWS IoT Core データエンドポイントに接続します。デバイスは、リクエストのヘッダーフィールドまたはクエリパラメータ (HTTP Publish または MQTT over WebSocket プロトコルの場合)、または MQTT CONNECT メッセージのユーザー名とパスワードフィールド (MQTT および MQTT over WebSockets プロトコルの場合) で認証情報を渡します。

AWS IoT Core は、次の 2 つの条件のいずれかをチェックします。

AWS IoT Core がこれらのいずれかの方法でオーソライザーを見つけた場合、AWS IoT Core はオーソライザーに関連付けられた Lambda 関数をトリガーします。

(オプション) トークン署名を有効にしている場合、AWS IoT Core は、Lambda 関数をトリガーする前に、オーソライザーに保存されているパブリックキーを使用してリクエストの署名を検証します。検証が失敗した場合、AWS IoT Core は Lambda 関数を呼び出さずにリクエストを停止します。 

Lambda 関数は、リクエスト内の認証情報と接続メタデータを受け取り、認証の可否を判断します。

Lambda 関数は、認証の可否の判断の結果と、接続で許可されるアクションを指定する AWS IoT Core ポリシードキュメントを返します。Lambda 関数は、Lambda 関数を呼び出して AWS IoT Core がリクエストの認証情報を再検証する頻度を指定する情報も返します。

AWS IoT Core は、Lambda 関数から受け取ったポリシーに照らして、接続のアクティビティを評価します。

接続が確立され、カスタムオーソライザー Lambda が最初に呼び出された後、MQTT オペレーションなしでアイドル状態の接続では、次の呼び出しが最大 5 分間遅延する可能性があります。その後、それ以降の呼び出しはカスタムオーソライザー Lambda の更新間隔に従います。このアプローチにより、AWS アカウント の Lambda 同時実行制限を超える可能性のある過剰な呼び出しを防ぐことができます。