서버 인증

디바이스 또는 다른 클라이언트가 AWS IoT Core에 연결하려고 시도하면 AWS IoT Core 서버는 디바이스가 서버를 인증하는 데 사용하는 X.509 인증서를 전송합니다. 인증은 X.509 인증서 체인 검증을 통해 TLS 계층에서 이루어집니다. 이는 HTTPS URL을 방문할 때 브라우저에서 사용하는 것과 동일한 방법입니다. 자체 인증 기관의 인증서를 사용하려면 단원을 참조하세요CA 인증서 관리

디바이스 또는 다른 클라이언트가 AWS IoT Core 엔드포인트에 대해 TLS 연결을 설정하면 AWS IoT Core는 디바이스가 AWS IoT Core와 통신하고 있으며 AWS IoT Core를 가장하는 다른 서버와 통신하고 있지 않음을 확인하는 데 사용하는 인증서 체인을 제공합니다. 표시되는 체인은 디바이스가 연결하는 엔드포인트 유형과 클라이언트와 AWS IoT Core이(가) TLS 핸드셰이크 중에 협상한 암호 그룹의 조합에 따라 다릅니다.

엔드포인트 유형

AWS IoT Core는 iot:Data-ATS를 지원합니다. iot:Data-ATS 엔드포인트는 Amazon Trust Services CA에서 서명한 서버 인증서를 제공합니다.

ATS 엔드포인트에서 제공하는 인증서는 Starfield에서 교차 서명합니다. 일부 TLS 클라이언트 구현에는 신뢰 루트의 검증이 필요하며 클라이언트의 신뢰할 수 있는 스토어에 Starfield CA 인증서가 설치되어 있어야 합니다.

describe-endpoint 명령을 사용하여 ATS 엔드포인트를 생성할 수 있습니다.

aws iot describe-endpoint --endpoint-type iot:Data-ATS

describe-endpoint 명령은 다음 형식으로 엔드포인트를 반환합니다.

account-specific-prefix.iot.your-region.amazonaws.com

AWS SDK for Java로 IotDataPlaneClient 생성

iot:Data-ATS 엔드포인트를 사용하는 IotDataPlaneClient를 생성하려면 다음을 수행해야 합니다.

다음 예제에서는 이 두 작업을 모두 수행합니다.

public void setup() throws Exception {
        IotClient client = IotClient.builder().credentialsProvider(CREDENTIALS_PROVIDER_CHAIN).region(Region.US_EAST_1).build();
        String endpoint = client.describeEndpoint(r -> r.endpointType("iot:Data-ATS")).endpointAddress();
        iot = IotDataPlaneClient.builder()
                                .credentialsProvider(CREDENTIALS_PROVIDER_CHAIN)
                                .endpointOverride(URI.create("https://" + endpoint))
                                .region(Region.US_EAST_1)
                                .build();
}

서버 인증을 위한 CA 인증서

사용 중인 데이터 엔드포인트의 유형과 협상한 암호 그룹에 따라, AWS IoT Core 서버 인증 인증서는 다음 루트 CA 인증서 중 하나에서 서명됩니다.

Amazon Trust Services 엔드포인트(기본 설정됨)

이러한 인증서는 모두 Starfield 루트 CA 인증서에서 교차 서명됩니다. 2018년 5월 9일 아시아 태평양(뭄바이) 리전에서 AWS IoT Core 출시를 시작으로, 모든 새로운 AWS IoT Core 리전에서는 ATS 인증서만 서비스됩니다.

VeriSign 엔드포인트(레거시)

서버 인증 지침

디바이스에서 AWS IoT Core 서버 인증 인증서를 검증하는 기능에 영향을 미칠 수 있는 많은 변수가 있습니다. 예를 들어 디바이스의 메모리가 너무 한정적이어서 가능한 모든 루트 CA 인증서를 보유할 수 없거나, 디바이스가 비표준 인증서 검증 방법을 구현할 수 있습니다. 이러한 이유로 다음 지침을 따르는 것이 좋습니다.