控制对 Cognito 身份的 AWS IoT 策略操作的访问

Question

Documentation for IAM 声明 Resource 属性 AttachUserPolicy 和 DetacherUserPolicy 应设置为托管策略将附加到的用户主体。虽然iot:AttachPrincipalPolicy 和iot:DetachPrincipalPolicy 的文档没有那么详细，但错误消息

AccessDeniedException：用户：arn:aws:sts::ACCOUNT_ID:assumed-role/ROLE/CognitoIdentityCredentials 无权执行：iot:AttachPrincipalPolicy on resource:COGNITO_ID

让我相信它需要一个用于 Cognito 身份或身份池的 ARN。但是，指定 Cognito documentation 中显示的 ARN 会导致相同的错误。 Cognito 身份 ARN 也无法在策略生成器中验证。

我应该指定什么资源，以便允许 iot:AttachPrincipalPolicy 和 iot:DetachPrincipalPolicy 在 Cognito 身份上附加/分离 IoT 策略？

Answer 1

将 Cognito 身份与 AWS IoT 结合使用有两条略有不同的路径。 Cognito 身份池支持未经身份验证的身份（任何代理都可以获取凭据）或经过身份验证的身份（与 Cognito 用户池、Facebook、OpenID 等提供商绑定的用户）。 AWS IoT 在使用 Cognito 获取凭证时支持这两种情况。

使用未经身份验证的情况时，您必须将策略附加到使用您的 Cognito 身份池创建的 cognito_unauth_role。身份访问和管理 (IAM) 控制台是您将策略附加到此角色的位置。要开始使用，请尝试附加托管策略“AWSIoTDataAccess”。然后，您未经身份验证的 Cognito ID 可以获取传递给 AWS IoT 以建立连接的凭证（访问密钥、秘密密钥、会话令牌）。

使用经过身份验证的案例时，您必须将策略附加到使用您的 Cognito 身份池创建的 cognito_auth_role和为每个经过身份验证的实体创建的 Cognito ID。 AWS IoT API AttachPrincipalPolicy 用于将 AWS IoT 策略附加到 Cognito ID。 CLI 中该 API 调用的格式类似于：aws iot attach-principal-policy --policy-name myPolicy --principal us-east-1:abcd1234-5678-1234-abcd1234efgh。在这种情况下，主体是经过身份验证的实体的 Cognito ID。只有同时具备这两个策略，Cognito 返回的凭证才能连接到 AWS IoT。