关于iot:物联网场景中灵活实施对设备的控制管理

背景介绍

随着 Amazon IoT 设施的遍及，如何平安、灵便地治理对设施的管制权限变得更加简单。在以往简略的利用场景中，管制端 APP 仅仅须要应用 Amazon IoT 平台对一个设施进行管制。但随着家庭领有的物联网设施更加丰盛，管制端 APP 须要同时管制多个设施。另外，某些终端设备还须要提供给多人管制，例如家具式的智能排插可能反对被所有的家人关上或者敞开，因而就呈现一个管制端 APP 可能管制多个设施端，或者多个用户可能互相管制多个设施的权限治理问题。

对这两种场景，本文别离介绍如何联合 Amazon STS 服务，以 长期平安凭证 的形式在多设施和多用户的场景下精细化地向管制端 APP 散发和管理控制权限。

计划应用场景

场景一：单个管制端 APP 治理多个设施

当用户须要应用繁多管制端治理多台设施时，通过管制端 APP，用户可能实时查看所有设施的状态信息。而且，当用户通过管制端 APP 增加/删除设施后，管制端 APP 可能及时获取最新的管制权限。

在 Amazon IoT 场景下，思考到设施与服务端的交互的高可用性，以及对工夫和资源调度的不可预知性，利用 Amazon API Gateway 和 Amazon Lambda 组合的无服务器架构形式能够更好的满足理论应用需要。这是因为 Amazon API Gateway 和 Amazon Lambda 依照申请数量和持续时间进行计费，无需治理服务器，并取得继续扩大的能力。

另外，Amazon IoT 场景下大部分的治理关系属于键值存储，因而举荐应用 Amazon Dynamodb（一个托管的分布式 NoSQL 数据库）作为保留治理关系的数据库。

因而，咱们能够利用下图的架构来实现这一需要：

1. 管制端 APP 通过调用部署在 Amazon API Gateway 的更新管理权限 API 接口，批改保留在数据库中的治理关系。
2. 当管制端 APP 须要管制 Amazon IoT 设施时，管制端 APP 调用部署在 Amazon API Gateway 的获取长期凭证的 API 接口。
3. 在 Amazon Dynamodb 数据库中查问以后管制端 APP 所领有或可能管制的设施集。
4. 获取设施集后，通过调用 Amazon STS 服务的 AssumeRole API 申请长期凭证。在调用 AssumeRole API 时，依据设施集结构 AssumeRole API 的 Policy 参数，从而进一步收紧长期凭证的权限，使管制端 APP 只能管制无限的设施集。
5. 当管制端 APP 获取长期凭证后，就可能用 MQTT over Websocket，通过对 Amazon IoT Core 公布和订阅的形式对 Amazon IoT 设施进行管制。
6. 因为 Amazon STS 签发的长期凭证具备有效期，为了避免长期凭证过期影响管制端 APP 对 Amazon IoT API 的调用，在管制端 APP 开发时须要保护长期凭证的刷新机制。另外，因为长期凭证的权限是在其签发时决定的，因而对设施进行新增、批改、删除等变更操作后，应被动刷新长期凭证，以获取最新的权限。

场景二：多个管制端 APP 交互治理多个设施

现有的 Amazon IoT 设施蕴含更多交互个性。设施的购买者/拥有者始终保持对设施的齐全管制，但能够把设施的全副/局部管制权限分享给其他人，或对权限进行撤回。

多个管制端交互治理多个设施跟单个管制端的架构原理是相似的。不同在于，一个管制端的场景下管制端可能通过本身定义的逻辑被动刷新长期凭证，但在多个管制端的场景下，则须要构建一套管制端之间的音讯通信机制，告诉另一个管制端进行刷新。咱们能够利用下图的架构来实现这一需要：

当管制端 APP 获取长期凭证后，其通过 MQTT over Websocket 订阅本人的音讯告诉主题 topic，例如管制端 1 订阅主题 /phone/111，而管制端 2 订阅主题  /phone/222。当管制端 1 通过拜访更新管理权限的 API 接口把设施的管制权限分享给管制端 2，数据库更新后，被动向受影响的管制端 2 所订阅的主题 /phone/222 发送音讯。通过这种形式，受影响的管制端就可能获取到权限变更的告诉从而被动刷新本人的长期凭证。

须要留神的是，为了达到实时告诉的成果，管制端 APP 须要跟 Amazon IoT 平台建设长连贯。连接时间是 Amazon IoT 的其中一个免费维度，因而该计划可能会减少额定老本，具体如下：

1. 如果管制端 APP 也须要实时获取设施端的状态信息，通过共用长连贯，该音讯告诉机制不会减少管制端 APP 的连贯老本，只减少对一个 Topic 的订阅。
2. 如果管制端不须要获取设施端的实时状态，仅仅为了实现实时的音讯告诉机制而建设长连贯，那就可能须要思考在管制端 APP 建设长连贯带来的额定成本增加。依照亚马逊云科技官网的定价，以美国东部 (弗吉尼亚北部) 为例，一个管制端一年（3652460 分钟）全天候建设一个长连贯所需老本约为 0.042 USD。

总结

在物联网多人权限治理的场景中，咱们应用 Amazon STS 服务散发长期凭证，以满足权限的细粒度管制；用 Amazon DynamoDB 保留治理关系，满足权限批改的灵活性。而且 Amazon DynamoDB 和 Amazon STS 都是可扩大的托管服务，能满足物联网设施高并发的申请。能够看到，亚马逊云科技服务是模块化的，客户能够依据本人的须要像搭积木一样量身定制适宜的架构，以满足翻新的业务场景和设想空间。

本篇作者

邱越俊
亚马逊云科技解决方案架构师
相熟 Amnazon IoT 平台的开发和应用，善于数据分析、Amazon IoT 架构和治理, 具备丰盛的解决客户理论问题的教训。

扫描上方二维码即刻注册