动态注册_阿里云接入的认证方式，一机一密一型一密动态注册

  设备接入阿里云物联网平台之前&＃xff0c;需通过身份认证。目前&＃xff0c;阿里云平台支持使用设备密钥、ID²和X.509证书进行设备身份认证。
  必须要明白产品和设备的关系&＃xff0c;他们是从属关系&＃xff0c;比如某个小区的水表就是一个产品&＃xff0c;然后小区里面每户的水表就是设备&＃xff0c;如果这个小区有1000户&＃xff0c;那么这个产品下就有1000个设备。产品有一个ProductKey&＃xff0c;每个设备有自己的DeviceName和DeviceSecret&＃xff0c;当接入阿里云的时候&＃xff0c;提供这3个字符串&＃xff0c;就能把每个设备和平台上的设备一一对应起来&＃xff0c;DeviceSecret用于鉴权&＃xff0c;防止他人伪造ProductKey和DeviceName&＃xff0c;恶意接入。因为他人很容易就能知道ProductKey和DeviceName。

  在创建产品时&＃xff0c;认证方式选择为设备密钥&＃xff0c;物联网平台会为设备颁发ProductSecret、DeviceSecret等密钥。设备接入物联网平台时&＃xff0c;需使用密钥进行身份认证。

  针对不同的使用环境&＃xff0c;物联网平台提供了使用密钥认证的四种认证方案。

• 一机一密&＃xff1a;每台设备烧录自己的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;。
• 一型一密预注册&＃xff1a;同一产品下设备烧录相同产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。开通产品的动态注册功能&＃xff0c;设备通过动态注册获取DeviceSecret。
• 一型一密免预注册&＃xff1a;同一产品下设备烧录相同产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。开通产品的动态注册功能&＃xff0c;通过动态注册&＃xff0c;设备不获取DeviceSecret&＃xff0c;而是获取ClientID与DeviceToken的组合。
• 子设备动态注册&＃xff1a;网关连接上云后&＃xff0c;子设备通过动态注册获取DeviceSecret。

  四种方案在易用性和安全性上各有优势&＃xff0c;您可以根据设备所需的安全等级和实际的产线条件灵活选择。方案对比&＃xff0c;如下表所示。

一机一密

官方文档链接
  一机一密认证方法&＃xff0c;即预先为每个设备烧录其唯一的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;。当设备与物联网平台建立连接时&＃xff0c;物联网平台对其携带的设备证书信息进行认证。认证通过&＃xff0c;物联网平台激活设备&＃xff0c;设备与物联网平台间才可传输数据。
  一机一密认证方式的安全性较高&＃xff0c;推荐使用。

使用流程

操作步骤

1. 创建产品。
   在物联网平台控制台创建产品。
2. 添加设备。
   在已创建产品下添加设备&＃xff0c;并获取设备证书信息。
3. 产线烧录。
   开发设备端程序&＃xff0c;把三元素&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;嵌入程序中或者保存到外部Flash中&＃xff0c;每个设备保存自己的三元素。
4. 设备联网。
   设备上电联网后&＃xff0c;携带设备证书发起认证请求。
5. 云端激活。
   物联网平台对设备证书进行校验。认证通过后&＃xff0c;与设备建立连接&＃xff0c;设备便可通过发布消息至Topic和订阅Topic消息&＃xff0c;与物联网平台进行数据通信。

BC26连接阿里云&＃xff0c;MQTT协议&＃xff0c;AT流程和STM32代码实现

一型一密

官方文档链接
  一型一密认证方式下&＃xff0c;同一产品下所有设备可以烧录相同的设备标志信息&＃xff0c;即所有设备包含相同的产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。设备发送激活请求时&＃xff0c;物联网平台会进行身份确认&＃xff0c;认证通过后&＃xff0c;下发设备接入所需信息。
  一型一密认证支持两种使用方式&＃xff1a;一型一密免预注册、一型一密预注册&＃xff0c;对比说明如下表所示。

注意

• 采用一型一密认证方式&＃xff0c;设备烧录相同的标志信息&＃xff0c;存在产品证书泄露风险。您可以在物联网平台控制台的产品详情页面&＃xff0c;手动关闭动态注册开关&＃xff0c;拒绝新设备的认证请求。
• 一型一密动态注册时必须使用TLS加密&＃xff0c;如果您的设备端SDK无法运行TLS加密&＃xff0c;则无法使用一型一密认证方式&＃xff0c;请采用一机一密认证方式。

使用流程

操作步骤

1. 创建产品&＃xff1a;在物联网平台控制台创建产品。
2. 开启动态注册&＃xff1a;在已创建产品的产品详情页面&＃xff0c;开启动态注册开关。物联网平台将进行短信验证&＃xff0c;以确认是您本人操作。

说明 若设备发出激活请求时&＃xff0c;物联网平台校验发现该开关未开启&＃xff0c;将拒绝新设备的动态激活请求。已激活设备不受影响。

3. 可选&＃xff1a;批量添加设备或单个添加设备&＃xff1a;若使用一型一密预注册认证方式接入设备&＃xff0c;您需在已创建产品下添加设备。因设备激活时会校验DeviceName&＃xff0c;建议您采用可以直接从设备中读取到的ID&＃xff0c;如设备的MAC地址、IMEI或SN码等&＃xff0c;作为DeviceName使用。
   添加设备成功后&＃xff0c;物联网平台为设备颁发DeviceSecret。设备初始状态为未激活。

4. 产线烧录&＃xff1a;开发设备端程序&＃xff0c;完成产线烧录。
   在设备端SDK中&＃xff0c;填入产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。

5. 设备联网。
   设备上电联网后&＃xff0c;携带ProductKey、ProductSecret、DeviceName发起认证请求。请参见基于MQTT通道的设备动态注册、基于HTTP通道的设备动态注册。

6. 物联网平台激活设备。
   一型一密预注册&＃xff1a;物联网平台校验通过后&＃xff0c;为实际物理设备下发步骤3中为该设备颁发的DeviceSecret。至此&＃xff0c;物理设备获得连接物联网平台所需的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;&＃xff0c;可以与物联网平台建立连接&＃xff0c;进行数据通信。
   一型一密免预注册&＃xff1a;物联网平台校验通过后&＃xff0c;下发ClientID、DeviceToken。设备后续通过ProductKey、ProductSecret和下发的ClientID、DeviceToken与物联网平台建立连接&＃xff0c;进行数据通信。
   当多个不同ClientID的物理设备共用一个DeviceName时&＃xff0c;物联网平台控制台产品详情页将提示当前产品下有设备同时有两个ClientID。您可根据以下操作&＃xff0c;指定保留唯一物理设备&＃xff0c;或清除所有物理设备&＃xff1a;

   
   
   • 在产品详情页&＃xff0c;单击该提示后的查看&＃xff0c;跳转到产品下的风险设备列表。
   • 在设备管理 > 设备&＃xff0c;单击列表中设备对应的查看&＃xff0c;进入设备详情页&＃xff0c;页面显示当前连接的ClientID&＃xff0c;单击ClientID右侧的切换或清除。
     切换&＃xff1a;从下拉列表选择ClientID&＃xff0c;通过该ClientID对应设备的首次连接时间&＃xff0c;或者单击日志服务&＃xff0c;通过该ClientID对应设备的云端运行日志&＃xff0c;判断其是否为需要保留的物理设备。选择要保留的物理设备的ClientID&＃xff0c;单击确认。未被选择的ClientID对应物理设备&＃xff0c;将被禁止连接。
     有关云端运行日志说明&＃xff0c;请参见云端运行日志。
     清除&＃xff1a;所有物理设备都将被禁止连接。

EC20模块AT指令MQTT连接阿里云IoT&＃xff0c;HTTP接口来实现一型一密动态注册的流程。

  阿里云提供IoT设备身份认证ID²&＃xff08;Internet Device ID&＃xff09;。ID²是一种物联网设备的可信身份标识&＃xff0c;具备不可篡改、不可伪造、全球唯一等安全属性。

  在创建产品时&＃xff0c;认证方式选择为ID²&＃xff0c;设备接入物联网平台时&＃xff0c;使用ID²身份认证。

  使用ID²认证&＃xff0c;需购买ID²服务。ID²服务购买方式和使用指南&＃xff0c;请参见IoT设备身份认证&＃xff08;ID²&＃xff09;用户手册

说明
目前仅华东2&＃xff08;上海&＃xff09;地域支持ID²认证。
连网方式选择为LoRaWAN的产品不支持ID²认证。

  X.509是由国际电信联盟&＃xff08;ITU-T&＃xff09;制定的数字证书标准&＃xff0c;具有通信实体鉴别机制。目前物联网平台华东2&＃xff08;上海&＃xff09;地域支持使用X.509证书进行设备身份认证。

使用X.509证书的操作流程&＃xff1a;

1. 在创建产品时&＃xff0c;认证方式选择为X.509证书。
2. 在该产品下创建设备&＃xff0c;物联网平台会为设备颁发X.509证书和密钥。
3. 开发设备端&＃xff0c;将X.509数字证书和密钥烧录到设备上。设备端上身份认证配置&＃xff0c;请参见使用X.509证书认证。

说明
仅MQTT协议直连的设备可使用X.509证书认证。
目前仅华东2&＃xff08;上海&＃xff09;地域支持X.509证书认证。
连网方式为LoRaWAN的产品不支持X.509证书认证。
设备身份认证方式设置后&＃xff0c;不可更改。