设备接入阿里云物联网平台之前&＃xff0c;需通过身份认证。目前&＃xff0c;阿里云平台支持使用设备密钥、ID²和X.509证书进行设备身份认证。
必须要明白产品和设备的关系&＃xff0c;他们是从属关系&＃xff0c;比如某个小区的水表就是一个产品&＃xff0c;然后小区里面每户的水表就是设备&＃xff0c;如果这个小区有1000户&＃xff0c;那么这个产品下就有1000个设备。产品有一个ProductKey&＃xff0c;每个设备有自己的DeviceName和DeviceSecret&＃xff0c;当接入阿里云的时候&＃xff0c;提供这3个字符串&＃xff0c;就能把每个设备和平台上的设备一一对应起来&＃xff0c;DeviceSecret用于鉴权&＃xff0c;防止他人伪造ProductKey和DeviceName&＃xff0c;恶意接入。因为他人很容易就能知道ProductKey和DeviceName。
设备密钥认证
在创建产品时&＃xff0c;认证方式选择为设备密钥&＃xff0c;物联网平台会为设备颁发ProductSecret、DeviceSecret等密钥。设备接入物联网平台时&＃xff0c;需使用密钥进行身份认证。
针对不同的使用环境&＃xff0c;物联网平台提供了使用密钥认证的四种认证方案。
- 一机一密&＃xff1a;每台设备烧录自己的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;。
- 一型一密预注册&＃xff1a;同一产品下设备烧录相同产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。开通产品的动态注册功能&＃xff0c;设备通过动态注册获取DeviceSecret。
- 一型一密免预注册&＃xff1a;同一产品下设备烧录相同产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。开通产品的动态注册功能&＃xff0c;通过动态注册&＃xff0c;设备不获取DeviceSecret&＃xff0c;而是获取ClientID与DeviceToken的组合。
- 子设备动态注册&＃xff1a;网关连接上云后&＃xff0c;子设备通过动态注册获取DeviceSecret。
四种方案在易用性和安全性上各有优势&＃xff0c;您可以根据设备所需的安全等级和实际的产线条件灵活选择。方案对比&＃xff0c;如下表所示。
| 对比项 | 一机一密 | 一型一密预注册 | 一型一密免预注册 | 子设备动态注册 |
|---|
| 设备端烧录信息 | ProductKey、DeviceName、DeviceSecret | ProductKey、ProductSecret | ProductKey、ProductSecret | ProductKey |
| 云端是否需要开启动态注册 | 无需开启&＃xff0c;默认支持。 | 需打开动态注册开关。 | 需打开动态注册开关。 | 需打开动态注册开关。 |
| 是否需要提前在物联网平台创建设备&＃xff0c;注册DeviceName | 需要&＃xff0c;产品下DeviceName唯一。 | 需要&＃xff0c;产品下DeviceName唯一。 | 不需要。 | 需要&＃xff0c;确保产品下DeviceName唯一。 |
| 产线烧录要求 | 逐一烧录设备证书&＃xff0c;需确保设备证书的安全性。 | 批量烧录相同的产品证书&＃xff0c;需确保产品证书的安全存储。 | 批量烧录相同的产品证书&＃xff0c;需确保产品证书的安全存储。 | 网关可以本地获取子设备ProductKey。将子设备ProductKey烧录在网关上。 |
| 安全性 | 较高 | 一般 | 一般 | 一般 |
| 是否有配额限制 | 有&＃xff0c;单个产品50万上限。 | 有&＃xff0c;单个产品50万上限。 | 有&＃xff0c;单个产品50万上限。 | 有&＃xff0c;单个网关最多可注册1500个子设备。 |
| 其他外部依赖 | 无 | 无 | 无 | 依赖网关的安全性保障。 |
一机一密
官方文档链接
一机一密认证方法&＃xff0c;即预先为每个设备烧录其唯一的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;。当设备与物联网平台建立连接时&＃xff0c;物联网平台对其携带的设备证书信息进行认证。认证通过&＃xff0c;物联网平台激活设备&＃xff0c;设备与物联网平台间才可传输数据。
一机一密认证方式的安全性较高&＃xff0c;推荐使用。
使用流程
操作步骤
- 创建产品。
在物联网平台控制台创建产品。 - 添加设备。
在已创建产品下添加设备&＃xff0c;并获取设备证书信息。 - 产线烧录。
开发设备端程序&＃xff0c;把三元素&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;嵌入程序中或者保存到外部Flash中&＃xff0c;每个设备保存自己的三元素。 - 设备联网。
设备上电联网后&＃xff0c;携带设备证书发起认证请求。 - 云端激活。
物联网平台对设备证书进行校验。认证通过后&＃xff0c;与设备建立连接&＃xff0c;设备便可通过发布消息至Topic和订阅Topic消息&＃xff0c;与物联网平台进行数据通信。
BC26连接阿里云&＃xff0c;MQTT协议&＃xff0c;AT流程和STM32代码实现
一型一密
官方文档链接
一型一密认证方式下&＃xff0c;同一产品下所有设备可以烧录相同的设备标志信息&＃xff0c;即所有设备包含相同的产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。设备发送激活请求时&＃xff0c;物联网平台会进行身份确认&＃xff0c;认证通过后&＃xff0c;下发设备接入所需信息。
一型一密认证支持两种使用方式&＃xff1a;一型一密免预注册、一型一密预注册&＃xff0c;对比说明如下表所示。
注意
- 采用一型一密认证方式&＃xff0c;设备烧录相同的标志信息&＃xff0c;存在产品证书泄露风险。您可以在物联网平台控制台的产品详情页面&＃xff0c;手动关闭动态注册开关&＃xff0c;拒绝新设备的认证请求。
- 一型一密动态注册时必须使用TLS加密&＃xff0c;如果您的设备端SDK无法运行TLS加密&＃xff0c;则无法使用一型一密认证方式&＃xff0c;请采用一机一密认证方式。
| 对比项 | 一型一密免预注册 | 一型一密预注册 |
|---|
| 接入协议 | MQTT协议 | HTTP协议、MQTT协议 |
| 支持地域 | 华东2&＃xff08;上海&＃xff09; | HTTP协议&＃xff1a;除华北2&＃xff08;北京&＃xff09;、华南1&＃xff08;深圳&＃xff09;以外的所有地域。
MQTT协议&＃xff1a;物联网平台支持的所有地域。 |
| 功能特点 | 不需要在物联网平台预注册设备DeviceName。使用方法&＃xff0c;请参见下文“操作步骤”。 | 需要在物联网平台预注册设备DeviceName。使用方法&＃xff0c;请参见下文“操作步骤”。 |
| 使用限制 | 物联网平台允许最多5个物理设备使用同一组ProductKey、ProductSecret、DeviceName进行激活&＃xff0c;并为不同物理设备下发不同的ClientID、DeviceToken。 | 同一组设备证书只能用于激活一个物理设备。若DeviceName名下已激活物理设备A&＃xff0c;但物理设备B需要使用该DeviceName&＃xff0c;则您可以在物联网平台上删除设备A&＃xff0c;使设备A的DeviceSecret作废&＃xff0c;再使用原DeviceName重新添加设备&＃xff0c;激活物理设备B。
若设备因丢失DeviceSecret等原因需要重新激活&＃xff0c;需您调用ResetThing接口&＃xff0c;重置设备状态为未激活&＃xff0c;然后将设备重新联网激活。此时&＃xff0c;物联网平台下发的DeviceSecret不变。 |
使用流程
操作步骤
- 创建产品&＃xff1a;在物联网平台控制台创建产品。
- 开启动态注册&＃xff1a;在已创建产品的产品详情页面&＃xff0c;开启动态注册开关。物联网平台将进行短信验证&＃xff0c;以确认是您本人操作。
说明 若设备发出激活请求时&＃xff0c;物联网平台校验发现该开关未开启&＃xff0c;将拒绝新设备的动态激活请求。已激活设备不受影响。
-
可选&＃xff1a;批量添加设备或单个添加设备&＃xff1a;若使用一型一密预注册认证方式接入设备&＃xff0c;您需在已创建产品下添加设备。因设备激活时会校验DeviceName&＃xff0c;建议您采用可以直接从设备中读取到的ID&＃xff0c;如设备的MAC地址、IMEI或SN码等&＃xff0c;作为DeviceName使用。
添加设备成功后&＃xff0c;物联网平台为设备颁发DeviceSecret。设备初始状态为未激活。
-
产线烧录&＃xff1a;开发设备端程序&＃xff0c;完成产线烧录。
在设备端SDK中&＃xff0c;填入产品证书&＃xff08;ProductKey和ProductSecret&＃xff09;。
-
设备联网。
设备上电联网后&＃xff0c;携带ProductKey、ProductSecret、DeviceName发起认证请求。请参见基于MQTT通道的设备动态注册、基于HTTP通道的设备动态注册。
-
物联网平台激活设备。
一型一密预注册&＃xff1a;物联网平台校验通过后&＃xff0c;为实际物理设备下发步骤3中为该设备颁发的DeviceSecret。至此&＃xff0c;物理设备获得连接物联网平台所需的设备证书&＃xff08;ProductKey、DeviceName和DeviceSecret&＃xff09;&＃xff0c;可以与物联网平台建立连接&＃xff0c;进行数据通信。
一型一密免预注册&＃xff1a;物联网平台校验通过后&＃xff0c;下发ClientID、DeviceToken。设备后续通过ProductKey、ProductSecret和下发的ClientID、DeviceToken与物联网平台建立连接&＃xff0c;进行数据通信。
当多个不同ClientID的物理设备共用一个DeviceName时&＃xff0c;物联网平台控制台产品详情页将提示当前产品下有设备同时有两个ClientID。您可根据以下操作&＃xff0c;指定保留唯一物理设备&＃xff0c;或清除所有物理设备&＃xff1a;
- 在产品详情页&＃xff0c;单击该提示后的查看&＃xff0c;跳转到产品下的风险设备列表。
- 在设备管理 > 设备&＃xff0c;单击列表中设备对应的查看&＃xff0c;进入设备详情页&＃xff0c;页面显示当前连接的ClientID&＃xff0c;单击ClientID右侧的切换或清除。
切换&＃xff1a;从下拉列表选择ClientID&＃xff0c;通过该ClientID对应设备的首次连接时间&＃xff0c;或者单击日志服务&＃xff0c;通过该ClientID对应设备的云端运行日志&＃xff0c;判断其是否为需要保留的物理设备。选择要保留的物理设备的ClientID&＃xff0c;单击确认。未被选择的ClientID对应物理设备&＃xff0c;将被禁止连接。
有关云端运行日志说明&＃xff0c;请参见云端运行日志。
清除&＃xff1a;所有物理设备都将被禁止连接。
EC20模块AT指令MQTT连接阿里云IoT&＃xff0c;HTTP接口来实现一型一密动态注册的流程。
ID²认证
阿里云提供IoT设备身份认证ID²&＃xff08;Internet Device ID&＃xff09;。ID²是一种物联网设备的可信身份标识&＃xff0c;具备不可篡改、不可伪造、全球唯一等安全属性。
在创建产品时&＃xff0c;认证方式选择为ID²&＃xff0c;设备接入物联网平台时&＃xff0c;使用ID²身份认证。
使用ID²认证&＃xff0c;需购买ID²服务。ID²服务购买方式和使用指南&＃xff0c;请参见IoT设备身份认证&＃xff08;ID²&＃xff09;用户手册
说明
目前仅华东2&＃xff08;上海&＃xff09;地域支持ID²认证。
连网方式选择为LoRaWAN的产品不支持ID²认证。
X.509证书认证
X.509是由国际电信联盟&＃xff08;ITU-T&＃xff09;制定的数字证书标准&＃xff0c;具有通信实体鉴别机制。目前物联网平台华东2&＃xff08;上海&＃xff09;地域支持使用X.509证书进行设备身份认证。
使用X.509证书的操作流程&＃xff1a;
- 在创建产品时&＃xff0c;认证方式选择为X.509证书。
- 在该产品下创建设备&＃xff0c;物联网平台会为设备颁发X.509证书和密钥。
- 开发设备端&＃xff0c;将X.509数字证书和密钥烧录到设备上。设备端上身份认证配置&＃xff0c;请参见使用X.509证书认证。
说明
仅MQTT协议直连的设备可使用X.509证书认证。
目前仅华东2&＃xff08;上海&＃xff09;地域支持X.509证书认证。
连网方式为LoRaWAN的产品不支持X.509证书认证。
设备身份认证方式设置后&＃xff0c;不可更改。
京公网安备 11010802041100号