Konfigurera Auktorisering för MQTT-asynkronisering

Viktigt!

Den här sidan innehåller instruktioner för att hantera Azure IoT Operations-komponenter med hjälp av Kubernetes-distributionsmanifest, som finns i förhandsversion. Den här funktionen har flera begränsningar och bör inte användas för produktionsarbetsbelastningar.

Juridiska villkor för Azure-funktioner i betaversion, förhandsversion eller som av någon annan anledning inte har gjorts allmänt tillgängliga ännu finns i kompletterande användningsvillkor för Microsoft Azure-förhandsversioner.

Auktoriseringsprinciper avgör vilka åtgärder klienterna kan utföra på asynkron meddelandekö, till exempel att ansluta, publicera eller prenumerera på ämnen. Konfigurera MQTT-asynkron meddelandekö för att använda en eller flera auktoriseringsprinciper med BrokerAuthorization-resursen. Varje BrokerAuthorization-resurs innehåller en lista med regler som anger huvudnamn och resurser för auktoriseringsprinciperna.

Länka BrokerAuthorization till BrokerListener

Om du vill länka en BrokerListener till en BrokerAuthorization-resurs anger du authorizationRef fältet i ports inställningen för BrokerListener-resursen. På samma sätt som BrokerAuthentication kan BrokerAuthorization-resursen länkas till flera BrokerListener-portar. Auktoriseringsprinciperna gäller för alla länkade lyssnarportar. Det finns dock en viktig skillnad jämfört med BrokerAuthentication:

Viktigt!

Om konfigurationen BrokerAuthorization ska gälla för en lyssnarport måste minst en BrokerAuthentication också vara länkad till lyssnarporten.

Mer information om BrokerListener finns i BrokerListener-resurs.

Auktoriseringsregler

Om du vill konfigurera auktorisering skapar du en BrokerAuthorization-resurs i ditt Kubernetes-kluster. Följande avsnitt innehåller exempel på hur du konfigurerar auktorisering för klienter som använder användarnamn, attribut, X.509-certifikat och Kubernetes-tjänstkontotoken (SAT). En lista över tillgängliga inställningar finns i API-referensen för auktorisering av asynkronisering.

I följande exempel visas hur du skapar en BrokerAuthorization-resurs med både användarnamn och attribut:

Portal

1. I Azure Portal navigerar du till din IoT Operations-instans.

2. Under Komponenter väljer du MQTT Broker.

3. Välj fliken Auktorisering .

4. Välj en befintlig autentiseringsprincip eller skapa en ny genom att välja Skapa auktoriseringsprincip.

   

Bicep

Om du vill redigera en auktoriseringsprincip skapar du en Bicep-fil .bicep med följande innehåll. Uppdatera inställningarna efter behov och ersätt platshållarvärdena som <AIO_INSTANCE_NAME> med dina egna.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param policyName string = '<POLICY_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource defaultBroker 'Microsoft.IoTOperations/instances/brokers@2024-11-01' existing = {
  parent: aioInstance
  name: 'default'
}

resource brokerAuthorization 'Microsoft.IoTOperations/instances/brokers/authorizations@2024-11-01' = {
  parent: defaultBroker
  name: policyName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    authorizationPolicies: {
      cache: 'Enabled'
      rules: [
        {
          principals: {
            clientIds: [
              'temperature-sensor'
              'humidity-sensor'
            ]
            attributes: [
              {
                city: 'seattle'
                organization: 'contoso'
              }
            ]
          }
          brokerResources: [
            {
              method: 'Connect'
            }
            {
              method: 'Publish'
              topics: [
                '/telemetry/{principal.clientId}'
                '/telemetry/{principal.attributes.organization}'
              ]
            }
            {
              method: 'Subscribe'
              topics: [
                '/commands/{principal.attributes.organization}'
              ]
            }
          ]
        }
      ]
    }
  }
}

Distribuera Bicep-filen med Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (förhandsversion)

apiVersion: mqttbroker.iotoperations.azure.com/v1
kind: BrokerAuthorization
metadata:
  name: "my-authz-policies"
  namespace: azure-iot-operations
spec:
  authorizationPolicies:
    cache: Enabled
    rules:
      - principals:
          clientIds:
            - "temperature-sensor"
            - "humidity-sensor"
          attributes:
            - city: "seattle"
              organization: "contoso"
        brokerResources:
          - method: Connect
          - method: Publish
            topics:
              - "/telemetry/{principal.clientId}"
              - "/telemetry/{principal.attributes.organization}"
          - method: Subscribe
            topics:
              - "/commands/{principal.attributes.organization}"

Om du vill skapa den här BrokerAuthorization-resursen använder du YAML-manifestet på ditt Kubernetes-kluster.

Med den här auktoriseringen för asynkronisering kan klienter med klient-ID temperature-sensor eller humidity-sensor, eller klienter med attribut organization med värde contoso och city med värdet seattle, göra följande:

• Anslut till asynkron meddelandekö.
• Publicera meddelanden till telemetriämnen som är begränsade till deras klient-ID:n och organisation. Till exempel:
  • temperature-sensor kan publicera till /telemetry/temperature-sensor och /telemetry/contoso.
  • humidity-sensor kan publicera till /telemetry/humidity-sensor och /telemetry/contoso.
  • some-other-username kan publicera till /telemetry/contoso.
• Prenumerera på kommandon som omfattas av deras organisation. Till exempel:
  • temperature-sensor kan prenumerera på /commands/contoso.
  • some-other-username kan prenumerera på /commands/contoso.

Använda användarnamn för auktorisering

Om du vill använda MQTT-användarnamnet för auktorisering anger du dem som en matris under principals.usernames. Beroende på autentiseringsmetoden kanske användarnamnet dock inte verifieras:

• Kubernetes SAT – Användarnamn bör inte användas för auktorisering eftersom det inte har verifierats för MQTTv5 med förbättrad autentisering.
• X.509 – Användarnamnet matchar CN från certifikatet och kan användas för auktoriseringsregler.
• Anpassad – Användarnamn ska endast användas för auktoriseringsregler om anpassad autentisering validerar användarnamnet.

Om du vill förhindra säkerhetsproblem använder du bara MQTT-användarnamnet för auktorisering av asynkron meddelandekö när det kan verifieras.

Begränsa åtkomsten ytterligare baserat på klient-ID

Eftersom fältet principals är ett logiskt ELLER kan du ytterligare begränsa åtkomsten baserat på klient-ID genom att lägga till fältet clientIds i fältet brokerResources . Om du till exempel vill tillåta klienter med klient-ID:n som börjar med dess byggnadsnummer att ansluta och publicera telemetri till ämnen som är begränsade till deras byggnad använder du följande konfiguration:

Portal

Använd följande konfiguration i auktoriseringsreglerna för auktoriseringshanteraren för din auktoriseringsprincip:

[
  {
    "brokerResources": [
      {
        "clientIds": [
          "{principal.attributes.building}*"
        ],
        "method": "Connect",
        "topics": []
      },
      {
        "clientIds": [],
        "method": "Publish",
        "topics": [
          "sensors/{principal.attributes.building}/{principal.clientId}/telemetry"
        ]
      }
    ],
    "principals": {
      "attributes": [
        {
          "building": "building22"
        },
        {
          "building": "building23"
        }
      ]
    }
  }
]

Bicep

Om du vill redigera en auktoriseringsprincip skapar du en Bicep-fil .bicep med följande innehåll. Uppdatera inställningarna efter behov och ersätt platshållarvärdena som <AIO_INSTANCE_NAME> med dina egna.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param policyName string = '<POLICY_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource defaultBroker 'Microsoft.IoTOperations/instances/brokers@2024-11-01' existing = {
  parent: aioInstance
  name: 'default'
}

resource brokerAuthorization 'Microsoft.IoTOperations/instances/brokers/authorizations@2024-11-01' = {
  parent: defaultBroker
  name: policyName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    authorizationPolicies: {
      cache: 'Enabled'
      rules: [
        {
          principals: {
            attributes: [
              {
                building: 'building22'
              }
              {
                building: 'building23'
              }
            ]
          }
          brokerResources: [
            {
              method: 'Connect'
              clientIds: [
                '{principal.attributes.building}*' // client IDs must start with building22
              ]
            }
            {
              method: 'Publish'
              topics: [
                'sensors/{principal.attributes.building}/{principal.clientId}/telemetry'
              ]
            }
          ]
        }
      ]
    }
  }
}

Distribuera Bicep-filen med Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (förhandsversion)

apiVersion: mqttbroker.iotoperations.azure.com/v1
kind: BrokerAuthorization
metadata:
  name: "my-authz-policies"
  namespace: azure-iot-operations
spec:
  authorizationPolicies:
    cache: Enabled
    rules:
    - principals:
        attributes:
          - building: "building22"
          - building: "building23"
      brokerResources:
      - method: Connect
        clientIds:
          - "{principal.attributes.building}*" # client IDs must start with building22
      - method: Publish
        topics:
          - "sensors/{principal.attributes.building}/{principal.clientId}/telemetry"

Här, om clientIds inte har angetts under Connect metoden, kan en klient med något klient-ID ansluta så länge attributet har building angetts till building22 eller building23. Genom att lägga till fältet clientIds är det bara klienter med klient-ID:t som börjar med building22 eller building23 kan ansluta. Detta säkerställer inte bara att klienten har rätt attribut utan även att klient-ID:t matchar det förväntade mönstret.

Auktorisera klienter som använder X.509-autentisering

Klienter som använder X.509-certifikat för autentisering kan ha behörighet att komma åt resurser baserat på X.509-egenskaper som finns på deras certifikat eller deras utfärdande certifikat i kedjan.

Använda attribut

Om du vill skapa regler baserat på egenskaper från en klients certifikat, dess rotcertifikatutfärdare eller mellanliggande certifikatutfärdare definierar du X.509-attributen i BrokerAuthorization-resursen. Mer information finns i Certifikatattribut.

Med klientcertifikatets eget namn som användarnamn

Om du bara vill skapa auktoriseringsprinciper baserat på klientcertifikatets eget namn (CN) skapar du regler baserat på CN.

Om en klient till exempel har ett certifikat med ämne CN = smart-lockär smart-lockdess användarnamn . Därifrån skapar du auktoriseringsprinciper som vanligt.

Auktorisera klienter som använder Kubernetes-tjänstkontotoken

Auktoriseringsattribut för SAT anges som en del av anteckningarna för tjänstkontot. Om du till exempel vill lägga till ett auktoriseringsattribut med namnet group med värdet authz-satkör du kommandot:

kubectl annotate serviceaccount mqtt-client aio-broker-auth/group=authz-sat

Attributanteckningar måste börja med aio-broker-auth/ för att skilja dem från andra anteckningar.

Eftersom programmet har ett auktoriseringsattribut med namnet authz-satbehöver du inte ange en clientId eller username. Motsvarande BrokerAuthorization-resurs använder det här attributet som huvudnamn, till exempel:

Portal

Använd följande konfiguration i auktoriseringsreglerna för auktoriseringshanteraren för din auktoriseringsprincip:

[
  {
    "brokerResources": [
      {
        "clientIds": [],
        "method": "Connect",
        "topics": []
      },
      {
        "clientIds": [],
        "method": "Publish",
        "topics": [
          "odd-numbered-orders"
        ]
      },
      {
        "clientIds": [],
        "method": "Subscribe",
        "topics": [
          "orders"
        ]
      }
    ],
    "principals": {
      "attributes": [
        {
          "group": "authz-sat"
        }
      ]
    }
  }
]

Bicep

Om du vill redigera en auktoriseringsprincip skapar du en Bicep-fil .bicep med följande innehåll. Uppdatera inställningarna efter behov och ersätt platshållarvärdena som <AIO_INSTANCE_NAME> med dina egna.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param policyName string = '<POLICY_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource defaultBroker 'Microsoft.IoTOperations/instances/brokers@2024-11-01' existing = {
  parent: aioInstance
  name: 'default'
}

resource brokerAuthorization 'Microsoft.IoTOperations/instances/brokers/authorizations@2024-11-01' = {
  parent: defaultBroker
  name: policyName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    authorizationPolicies: {
      rules: [
        {
          principals: {
            attributes: [
              {
                group: 'authz-sat'
              }
            ]
          }
          brokerResources: [
            {
              method: 'Connect'
            }
            {
              method: 'Publish'
              topics: [
                'odd-numbered-orders'
              ]
            }
            {
              method: 'Subscribe'
              topics: [
                'orders'
              ]
            }
          ]
        }
      ]
    }
  }
}

Distribuera Bicep-filen med Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (förhandsversion)

apiVersion: mqttbroker.iotoperations.azure.com/v1
kind: BrokerAuthorization
metadata:
  name: "my-authz-policies"
  namespace: azure-iot-operations
spec:
  authorizationPolicies:
    cache: Enabled
    rules:
      - principals:
          attributes:
            - group: "authz-sat"
        brokerResources:
          - method: Connect
          - method: Publish
            topics:
              - "odd-numbered-orders"
          - method: Subscribe
            topics:
              - "orders"

Mer information om ett exempel finns i Konfigurera auktoriseringsprincip med Dapr-klienten.

Tillståndslager

MQTT Broker tillhandahåller ett tillståndsarkiv som klienter kan använda för att lagra tillstånd. Tillståndsarkivet kan också konfigureras för hög tillgänglighet.

Ange följande behörigheter för att konfigurera auktorisering för klienter som använder tillståndsarkivet:

• Behörighet att publicera till ämnet för systemnyckelns värdelager $services/statestore/_any_/command/invoke/request
• Behörighet att prenumerera på svarsämnet (anges under den första publiceringen som en parameter) <response_topic>/#

Tillståndsarkivnycklar

Tillståndsarkivet nås via MQTT-koordinatorn i ämnet statestore/v1/FA9AE35F-2F64-47CD-9BFF-08E2B32A0FE8/command/invoke. Eftersom klienter har åtkomst till ämnet kan du ange nycklar och åtkomstnivåer under stateStoreResources avsnittet i MQTT-koordinatorkonfigurationen brokerResources .

Avsnittsformatet stateStoreResources består av åtkomstnivå, en mönsterindikator och mönstret.

Portal

Inkludera avsnittet stateStoreResources i reglerna för din auktoriseringsprincip.

"stateStoreResources": [
  {
    "method": "", // Values: read, write, readwrite 
    "keyType": "", //Values: string, pattern, binary. Default is pattern
    "keys": [
      // List of patterns to match
    ]
  },
]

Bicep

I Bicep tar du med avsnittet stateStoreResources i din auktoriseringsprincip.

stateStoreResources: [
  {
    method: '' // Values: read, write, readwrite 
    keyType: '' //Values: string, pattern, binary. Default is pattern
    keys: [
      // List of patterns to match
    ]
  }
  {
    method: 'ReadWrite'
    keyType: 'Binary'
    keys: [
      'xxxxxxxxxxxxxxxxxxxx'
    ]
  }
]

Kubernetes

I din anpassade resursdefinition tar du med avsnittet stateStoreResources i din auktoriseringsprincip.

stateStoreResources:
  - method:  # Values: read, write, readwrite 
    keyType: # Values: string, pattern, binary. Default is pattern
    keys:
      - # List of patterns to match

Fältet method anger åtkomstnivå.

• Läsåtkomst anges med read, skrivåtkomst med writeoch båda med readwrite.
• Åtkomstnivå krävs.
• Läsåtkomstnivå innebär åtgärderna get för och keynotify.
• Skrivåtkomstnivå innebär åtgärderna set, deloch vdel.

Fältet keyType anger typ av nyckelmatchning.

• patternför att använda mönstermatchning i globformat
• string för att göra exakt matchning, till exempel när en nyckel innehåller tecken som annars kan matchas som ett mönster (*, ?, [0-9])
• binary för att matcha en binär nyckel

Fältet keys anger vilka nycklar som ska matchas. Nycklarna kan anges som mönster i Glob-format , tokenersättningar eller exakta strängar.

• Exempel på Glob-format :
  • colors/*: Alla nycklar under prefixet "colors/"
  • number[0-9]: Valfri nyckel från "number0" till "number9"
  • char?: Valfri nyckel med prefixet "char" och ett suffix med en siffra, till exempel "charA"
  • *: Fullständig åtkomst till alla nycklar.
• Tillståndslagringsnycklar stöder även tokenersättning när nyckeltypen är pattern och klammerparenteser är reserverade för detta ändamål. Exempel på tokenersättning:
  • clients/{principal.clientId}/*
  • usernames/{principal.username}/*
  • rooms/{principal.attributes.room}/*

Här är ett exempel på hur du kan skapa dina tillståndslagerresurser:

Portal

Lägg till en liknande konfiguration i auktoriseringsreglerna för auktoriseringshanteraren för din auktoriseringsprincip:

[
  {
    "brokerResources": [
      {
        "clientIds": [
          "{principal.attributes.building}*"
        ],
        "method": "Connect"
      },
      {
        "method": "Publish",
        "topics": [
          "sensors/{principal.attributes.building}/{principal.clientId}/telemetry/*"
        ]
      },
      {
        "method": "Subscribe",
        "topics": [
          "commands/{principal.attributes.organization}"
        ]
      }
    ],
    "principals": {
      "attributes": [
        {
          "building": "17",
          "organization": "contoso"
        }
      ],
      "usernames": [
        "temperature-sensor",
        "humidity-sensor"
      ]
    },
    "stateStoreResources": [
      {
        "method": "Read",
        "keyType": "Pattern",
        "keys": [
          "myreadkey",
          "myotherkey?",
          "mynumerickeysuffix[0-9]",
          "clients/{principal.clientId}/*"
        ]
      },
      {
        "method": "ReadWrite",
        "keyType": "Binary",
        "keys": [
          "xxxxxxxxxxxxxxxxxxxx"
        ]
      }
    ]
  }
]

Bicep

Om du vill redigera en auktoriseringsprincip skapar du en Bicep-fil .bicep med följande innehåll. Uppdatera inställningarna efter behov och ersätt platshållarvärdena som <AIO_INSTANCE_NAME> med dina egna.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param policyName string = '<POLICY_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource defaultBroker 'Microsoft.IoTOperations/instances/brokers@2024-11-01' existing = {
  parent: aioInstance
  name: 'default'
}

resource brokerAuthorization 'Microsoft.IoTOperations/instances/brokers/authorizations@2024-11-01' = {
  parent: defaultBroker
  name: policyName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    authorizationPolicies: {
      cache: 'Enabled'
      rules: [
        {
          principals: {
            usernames: [
              'temperature-sensor'
              'humidity-sensor'
            ]
            attributes: [
              {
                city: 'seattle'
                organization: 'contoso'
              }
            ]
          }
          brokerResources: [
            {
              method: 'Connect'
            }
            {
              method: 'Publish'
              topics: [
                '/telemetry/{principal.username}'
                '/telemetry/{principal.attributes.organization}'
              ]
            }
            {
              method: 'Subscribe'
              topics: [
                '/commands/{principal.attributes.organization}'
              ]
            }
          ]
          stateStoreResources: [
            {
              method: 'Read'
              keyType: 'Pattern'
              keys: [
                'myreadkey'
                'myotherkey?'
                'mynumerickeysuffix[0-9]'
                'clients/{principal.clientId}/*'
              ]
            }
            {
              method: 'ReadWrite'
              keyType: 'Binary'
              keys: [
                'xxxxxxxxxxxxxxxxxxxx'
              ]
            }
          ]
        }
      ]
    }
  }
}

Distribuera Bicep-filen med Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes

stateStoreResources:
  - method: Read # Read includes Get, Notify
    keyType: "pattern" # string, pattern, binary
    keys:
      - "myreadkey" # explicit read access on key: myreadkey
      - "myotherkey?" # single digit wildcard
      - "mynumerickeysuffix[0-9]" # single digit number range
      - "clients/{principal.clientId}/*" # use token substitution and a wildcard for per-client sandboxing
  - method: ReadWrite  # ReadWrite access includes Get, Notify, Set, Del
    keyType: "binary" # binary keys have exact match, no patterns
    keys:
      - "xxxxxxxxxxxxxxxxxxxx"  # base-64 encoded binary key.

Uppdatera auktorisering

Auktoriseringsresurser för auktorisering kan uppdateras vid körning utan omstart. Alla klienter som är anslutna vid tidpunkten för uppdateringen av principen är frånkopplade. Det finns också stöd för att ändra principtypen.

kubectl edit brokerauthorization my-authz-policies

Inaktivera auktorisering

Portal

1. I Azure Portal navigerar du till din IoT Operations-instans.
2. Under Komponenter väljer du MQTT Broker.
3. Välj den koordinatorlyssnare som du vill redigera i listan.
4. På den port som du vill inaktivera auktorisering väljer du Ingen i listrutan auktorisering.

Bicep

Om du vill inaktivera auktorisering utelämnar authorizationRef ports du inställningen för din BrokerListener-resurs .

Kubernetes (förhandsversion)

Om du vill inaktivera auktorisering utelämnar authorizationRef ports du inställningen för din BrokerListener-resurs .

Obehörig publicering i MQTT 3.1.1

Med MQTT 3.1.1, när en publicering nekas, tar klienten emot PUBACK utan fel eftersom protokollversionen inte stöder returfelkod. MQTTv5 returnerar PUBACK med orsakskod 135 (inte auktoriserad) när publicering nekas.

Relaterat innehåll

• Om BrokerListener-resurs
• Konfigurera autentisering för en BrokerListener
• Självstudie: TLS, X.509-klientautentisering och auktorisering för attributbaserad åtkomstkontroll (ABAC)