通过用户属性限制IoT主题

Question

我正在使用Amazon Cognito和AWS IoT进行概念验证，我需要一些帮助。 我一切正常，我只需要锁定一下。 我的Cognito用户池是我的身份池唯一的身份验证提供程序。

我想基于用户池中用户的自定义属性限制可以订阅的IoT主题。 IAM角色有可能吗？ 我已经可以通过在角色中输入主题过滤器来限制它，我只需要知道是否可以在其中使用变量即可。

在我的用例中，应用程序可以有多个组织在使用该应用程序，每个组织彼此完全分开，但是使用相同的代码和基础结构。 我希望我可以在用户上指定组织ID，然后要求所有主题在开始时都具有用户的组织ID。

我认为我正在寻找的方法远远超出了IAM角色所能做的，但是我想先检查一下。

Answer 1

自定义属性不会直接在IAM策略中作为策略变量公开。

我认为您可以为此使用Cognito用户池中的组支持 。 您可以将来自不同组织的用户分配给该组织的组。 分配给每个组的IAM角色可以与您锁定的IoT策略一起使用。

使用联合身份和用户池集成，您可以为用户获取临时的AWS凭据。 在Cognito联合身份中使用基于角色的访问控制功能将确保使用分配给用户所属的Cognito用户池组的角色来假定使用凭据。

希望这可以帮助。