Mosquitto: API 認證

如何使用外部 API 認證數以千計的設備

👋 歡迎瀏覽 Stackhero 文件！

Stackhero 為您提供一個全託管的 Mosquitto MQTT cloud 環境，專為高可靠性及靈活性而設：

無限訊息吞吐量及數據傳輸，確保您的工作流程不會受到人為限制。

透過您自設的外部 API，實現無限裝置認證，讓裝置接入及存取管理更輕鬆。

進階 ACLs，可細緻控制 topics、用戶及操作權限。

提供自訂網域名稱及內建HTTPS，確保端點安全並展現品牌形象（例如：https://mqtt.your-company.com）。

零煩惱更新：只需一鍵即可套用功能改進或安全修補。

穩定效能及強大安全性，每個實例均運行於專屬私有基礎設施。

加速您的 IoT 項目，同時減少營運負擔。您只需數分鐘，即可啟動一個安全、可投入生產的 Mosquitto MQTT cloud hosting 實例。

在設備認證方面，您有兩個主要方法。您可以使用簡單的方法，或者將認證委託給外部 API。

如果您有少於 20 個設備且不需要高級 ACL 控制，最簡單的方法效果很好。在這種情況下，您可以在 Stackhero 儀表板的服務配置中為每個設備創建單獨的登入名和密碼。

或者，您可以將認證委託給外部 API。這種方法提供動態憑證管理，並允許您實施強大的 ACL。ACL（訪問控制列表）讓您可以為每個用戶定義精確的發佈或訂閱特定主題的權限。

MQTT API 認證如何運作

當您有超過 20 個 IoT 設備或需要詳細的主題 ACL 管理時，使用外部 API 認證特別有用。

當設備連接到 MQTT 時，Mosquitto 會向您的 API 發送 HTTP POST 請求。請求包含一個 JSON 負載，其中包括設備的用戶名和密碼。如果您的 API 返回 HTTP 狀態碼 200，則設備獲得授權。任何不是 200 的狀態碼（如 401）都會導致設備被拒絕訪問。

在 ACL 驗證期間，會傳輸四個參數：username、clientid、topic 和 acc。您的 API 應該驗證 username 是否被允許在 topic 上執行 acc 定義的操作。acc 參數定義如下：

讀取權限 (1)
寫入權限 (2)
讀寫權限 (3)
訂閱權限 (4)

例如，如果用戶 userA 嘗試訂閱主題 sensors/temperatures，您的 API 將收到以下 JSON：

{
  "username": "userA",
  "clientid": "userA",
  "topic": "sensors/temperatures",
  "acc": 4
}

當您使用 API 進行用戶認證時，您仍然可以在 Stackhero 儀表板中手動定義用戶。在這種情況下，手動定義的用戶將被優先考慮。

Node.js 中的 MQTT API 認證

為了展示外部 API 認證在實踐中的運作方式，我們使用 Node.js 創建了一個示例 API 服務器。您可以在這裡查看完整的存儲庫：https://github.com/stackhero-io/mosquittoGettingStarted。

使用 Node-RED 的 MQTT API 認證

Stackhero for Node-RED 包含一個 Mosquitto 服務器。然而，對於高級使用，建議使用獨立的 Mosquitto 服務。此示例展示如何使用獨立的 Mosquitto 服務和 Node-RED 服務的 API 認證系統。如果您使用的是 Node-RED 附帶的 Mosquitto 服務，此指南不適用於您。

Stackhero for Node-RED 提供了一個名為 "MQTT authentication" 的流中的 MQTT API 連接示例。此流也用於 Stackhero for Node-RED 中的集成 Mosquitto 服務器。

配置 Mosquitto 以使用 Node-RED 作為認證 API

要使用 Node-RED 作為您的 API 認證端點，請按以下方式更新您的 Mosquitto 配置：

啟用 API authentication 選項。
將 Host 欄位設置為您的 Node-RED 網域。
選擇 HTTPS 作為 Protocol 並輸入 443 作為 Port。
指定 User route 為 /mqttAuthentication/userGet。
指定 ACLs route 為 /mqttAuthentication/aclCheck。

為了調試，您可以將 "Authentication cache time" 設置為 1 秒。一旦您的設置運行順利，建議的值是 30 秒。

Mosquitto 配置示例

配置 Node-RED 作為 MQTT 認證 API

更新 Mosquitto 配置後，啟動 Node-RED 並打開 MQTT authentication 流。編輯 Users 節點以配置您的用戶憑證。提供的示例包括多個用戶名和密碼組合。隨時添加所需的用戶。

Node-RED MQTT 認證流