4. 云平台账号与项目准备
物联网设备接入云平台并非简单的网络连接，而是一套涉及账号体系、产品模型、设备身份、安全凭证与访问控制的系统工程。在动手编写设备端代码之前，必须完成云端的“地基”搭建。本章将围绕主流物联网云平台（以阿里云物联网平台、腾讯云IoT、华为云IoTDA为参考模型）的共性操作流程，系统讲解从注册账号到权限策略设置的完整路径。理解这一过程的核心，在于建立“账号—产品—设备—凭证—策略”的五层逻辑关系：账号是资源归属的边界，产品是设备型号的逻辑抽象，设备是物理实体的云端映射，密钥与证书是设备接入的“身份证”，权限策略则决定了谁能在什么条件下对哪些资源执行何种操作。这五者环环相扣，任何一层的疏漏都可能导致设备无法上线、数据泄露或误操作。
上图展示了云平台接入准备的整体逻辑。在实际操作中，我们需要按照“账号开通—产品定义—设备注册—凭证获取—策略配置”的顺序推进，同时理解各层之间的依赖关系。下面将分模块详细展开每个步骤的具体操作方法、判断依据与实战要点。
4.1 注册云账号与开通IoT服务
核心原理：云账号是访问所有云资源的唯一身份标识，它关联着计费、资源配额、安全认证等基础能力。IoT服务并非默认开启，需要在控制台显式开通，并选择合适的区域（Region）。区域选择直接影响设备接入延迟、数据合规性以及后续服务间的内网互通成本。
操作流程：
- 账号注册：访问目标云平台官网（如阿里云、腾讯云、华为云），使用企业邮箱或手机号注册账号。企业用户建议完成企业实名认证，以获得更高的API调用配额和更完整的服务支持。
- 开通IoT服务：进入物联网平台控制台，点击“开通服务”。此时需要选择计费方式（按量付费或包年包月），并指定默认区域。对于生产环境，建议选择与设备部署地相近的区域；对于测试环境，可选择资源较便宜的区域。
- 创建项目/资源组：在RAM（访问管理）或资源管理服务中创建项目（如“智能工厂项目”），将IoT服务实例纳入该项目。这一步为后续的权限隔离和成本分账奠定基础。
| 云平台 | IoT服务名称 | 默认区域建议 | 免费额度 |
|---|---|---|---|
| 阿里云 | 物联网平台 | 华东2（上海） | 1百万条消息/月 |
| 腾讯云 | 物联网开发平台 | 广州 | 50万条消息/月 |
| 华为云 | IoTDA | 华东-上海一 | 10万条消息/月 |
常见误区：部分开发者为了省事，直接使用个人账号进行企业项目开发，导致后续无法开通某些企业级功能（如专属实例、VPC部署），且权限管理混乱。另外，开通服务后未记录InstanceId（实例ID），在API调用时才发现需要该参数，造成返工。
4.2 创建产品：定义设备模型
核心原理：产品是设备的集合，它定义了设备的“共性”：节点类型（直连设备、网关子设备、网关设备）、接入协议（MQTT、CoAP、HTTPS）、数据格式（JSON、二进制）、以及最重要的——物模型（Thing Model）。物模型将设备的物理属性（温度、湿度）、服务（开灯、关灯）、事件（告警）抽象为云端可理解的标准格式。
判断方法：创建产品前，先回答三个问题：
- 设备是直接联网还是通过网关？——决定节点类型。
- 设备资源是否受限？——决定是否采用LwM2M或CoAP协议。
- 数据上报频率和payload大小？——决定是否使用二进制压缩。
操作步骤：
- 在IoT控制台选择“产品” → “创建产品”。
- 填写产品名称（如“温湿度传感器V2”），选择节点类型为“直连设备”。
- 选择协议为MQTT，数据格式为JSON（便于调试）。
- 定义物模型：添加属性（如
Temperature，类型float，取值范围-40~125℃）、服务（如SetThreshold）、事件（如OverheatAlarm）。
常见误区：物模型一旦发布，属性不可删除，只能新增或禁用。因此，前期设计应预留扩展字段，避免后期频繁修改。另外，不要将设备唯一标识（如MAC地址）放入物模型属性中，它应作为设备身份的一部分在注册时绑定。
4.3 注册设备与获取密钥证书
核心原理：设备注册是建立设备物理身份与云端逻辑身份的绑定关系。注册后，平台会生成唯一的DeviceName（设备名称）和DeviceSecret（设备密钥）。对于一机一密的场景，每个设备拥有独立的密钥；对于一型一密，同一产品下的设备共享一个ProductSecret，设备使用ProductKey+DeviceName+DeviceSecret动态注册获取临时凭证。
操作流程：
- 在产品详情页选择“设备” → “注册设备”。
- 输入DeviceName（建议使用设备SN或MAC地址，便于追溯）。
- 选择认证方式：设备密钥（适合资源受限设备）或 X.509证书（适合高安全要求场景）。
- 批量注册时，可下载CSV模板批量导入，平台自动生成密钥。
密钥与证书的对比：
| 维度 | 设备密钥（三元组） | X.509证书 |
|---|---|---|
| 安全性 | 中，密钥需安全存储 | 高，非对称加密 |
| 资源消耗 | 低，适合MCU | 较高，需处理证书解析 |
| 批量管理 | 简单，密钥可批量生成 | 需部署CA签发 |
| 吊销机制 | 需手动禁用设备 | 可吊销证书 |
案例拆解：某智能家居厂商需要批量注册10万台设备。他们采用一型一密方案：所有设备使用相同的ProductKey和ProductSecret，设备首次上电时携带DeviceName（即MAC地址）请求动态注册，平台验证ProductSecret后下发DeviceSecret。此方案简化了产线烧录流程，但风险在于一旦ProductSecret泄露，攻击者可批量注册设备。因此，该厂商在云端设置了“单设备注册次数限制”和“异常注册IP告警”，并计划逐步迁移到一机一密。
4.4 设置权限策略
核心原理：权限策略控制“谁（身份）能对什么（资源）做什么（操作）”。在IoT场景中，主要涉及两类权限：云端API访问权限（如调用查询设备状态接口）和 设备Topic发布订阅权限。云平台默认提供RAM（资源访问管理）策略，需要为不同角色（开发人员、运维人员、设备）分配最小权限。
操作流程：
- 创建RAM用户或角色（如“iot-dev-team”）。
- 创建自定义策略，例如：允许
iot:QueryDeviceDetail，拒绝iot:DeleteDevice。 - 将策略附加到用户或角色。
- 对于设备Topic权限，在IoT平台的产品详情中配置“Topic类”，并设置设备的发布/订阅权限。
策略配置清单：
- 开发人员：允许查询设备、创建产品、调试消息，禁止删除资源。
- 运维人员：允许查看日志、重启设备、更新固件，禁止修改物模型。
- 设备端：仅允许发布/订阅与自身ProductKey和DeviceName相关的Topic，禁止跨设备通信。
常见误区：许多开发者直接使用主账号AccessKey进行API调用，这相当于把“银行卡密码”交给了代码。正确做法是：为每个应用创建独立的RAM子用户，并仅授予所需的最小权限。另外，设备端不应使用云端，而应使用设备密钥或证书进行接入认证。
4.5 总结与最佳实践
本章从账号注册到权限策略，完成了云平台接入的全部准备工作。核心要点可归纳为：先规划后操作、最小权限原则、密钥安全存储、物模型谨慎设计。在实际项目中，建议将本章的准备工作纳入自动化脚本（如Terraform或CloudFormation），实现基础设施即代码（IaC），避免人工操作带来的不一致性。