1. 课程导入与接入工程全景
在物联网系统中，设备接入并不是“把设备连上网”这么简单。它更像是一条从物理世界到云端的完整工程链路：设备端要完成身份标识、协议封装、网络连接与安全握手；云端要完成认证授权、消息路由、状态管理和规则转发；运维侧还要能观测连接质量、定位断连原因、控制接入规模与成本。AWS IoT Core 正是这条链路中的核心接入与消息枢纽，它把设备连接、双向通信、安全认证和规则引擎整合为托管服务，使工程团队可以把精力集中在设备行为和业务逻辑上，而不是自建 MQTT 集群与证书体系。
从架构定位看，AWS IoT Core 位于“设备域”和“云应用域”之间。设备侧通过 MQTT、MQTT over WebSocket 或 HTTPS 与 IoT Core 建立连接；IoT Core 内部由消息代理、设备注册表、设备影子、规则引擎、作业服务等组件协同工作；再向后，数据可以流向 Lambda、Timestream、S3、DynamoDB、SNS/SQS 等云服务，也可以反向下发指令到设备。理解这个分层关系，是后续学习接入配置、策略编写、影子同步和排障的基础。
设备接入的核心挑战可以归纳为五个方面。第一是身份与安全：每个设备必须拥有唯一身份，证书不能硬编码在固件中明文存储，私钥一旦泄露需要能快速吊销。第二是连接可靠性：现场网络可能抖动、断连、NAT 超时，设备需要实现指数退避重连、离线消息缓存和会话恢复。第三是协议与数据格式：不同厂商设备使用 Modbus、CAN、BLE 等不同协议，需要网关做协议转换，并统一为 JSON 或 CBOR 载荷。第四是规模与成本：十万级设备同时在线时，连接数、消息频率、规则执行次数都会直接影响费用，需要合理设计主题层级和消息粒度。第五是可观测与排障：连接失败时，要能区分是证书问题、策略拒绝、主题权限不足还是网络不通，这要求工程上保留清晰的日志与指标。
接入工程的核心判断链：设备能否连上 → 证书是否有效 → 策略是否放行 → 主题是否匹配 → 消息是否被规则捕获 → 下游是否收到。任何一环断裂，都会表现为“设备离线”或“数据丢失”，排障时必须逐段验证，而不是反复重启设备。
本课程的学习路径按照“先通链路、再控权限、后做运维”的顺序组织。第一阶段建立最小可用接入：创建 Thing、生成证书、附加策略、用 MQTT 客户端完成发布订阅，目标是看到第一条消息成功到达云端。第二阶段深入安全与权限：理解 IoT Policy 的 Action、Resource、Effect 三要素，掌握主题通配符与策略变量的用法，能够为不同产品线设计最小权限策略。第三阶段掌握设备影子与状态同步：理解 desired 与 reported 的差异、版本冲突处理、离线指令缓存，能够实现设备重启后状态自动对齐。第四阶段进入规则引擎与数据流转：编写 SQL 语句过滤、转换、富化消息，路由到 Lambda、Timestream、S3 等目标。第五阶段覆盖批量注册、作业下发、日志监控与成本优化，形成可运维、可扩展的接入体系。
为了便于后续章节对照，这里给出一份接入工程的最小检查清单。它不替代具体配置步骤，而是帮助你在每个阶段确认关键对象是否齐备。
| 检查项 | 关键对象 | 通过标准 |
|---|---|---|
| 设备身份 | Thing 名称、证书 ARN、私钥 | 证书状态为 ACTIVE，私钥未明文入库 |
| 连接认证 | IoT Policy、证书绑定 | 策略允许 connect，且仅允许必要主题 |
| 消息通道 | MQTT 主题、QoS、保活时间 | 能发布到 telemetry/<thing>，订阅指令主题 |
| 状态同步 | Device Shadow、版本号 | reported 与 desired 一致，版本递增无冲突 |
| 数据流转 | 规则 SQL、目标动作 | 规则命中计数大于 0，下游收到结构化数据 |
| 可观测性 | CloudWatch 日志、指标 | 能查到连接、发布、规则执行的日志记录 |
需要特别说明的是，接入工程不是一次性配置，而是一个持续迭代的过程。设备固件升级、证书轮换、策略调整、主题重构都会影响线上连接。因此从第一天起就应把设备命名规范、主题命名规范、证书生命周期和日志保留策略确定下来。例如主题可以采用 dt/<product>/<deviceId>/telemetry 这样的层级，既便于策略用通配符授权，也便于规则引擎按产品线分流。证书建议设置有效期并提前 30 天告警，避免批量过期导致大面积掉线。
学习建议：每学完一个阶段，都在自己的 AWS 账户中完成一次端到端验证。不要只看文档，因为接入问题往往出在细节：证书附加错了、策略 Resource 写错了、主题多了或少了一个斜杠、QoS 设置与客户端不匹配。亲手跑通一次，比读十遍配置说明更有效。
接下来的章节将从创建第一个 Thing 和证书开始，逐步展开接入工程的各个环节。你不需要一开始就理解所有服务，但需要建立一条清晰的主线：设备用证书证明身份，用策略获得权限，用主题收发消息，用影子同步状态，用规则把数据送到该去的地方。这条主线贯穿整个课程，也是判断接入是否成功的最终依据。