1. IoT云IAM与设备权限治理全景

当设备规模从几百台增长到十万台，IoT平台面临的核心问题往往不再是“设备能不能连上”，而是“谁在什么条件下能对哪台设备做什么”。IoT云IAM（Identity and Access Management，身份与访问管理）正是回答这个问题的治理中枢。它把云账号、应用、网关、设备、边缘节点等主体统一纳入身份体系，再通过策略把权限精确地约束到资源与操作上。本课程围绕这条主线展开，目标是让读者既能看懂IoT云平台的身份模型，也能独立设计并落地一套可审计、可收敛的设备权限治理方案。

一、IoT云平台的身份体系由哪些主体构成

与通用云IAM相比，IoT场景的身份主体更复杂，因为它同时包含“人”“应用”和“物”。典型平台中常见以下几类身份：

• 云账号与子用户：运维人员、开发者、租户管理员，通常通过控制台或API登录，属于人类身份。
• 服务角色与委托身份：供云服务之间互相调用，例如规则引擎读取消息队列、函数计算访问设备影子，属于服务身份。
• 应用身份：业务系统、移动App后端、数据平台，通过AccessKey或临时凭证调用IoT开放接口。
• 设备身份：每台设备拥有唯一标识（如ProductKey+DeviceName）与密钥/证书，用于接入认证，属于“物”的身份。
• 网关与边缘身份：代理子设备接入的边缘网关，需要代表子设备行使受限权限。

这些身份并非孤立存在，而是通过“身份—凭证—策略—资源”四要素串联。凭证证明“我是谁”，策略声明“我能做什么”，资源限定“对哪些对象生效”。理解这条链路，是后续所有权限设计的基础。

二、设备权限治理的范围

设备权限治理不等于简单地给设备发证书。它覆盖设备全生命周期中的多个关键面：

• 接入认证：设备能否连上平台，使用一机一密、一型一密还是X.509证书。
• Topic与消息权限：设备只能发布/订阅被授权的Topic，防止越权订阅他人数据。
• 设备影子与物模型访问：哪些应用可以读写影子、调用服务、下发属性。
• 设备管理操作：禁用、删除、远程配置、OTA升级等高风险动作的授权。
• 跨租户与跨产品隔离：多租户场景下，A租户的应用绝不能触达B租户设备。
• 审计与追溯：每次权限使用都应可回溯到具体身份、时间与资源。

治理的目标可以概括为三个词：最小权限、可隔离、可审计。任何一条被忽略，都会在设备规模放大后演变为安全事故。

三、核心挑战

IoT权限治理的难点，来自“物”身份的特殊性。第一，设备数量巨大且生命周期长，密钥轮换、证书过期、批量吊销都需要自动化手段，人工维护不可行。第二，设备常部署在物理不可控环境，密钥可能被提取，因此不能假设设备身份绝对可信，需要配合动态策略与行为风控。第三，设备与应用、云服务之间存在多层委托关系，权限链路过长容易产生隐式提权。第四，多租户与多产品并存，策略数量膨胀，容易出现“为了省事给宽权限”的退化。第五，合规要求（如等保、GDPR）要求权限变更留痕，而设备侧日志往往不完整。

下面这张图把本节的核心结构串起来：左侧是身份主体，中间是策略与凭证的作用链路，右侧是治理范围与挑战的落点，帮助建立整体认知。

四、整体学习路径

本课程按“认知—建模—落地—运营”四段推进。前几章先建立身份与策略的基本概念，理解云账号、角色、设备身份之间的差异；随后进入策略语言与授权模型，学习如何用条件、资源通配、显式拒绝来表达最小权限；中段聚焦设备侧实践，包括一机一密接入、Topic级授权、影子访问控制、网关代理子设备的权限传递；后段覆盖多租户隔离、密钥轮换、权限审计与异常检测，并给出可复用的策略模板与检查清单。每一章都会围绕真实平台对象展开，避免停留在抽象概念。

需要强调的是，IAM不是一次性配置，而是持续运营的过程。设备会新增、下线、迁移，人员会入职、转岗、离职，策略会随业务变化而调整。只有把权限评审、密钥轮换、日志审计纳入日常流程，治理才真正成立。接下来的章节将逐层展开这些能力的具体实现方式。