當(dāng)我們基于EMQX 搭建企業(yè)自主的 IoT 物聯(lián)網(wǎng)平臺(tái)后，身份認(rèn)證是首要配置的模塊，啟用身份認(rèn)證能有效阻止非法客戶端的連接。在MQTT 協(xié)議中，我們使用用戶名/密碼來做設(shè)備端身份的認(rèn)證。
EMQ X 中的設(shè)備身份認(rèn)證指的是當(dāng)一個(gè)客戶端連接到 EMQ X 的時(shí)候，通過服務(wù)器端的配置來控制客戶端連接服務(wù)器的權(quán)限。
EMQX 身份認(rèn)證
EMQ X 的認(rèn)證支持包括兩個(gè)層面：
EMQX 支持的認(rèn)證方式：
EMQX 身份認(rèn)證流程
我們以項(xiàng)目中最常用的 MySQL 認(rèn)證為例，認(rèn)證邏輯圖如下：
1. 根據(jù)配置的認(rèn)證 SQL 結(jié)合客戶端傳入的username，查詢出密文；查詢無果時(shí)，認(rèn)證將終止并返回 ignore
2. 根據(jù)配置的哈希方法計(jì)算得到密文
3. 將 MySQL 數(shù)據(jù)庫中存儲(chǔ)的密文與當(dāng)前客戶端參數(shù)計(jì)算出的密文進(jìn)行比對(duì)，兩者相同則認(rèn)證通過，否則認(rèn)證失敗
啟用 MySQL 認(rèn)證
在EMQX啟用 MySQL 認(rèn)證，我們需要在 etc/plugins/emqx_auth_mysql.conf 中配置 MySQL 服務(wù)相關(guān)的連接地址，用戶名/密碼，數(shù)據(jù)庫實(shí)例，password的哈希方法，如下：
1 ## 服務(wù)器地址
2 auth.mysql.server = 127.0.0.1:3306
3 ## 連接池大小
4 auth.mysql.pool = 8
5 auth.mysql.username = emqx
6 auth.mysql.password = public
7 auth.mysql.database = mqtt
8 auth.mysql.query_timeout = 5s
9 ## 使用 sha256 加密
10 auth.mysql.password_hash = sha256
MySQL 認(rèn)證默認(rèn)配置下需要確保數(shù)據(jù)庫中有下表：
1 CREATE TABLE `mqtt_user` (
2 `id` int(11) unsigned NOT NULL AUTO_INCREMENT,
3 `username` varchar(100) DEFAULT NULL,
4 `password` varchar(100) DEFAULT NULL,
5 `salt` varchar(35) DEFAULT NULL,
6 `is_superuser` tinyint(1) DEFAULT 0,
7 `created` datetime DEFAULT NULL,
8 PRIMARY KEY (`id`),
9 UNIQUE KEY `mqtt_username` (`username`)
10 ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
默認(rèn)配置如下示例數(shù)據(jù)：
1 INSERT INTO `mqtt_user` ( `username`, `password`)
2 VALUES
3 ('emqx', 'efa1f375d76194fa51a3556a97e641e61685f914d446979da50a551a4333ffd7');
啟用 MySQL 認(rèn)證后，你可以通過用戶名：emqx，密碼：public 連接。
啟用 MySQL 認(rèn)證
當(dāng)設(shè)備端發(fā)起MQTT協(xié)議的CONNECT請(qǐng)求時(shí)，EMQX 將使用當(dāng)前設(shè)備端信息填充并執(zhí)行用戶配置的認(rèn)證 SQL，查詢出該客戶端在數(shù)據(jù)庫中的認(rèn)證數(shù)據(jù)。
1 # etc/plugins/emqx_auth_mysql.conf
2 auth.mysql.auth_query = select password from mqtt_user where username = '%u' limit 1
我們可以在認(rèn)證 SQL 中使用以下占位符，執(zhí)行時(shí) EMQX 將自動(dòng)填充為客戶端信息：
1 %u：用戶名
2 %c：Client ID
3 %C：TLS 證書的域名或子域名，僅當(dāng) TLS 連接時(shí)有效
4 %d：TLS 證書 subject，僅當(dāng) TLS 連接時(shí)有效
我們可以根據(jù)業(yè)務(wù)需要調(diào)整認(rèn)證 SQL，如添加多個(gè)查詢條件、使用數(shù)據(jù)庫預(yù)處理函數(shù)，以實(shí)現(xiàn)更多業(yè)務(wù)相關(guān)的功能。但是任何情況下認(rèn)證 SQL 需要滿足以下條件：
1. 查詢結(jié)果中必須包含 password 字段，EMQX 使用該字段與客戶端密碼比對(duì)
2. 如果啟用了加鹽配置，查詢結(jié)果中必須包含 salt 字段，EMQX 使用該字段作為 salt（鹽）值
3. 查詢結(jié)果只能有一條，多條結(jié)果時(shí)只取第一條作為有效數(shù)據(jù)
默認(rèn)表結(jié)構(gòu)中，我們將 username 字段設(shè)為了唯一索引（UNIQUE），與默認(rèn)的查詢語句 select password from mqtt_user where username = '%u' limit 1 配合使用，從而獲得非常不錯(cuò)的查詢性能。
來源：IoT物聯(lián)網(wǎng)技術(shù)
在線咨詢
在線咨詢
0371-63319761