华为云用户手册

全球加速 GA-全球加速自定义策略:全球加速自定义策略样例

全球加速自定义策略样例示例1：授权用户更新加速器 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "ga:accelerator:update" ] } ] }

全球加速 GA 权限管理
全球加速 GA-终端节点概述

终端节点概述终端节点是客户端请求访问的目标主机，一个终端节点组可以添加最多10个终端节点。目前终端节点支持的后端服务类型包含弹性公网IP（EIP）、弹性云服务器（E CS ）、弹性负载均衡（ELB）、自定义IP、自定义域名、自定义EIP。云内资源加速支持选择EIP、ECS、ELB、自定义EIP。云外资源加速支持选择自定义IP、自定义域名。不同类型的终端节点已支持的区域详细请参见下表。表1 全球加速支持终端节点类型终端节点类型说明上线区域 EIP 本账号中的弹性公网IP。不含欧洲-都柏林区域自定义EIP 本区域中的弹性公网IP，包括其他账号中的弹性公网IP。所有区域 ECS 本账号中私网ECS、私网ELB实例，可以不绑定弹性公网IP。华东-上海一、华北-北京四、华南-广州、中国-香港、亚太-新加坡、土耳其-伊斯坦布尔 ELB 自定义IP 云外第三方业务。自定义域名当终端节点组内有多个终端节点时，您可以根据业务需要设置终端节点权重，权重确定了全球加速实例定向分配访问请求到终端节点的流量比例。全球加速实例会计算终端节点组中所有终端节点的权重之和，然后根据每个终端节点的权重与总权重之比将流量定向分配到相应的终端节点。父主题：终端节点

全球加速 GA 终端节点
全球加速 GA-基本概念:健康检查

健康检查全球加速实例通过健康检查判断终端节点的运行状态，健康检查机制提高了业务的可靠性和可用性，避免了异常终端节点对服务的影响。目前全球加速服务支持TCP协议的健康检查。您可以为全球加速实例的终端节点组开启健康检查。开启健康检查后，全球加速实例会定期向终端节点发送请求以测试其运行状态，当某个终端节点健康检查出现异常时，全球加速实例将停止向该终端节点分发流量请求，而是分发到健康检查正常的其他终端节点；当健康检查异常的终端节点恢复正常后，全球加速实例会将其自动恢复到请求服务中，承载业务流量。

全球加速 GA
全球加速 GA-基本概念:终端节点

终端节点终端节点是客户端请求访问的目标主机，一个终端节点组可以添加最多10个终端节点。目前终端节点支持的后端服务类型包含弹性公网IP（EIP）、弹性云服务器（ECS）、弹性负载均衡（ELB）、自定义IP、自定义域名、自定义EIP。云内资源加速支持选择EIP、ECS、ELB、自定义EIP。云外资源加速支持选择自定义IP、自定义域名。不同类型的终端节点已支持的区域详细请参见下表。表1 全球加速支持终端节点类型终端节点类型说明上线区域 EIP 本账号中的弹性公网IP。不含欧洲-都柏林区域自定义EIP 本区域中的弹性公网IP，包括其他账号中的弹性公网IP。所有区域 ECS 本账号中私网ECS、私网ELB实例，可以不绑定弹性公网IP。华东-上海一、华北-北京四、中国-香港、亚太-新加坡、土耳其-伊斯坦布尔 ELB 自定义IP 云外第三方业务。自定义域名当终端节点组内有多个终端节点时，您可以根据业务需要设置终端节点权重，权重确定了全球加速实例定向分配访问请求到终端节点的流量比例。全球加速实例会计算终端节点组中所有终端节点的权重之和，然后根据每个终端节点的权重与总权重之比将流量定向分配到相应的终端节点。

全球加速 GA
全球加速 GA-什么是全球加速服务:组成部分

组成部分全球加速实例：全球加速实例是一个运行的全球加速服务。使用全球加速服务前，需要先创建全球加速实例，选择加速区域，全球加速实例会为相应加速区域分配一个Anycast IP，客户端流量根据监听器配置通过Anycast IP就近从接入点接入华为云骨干网络，将客户端的访问请求分发至最佳终端节点。加速区域：需要进行访问加速的区域，分为中国大陆和中国大陆以外，您可以根据自己的用户所在地选择加速区域，为用户提供全球加速服务。监听器：负责检查连接请求，根据您指定的端口和协议处理来自客户端的连接请求，每个监听器通过指定要分发流量的区域与终端节点组关联。关联后，全球加速服务将流量分配至与监听器关联的终端节点组内的最佳终端节点。终端节点组：配置监听器后，您需要为监听器添加终端节点组，从而将流量定向分配到该终端节点组。每个终端节点组都与特定的区域关联，终端节点组在区域内包含一个或多个终端节点。终端节点：客户端请求访问的目标主机，目前终端节点支持的后端服务类型包含弹性公网IP（EIP）、弹性云服务器（ECS）、弹性负载均衡（ELB）、自定义IP、自定义域名、自定义EIP。云内资源加速支持选择EIP、ECS、ELB、自定义EIP。云外资源加速支持选择自定义IP、自定义域名。不同类型的终端节点已支持的区域详细请参见下表。表1 全球加速支持终端节点类型终端节点类型说明上线区域 EIP 本账号中的弹性公网IP。不含欧洲-都柏林区域自定义EIP 本区域中的弹性公网IP，包括其他账号中的弹性公网IP。所有区域 ECS 本账号中私网ECS、私网ELB实例，可以不绑定弹性公网IP。华东-上海一、华北-北京四、中国-香港、亚太-新加坡、土耳其-伊斯坦布尔 ELB 自定义IP 云外第三方业务。自定义域名

全球加速 GA
设备发放 IOTDP-MQTT 密钥设备使用静态策略发放:设备引导

设备引导下载并修改华为SDK示例代码进行设备引导（这里以java sdk代码为示例）。用IDEA/Eclipse打开SDK代码工程，修改DEMO示例BootstrapSample中的参数，其中deviceId和secret替换为步骤3中生成的设备ID和密钥即可，bootstrapUri为获取设备发放终端节点对应的终端节点。运行DEMO程序，看到如下日志，代表设备发放成功，并且已经收到设备发放下发的设备接入地址。如果程序运行没报错，在对应的设备接入平台可以看到设备，并已在线。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组静态策略发放示例:生成设备证书

生成设备证书使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。表3 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP MQTT场景--使用华为SDK接入设备发放示例
设备发放 IOTDP-MQTT 注册组静态策略发放示例:上传并验证CA证书

上传并验证CA证书登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。图1 上传CA证书验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。图2 上传CA证书完成页图3 复制验证码利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。上传验证证书进行验证。图4 上传验证证书

设备发放 IOTDP MQTT场景--使用华为SDK接入设备发放示例
设备发放 IOTDP-MQTT 注册组静态策略发放示例:制作CA证书

制作CA证书在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。生成密钥对（rootCA.key）：生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件：生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。表1 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP MQTT场景--使用华为SDK接入设备发放示例
设备发放 IOTDP-MQTT 注册组自定义策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。注：注册组的场景不存在选择产品，所以命名需要注意：如果命名字符串有“_”，那么第一项必须为对应设备接入已经存在的产品ID，如果不包括“_”，那么可以随意命名。选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组自定义策略发放示例:制作CA证书

制作CA证书在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。生成密钥对（rootCA.key）：生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件：生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。表2 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组自定义策略发放示例:生成设备证书

生成设备证书使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。表3 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组自定义策略发放示例:上传并验证CA证书

上传并验证CA证书登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。图1 上传CA证书验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。图2 上传CA证书完成页图3 复制验证码利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。上传验证证书进行验证。图4 上传验证证书

设备发放 IOTDP
设备发放 IOTDP-MQTT 密钥设备跨账号使用静态策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 和Password 参数参考MQTT CONNECT连接鉴权参数说明。选择开启 SSL/TLS，勾选CA certificate file，CA Certificate File指定为物联网平台根证书（请先下载物联网平台的根证书，解压后，选择其中c或java目录下PEM后缀的文件）的本地路径。完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT 华为云X.509证书认证设备使用证书策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。完成以上步骤后，单击“Apply”和“OK”进行保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT 华为云证书注册组发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。注：注册组的场景不存在选择产品，所以命名需要注意：如果命名字符串有“_”，那么第一项必须为对应设备接入已经存在的产品ID，如果不包括“_”，那么可以随意命名。选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。完成以上步骤后，单击“Apply”和“OK”进行保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组密钥认证静态策略发放示例:新增注册组

新增注册组创建注册组。图2 新增注册组注册组密钥为长度在”32~128“字节的字节码。在创建密钥注册组时，返回的注册组密钥为“base64编码后的注册组密钥字符串”。若不指定注册组密钥，则注册组密钥由设备发放服务生成。若指定注册组密钥，在创建中注册组时需在密钥输入框内填写“指定字节码Base64编码后生成的字符串”。图3 创建密钥注册组如果需要下发初始化配置，那么对应在初始设备配置选项中填写对应的JSON字符串，设备发放不理解该字段，只是透传该JSON字符串，由设备理解解析。如果不需要下发该字段则不填创建完成后会返回注册组密钥，单击复制保存注册组密钥。图4 创建密钥注册组响应

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组静态策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。注：注册组的场景不存在选择产品，所以命名需要注意：如果命名字符串有“_”，那么第一项必须为对应设备接入已经存在的产品ID，如果不包括“_”，那么可以随意命名。选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组静态策略发放示例:制作CA证书

制作CA证书在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。生成密钥对（rootCA.key）：生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件：生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。表2 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组静态策略发放示例:生成设备证书

生成设备证书使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。表3 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT 注册组静态策略发放示例:上传并验证CA证书

上传并验证CA证书登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。图1 上传CA证书验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。图2 上传CA证书完成页图3 复制验证码利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。上传验证证书进行验证。图4 上传验证证书

设备发放 IOTDP
设备发放 IOTDP-MQTT X.509证书认证设备使用证书策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息。其中General 可以使用工具默认信息。其中Broker Address和Broker Port可以参考获取终端节点，Client ID 可以参考MQTT CONNECT连接鉴权参数说明，访问这里填写设备ID（DeviceId）等设备信息，生成连接信息（ClientId、Username、Password）。填写 User Credentials 信息。其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。选择开启 SSL/TLS，勾选 Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。完成以上步骤设置后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP
设备发放 IOTDP-MQTT X.509证书认证设备使用证书策略发放示例:生成设备证书

生成设备证书使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。表3 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT X.509证书认证设备使用证书策略发放示例:制作CA证书

制作CA证书在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。生成密钥对（rootCA.key）：生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件：生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。表2 证书签名请求文件参数说明提示参数名称取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

设备发放 IOTDP
设备发放 IOTDP-MQTT X.509证书认证设备使用证书策略发放示例:上传并验证CA证书

上传并验证CA证书登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。上传验证证书进行验证。

设备发放 IOTDP
设备发放 IOTDP-MQTT CONNECT连接鉴权:参数说明

参数说明表1 设备发放参数说明列表参数必选/可选类型参数描述 clientId 必选 String(256) 注册组选择非华为云证书场景：设备clientId由3个部分组成：设备ID、设备身份标识类型、用户标识ID（ScopeID）。通过下划线“_”分隔，设备身份标识类型固定值为0 例：5f052ac562369102d42b0fb6_0_ff5bbx7a488f 其他场景：设备clientId由4个部分组成：设备ID、设备身份标识类型、密码签名类型、时间戳。通过下划线“_”分隔，设备身份标识类型固定值为0 密码签名类型：长度1字节，当前支持2种类型： “0”代表HMACSHA256不校验时间戳。 “1”代表HMACSHA256校验时间戳。时间戳：为设备连接平台时的UTC时间，格式为YYYYMMDDHH，如UTC 时间2018/7/24 17:56:20 则应表示为2018072417。例：5f052ac562369102d42b0fb6_0_0_2019122614 Username 必选 String(256) 设备ID。 Password 必选 String(256) Password的值为使用“HMACSHA256”算法以时间戳为密钥，对secret进行加密后的值（secret为注册设备时平台返回的secret）。当设备认证类型使用密钥认证接入（SECRET）需填写“Password”，证书认证接入（CERTIFICATES）不需填写“Password”。注：ScopeID可以在设备发放页面点击注册组查询，如下图所示。设备通过MQTT协议的connect消息进行鉴权，对于构造clientId的各个部分信息都必须包括进去，平台收到connect消息时，会判断设备的鉴权类型和密码摘要算法。当采用“HMACSHA256”校验时间戳方式时，会先校验消息时间戳与平台时间是否一致，再判断密码是否正确。当采用“HMACSHA256”不校验时间戳方式时，鉴权消息也必须带时间戳，但不检验时间是否准确，仅判断密码是否正确。 connect消息鉴权失败时，平台会返回错误，并自动断开MQTT链路。访问参数生成工具，填写注册设备后生成的设备ID（DeviceId）和密钥（DeviceSecret），生成设备连接鉴权所需的参数（ClientId、Username、Password）。

设备发放 IOTDP 接口说明
设备发放 IOTDP-MQTT CONNECT连接鉴权:接口功能

接口功能设备发放平台设备侧支持MQTT协议的connect消息接口，接口规范参考MQTT标准规范，鉴权通过后建立设备与平台间的MQTT连接。设备发放平台目前只支持MQ TTS 接入，设备通过connect消息接口和平台建立MQTT连接时，需要使用服务端CA证书验证服务端证书。服务端CA证书单击huaweicloud-iot-root-ca-list获取证书文件压缩包。根据您使用的工具或语言取用压缩包内的证书文件： IoT Device SDK（C/C#）、MQTT.fx工具：使用压缩包中c目录下以pem或crt为后缀的文件； IoT Device SDK（Java）：使用压缩包中java目录下以jks为后缀的文件； IoT Device SDK（Android）：使用压缩包中android目录下以bks为后缀的文件。

设备发放 IOTDP 接口说明
设备发放 IOTDP-MQTT 密钥设备使用静态策略发放示例:连接鉴权

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。打开 MQTT.fx 客户端程序，单击“设置”。填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。填写 User Credentials 信息。其中Username 和Password 参数参考MQTT CONNECT连接鉴权参数说明。选择开启 SSL/TLS，勾选CA certificate file，CA Certificate File指定为物联网平台根证书（请先下载物联网平台的根证书，解压后，选择其中c或java目录下PEM后缀的文件）的本地路径。完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

设备发放 IOTDP MQTT场景--使用MQTT.fx接入设备发放示例
设备发放 IOTDP-设备厂商多实例接入方案:注册设备

注册设备本次以注册单个MQTT密钥设备为示例，登录设备发放控制台，进入到“设备”页面，单击“注册”，选择对应接入点的产品进行设备注册，设备名称为“Model1_001”，填写设备的密钥，发放策略选择“静态策略”，创建设备。实际使用中，用户可以使用批量注册功能注册大量设备。下载批量注册模板，按照模板说明正确填写后上传批量注册文件以批量注册设备。建议每个设备名称的以策略的关键字开头（比如策略关键字为Model1，设备名称为Model1_XXX001）。

设备发放 IOTDP
设备发放 IOTDP-设备厂商多实例接入方案:设备引导请求

设备引导请求终端节点区域名称区域终端节点（Endpoint）端口协议华北-北京四 cn-north-4 iot-bs.cn-north-4.myhuaweicloud.com 8883 MQTTS 下载并修改华为SDK示例代码进行设备引导（这里以java sdk代码为示例）。用IDEA/Eclipse打开SDK代码工程，修改iot-device-demo目录下的DEMO示例“BootstrapSample”中的参数，其中deviceId和secret替换为注册设备中生成的设备ID和密钥即可，bootstrapUri为上述终端节点。运行DEMO程序，看到如下日志，代表设备发放成功，并且已经收到设备发放下发的设备接入地址。如果程序运行没报错，在对应的设备接入平台可以看到设备，并已在线。收到设备发放下发的设备接入地址后，需要关闭设备侧的设备发放的连接，用的新的URL地址与设备接入通信，进行相关业务。

设备发放 IOTDP

共100000条

undefined

意见反馈

0/200

提交取消

提交成功！非常感谢您的反馈，我们会继续努力做到更好反馈提交失败！请稍后重试！

华为云用户手册

7*24

备案

专业服务

退订

建议反馈

售前咨询热线