改造厨房：CHEF iQ 的亚马逊云科技驱动的物联网之旅

随着物联网 (IoT) 设备在家庭中变得越来越普遍，设备所有者经常发现需要向多个用户授予细粒度的访问权限。Amazon IoT Core 使开发人员能够通过对移动应用程序、Web 应用程序和设备进行精细访问控制来构建应用程序。例如，物联网可在智能空间和酒店中实现个性化体验，智能设备可以根据用户偏好调整照明、温度和娱乐，同时允许客人在没有管理员访问权限的情况下通过移动应用程序控制环境。在这篇博客文章中，亚马逊云科技客户 CHEF iQ 讲述了他们的故事，以及他们如何发展 CHEF iQ 设备共享功能的架构以提供高质量的最终用户体验。

挑战赛

CHEF iQ 的电器共享功能使 CHEF iQ 应用程序能够与共享的智能厨房电器无缝交互。这允许用户访问和控制共享设备，同时在个人智能手机上保持个性化体验。挑战始于2023年假日季，当时的每日活跃用户从平均数万激增至数十万。随着CHEF iQ平台越来越受欢迎，该公司意识到最初的系统架构并不是为多个用户共享同一设备而设计的，需要不断发展以满足持续使用和高峰期的需求。

CHEF iQ 需要一个安全且可扩展的解决方案，允许多个用户在不牺牲个性化或性能的情况下访问共享厨房电器。该系统需要：

通过移动应用程序启用安全设备访问
支持多个用户共享同一个设备
维护个人偏好和设置
随着 CHEF iQ 用户群的增长平稳扩展

设计可扩展的解决方案

CHEF iQ 意识到需要强大、可扩展的架构，因此与其亚马逊云科技账户和解决方案架构师团队密切合作。该团队专注于利用Amazon IoT Core和Amazon Cognito来创建一个系统，该系统可以处理不断增长的用户群，同时保持CHEF iQ用户喜爱的个性化体验。

CHEF iQ架构和基础设施副总裁米希尔·帕特尔说：“利用亚马逊云科技IoT服务，特别是Amazon IoT Core和Amazon Cognito，使我们能够专注于开发创新解决方案，而不是构建用于在间歇连接的边缘设备上部署和维护软件的复杂服务。”“我们还受益于亚马逊云科技内置的安全性和可扩展性功能，这些功能在家庭环境中处理敏感用户数据时至关重要。”

全新 CHEF iQ 架构

图 1-亚马逊云科技上的 CHEF iQ 架构

改版后的CHEF iQ平台以设备共享机制为中心，该机制利用了Amazon IoT Core策略和Amazon Cognito身份池。这种新架构支持多用户无缝、安全地访问共享厨房电器，同时保持个人用户的偏好和设置。

该解决方案的关键组件包括：

Amazon IoT Core：管理设备连接，支持设备与云之间的安全通信，并存储设备状态信息。它还处理设备数据并执行访问控制策略。
亚马逊 Cognito 和 Amazon Cognito 身份池：处理用户身份验证和授权，实现精细的访问控制。它存储用户身份及其与设备的关联，这对于设备共享功能至关重要。
Amazon Lambda：在可扩展的无服务器环境中处理设备数据和用户请求。
Amazon AppSync：支持设备和移动应用程序之间的实时数据同步。

Amazon IoT Core、Amazon Cognito和Amazon AppSync协同管理设备连接、用户身份和实时更新，从而实现高效的设备共享和无缝的多用户体验。

通过专注于这些核心服务，CHEF iQ保持了可扩展的无服务器架构，该架构可以直接解决物联网环境中安全设备共享和多用户访问的挑战。

实现安全设备共享

CHEF iQ 的新解决方案以创新的设备共享方法为中心。当用户激活设备时，该设备会使用唯一的 ID 在 Amazon IoT Core 注册表中注册，然后通过 Amazon Cognito 安全地关联到拥有者的身份。为了共享访问权限，CHEF iQ的后端使用必要的设备信息更新收件人的个人资料。当收件人下次登录或使用 AppSync 使用实时同步进行自动刷新时，这些更新会授予他们访问共享设备的权限。

精细的访问控制

CHEF iQ 利用 Amazon IoT Core 策略来精确地管理设备访问权限。这些策略定义了用户可以在特定的智能厨房电器上执行哪些操作。对于自有设备，用户拥有完全控制权。对于共享设备，访问权限会根据所有者授予的权限进行严格限制。

下表说明了 CHEF iQ 实现的访问控制：

智能厨房电器访问控制矩阵：

电器	所有者访问权限	家庭成员访问权限	访客访问权限
iQ 迷你烤箱	完全控制	调整设置，查看状态	仅查看状态
iQ Sense	完全控制	完全控制	无法访问
iQ 电饭煲	完全控制	启动/停止，查看状态	无法访问

针对设备所有者的物联网政策措施：

行动	资源模式	描述
物联网：连接	client/$ {cognito-identity.amazonaws.com: sub} /*	允许连接到所有自有设备
物联网：订阅	主题过滤器/电器/$ {cognito-identity.amazonaws.com: sub} /*	支持监控所有自有设备
物联网:发布	主题/设备/$ {cognito-identity.amazonaws.com: sub} /*	允许控制所有自有设备

针对共享用户的物联网政策措施：

行动	资源模式	描述
物联网：订阅	主题过滤器/设备/$ {亚马逊云科技: principalTag/SharedApplianceID} /*	启用对共享设备的监控
物联网:发布	主题/设备/$ {亚马逊云科技: principalTag/SharedApplianceID} /user/$ {cognito-identity.amazonaws.com: sub} /*	允许对共享设备进行有限控制