ACL

TLS (Transport Layer Security) et ACL (Access Control List) sont deux mécanismes de sécurité différents pour la communication dans les systèmes MQTT.

ACL est un mécanisme de contrôle d’accès qui permet de définir des règles de sécurité pour restreindre l’accès à certaines ressources ou fonctionnalités d’un système MQTT. Cela permet de contrôler qui peut lire, écrire ou s’abonner à certains topics MQTT.

Configuration de ACL pour MQTT

Voici comment configurer les règles ACL pour permettre à un utilisateur “admin” d’avoir des droits de lecture et écriture et le reste des utilisateurs d’avoir uniquement des droits de lecture

• Ouvrez le fichier de configuration mosquitto.conf :

sudo nano /etc/mosquitto/mosquitto.conf 

• Ajoutez les lignes suivantes à la fin du fichier pour définir les règles ACL :

  acl_file /etc/mosquitto/acesscontrollist.conf
  allow_anonymous true
  password_file /etc/mosquitto/passwd 

Cela indique à Mosquitto d’utiliser un fichier de règles ACL (acesscontrollist.conf), d’autoriser les clients anonymes à se connecter et d’utiliser un fichier de mots de passe pour l’authentification.

• Créez le fichier de règles ACL aclfile.conf en exécutant la commande suivante :

sudo nano /etc/mosquitto/aclfile.conf 

• Ajoutez les règles suivantes au fichier aclfile.conf :

user admin
topic readwrite #

user student
topic read #


pattern read #
pattern read $SYS/#

Cela accorde à l’utilisateur “admin” les droits de lecture et écriture sur tous les topics MQTT (utilisation de “#” pour représenter tous les topics), et aux autres utilisateurs les droits de lecture uniquement sur tous les topics MQTT.

• Redémarrez le service Mosquitto pour appliquer les nouvelles règles de configuration :

sudo systemctl restart mosquitto 

Maintenant, l’utilisateur “admin” aura des droits de lecture et écriture sur tous les topics MQTT, tandis que les autres utilisateurs auront uniquement des droits de lecture

Pour tester

mosquitto_sub -h localhost -t "#" -u user -P password  
mosquitto_pub -h localhost -t test/topic -u user -P password -m "Hello world!" 

Si tout est configuré correctement, admin devrait être en mesure de publier et de s’abonner à tous les topics, tandis que les autres users devraient seulement être en mesure de s’abonner à tous les topics.