Решение будет работать на AWS и принимать подключения от тысяч устройств, которые должны отправлять и получать MQTT-сообщения в реальном времени. Каждое устройство должно аутентифицироваться с использованием собственного уникального X.509-сертификата. Какая архитектура обеспечивает эту возможность с наименьшими операционными издержками?

AWS IoT Core разработан специально для масштабируемого подключения и управления IoT-устройствами, поддерживая протокол MQTT и аутентификацию по X.509-сертификатам "из коробки". Создание AWS IoT thing и выделение сертификата для каждого устройства является стандартной практикой и обеспечивает наименьшие операционные издержки, так как AWS управляет всей инфраструктурой брокера сообщений. Использование Amazon MQ не оптимально, поскольку это управляемый брокер сообщений, но не специализированный IoT-сервис, и он не предлагает встроенного управления устройствами и их сертификатами, как IoT Core. Развертывание MQTT-брокера на EC2 с NLB и Lambda-авторизатором требует значительных операционных усилий по управлению серверами, масштабированию и обеспечению безопасности. API Gateway HTTP API не подходит для MQTT-сообщений в реальном времени, так как он ориентирован на HTTP/HTTPS и не поддерживает MQTT нативно.