Greengrass-Servicerolle

1. Navigieren Sie zur AWS IoT-Konsole.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Scrollen Sie zum Abschnitt Greengrass service role (Greengrass-Servicerolle), um Ihre Servicerolle und deren Richtlinien anzuzeigen.

   Wenn Ihnen keine Servicerolle angezeigt wird, kann die Konsole eine für Sie erstellen oder konfigurieren. Weitere Informationen finden Sie unter Erstellen der Greengrass-Servicerolle.

1. Navigieren Sie zur AWS IoT-Konsole.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Wählen Sie unter Greengrass-Servicerolle die Option Rolle ändern aus.

   Das Dialogfeld Greengrass-Servicerolle aktualisieren wird geöffnet und zeigt die IAM-Rollen in Ihrem anAWS-Konto, die AWS IoT Greengrass als vertrauenswürdige Entität definieren.

4. Wählen Sie die anzufügende Greengrass-Servicerolle aus.

5. Wählen Sie Rolle anfügen aus.

1. Navigieren Sie zur AWS IoT-Konsole.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Wählen Sie unter Greengrass-Servicerolle die Option Rolle trennen aus.

4. Wählen Sie im Bestätigungsdialogfeld Trennen aus.

• Rufen Sie die Servicerolle ab. Ersetzen Sie region durch Ihre AWS-Region (z. B. us-west-2).

  aws greengrassv2 get-service-role-for-account --region region

  Wenn Ihrem Konto bereits eine Greengrass-Servicerolle zugeordnet ist, gibt die Anforderung die folgenden Rollenmetadaten zurück.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Wenn die Anforderung keine Rollenmetadaten zurückgibt, müssen Sie die Servicerolle (falls sie nicht vorhanden ist) erstellen und Ihrem Konto in der zuordnenAWS-Region.

So erstellen Sie die Servicerolle mit IAM

1. Erstellen Sie die Rolle mit einer Vertrauensrichtlinie, die AWS IoT Greengrass die Annahme der Rolle erlaubt. In diesem Beispiel wird eine Rolle namens Greengrass_ServiceRole erstellt, aber Sie können einen anderen Namen verwenden. Wir empfehlen Ihnen, auch die aws:SourceAccount globalen Bedingungskontextschlüssel aws:SourceArn und in Ihre Vertrauensrichtlinie aufzunehmen, um das Sicherheitsproblem des verwirrten Stellvertreters zu vermeiden. Die Bedingungskontextschlüssel schränken den Zugriff so ein, dass nur die Anforderungen zugelassen werden, die vom angegebenen Konto und Greengrass Workspace stammen. Weitere Informationen zum Confused-Deputy-Problem finden Sie Vermeidung des Problems des verwirrten Stellvertreters (dienstübergreifend).

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Kopieren Sie den Rollen-ARN aus den Rollenmetadaten in der Ausgabe. Sie verknüpfen die Servicerolle mithilfe des ARN mit Ihrem Konto.

3. Fügen Sie der Rolle die AWSGreengrassResourceAccessRolePolicy-Richtlinie an.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

So verknüpfen Sie die Servicerolle mit Ihrem AWS-Konto

• Weisen Sie die Rolle Ihrem Konto zu. Ersetzen Sie role-arn durch den ARN der Servicerolle und region durch Ihre AWS-Region (z. B. us-west-2).

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  Bei Erfolg gibt die Anforderung die folgende Antwort zurück.

  {
    "associatedAt": "timestamp"
  }

• Haben Sie die Zuordnung der Servicerolle bei Ihrem Konto auf. Ersetzen Sie region durch Ihre AWS-Region (z. B. us-west-2).

  aws greengrassv2 disassociate-service-role-from-account --region region

  Bei erfolgreicher Durchführung wird die folgende Meldung zurückgegeben.

  {
    "disassociatedAt": "timestamp"
  }

  Anmerkung

  Sie sollten die Servicerolle löschen, wenn Sie sie nicht in einem verwendenAWS-Region. Verwenden Sie zuerst delete-role-policy, um die verwaltete AWSGreengrassResourceAccessRolePolicy-Richtlinie von der Rolle zu lösen, und verwenden Sie dann delete-role, um die Rolle zu löschen. Weitere Informationen zum Löschen von Rollen finden Sie unter Löschen von Rollen oder Instance-Profilen im IAM-Benutzerhandbuch.