Berechtigungen für die Servicerolle für SiteWise Monitor (Classic)Servicerollenberechtigungen für SiteWise Monitor (AI-aware)Verwaltung der Servicerolle (Konsole)Verwaltung der Servicerolle (CLI)Aktualisierungen von Rollen

Verwenden Sie Servicerollen für AWS IoT SiteWise Monitor

Eine Servicerolle ist eine IAM-Rolle, die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service im IAM-Benutzerhandbuch.

Um Verbundbenutzern des SiteWise Monitor-Portals den Zugriff auf Ihre AWS IoT SiteWise und AWS IAM Identity Center Ressourcen zu ermöglichen, müssen Sie jedem Portal, das Sie erstellen, eine Servicerolle zuordnen. Die Servicerolle muss SiteWise Monitor als vertrauenswürdige Entität angeben und die AWSIoTSiteWiseMonitorPortalAccess verwaltete Richtlinie enthalten oder entsprechende Berechtigungen definieren. Diese Richtlinie wird von Monitor verwaltet AWS und definiert die Gruppe von Berechtigungen, die SiteWise Monitor für den Zugriff auf Ihre Ressourcen AWS IoT SiteWise und IAM Identity Center-Ressourcen verwendet.

Wenn Sie ein SiteWise Monitor-Portal erstellen, müssen Sie eine Rolle auswählen, die Benutzern dieses Portals den Zugriff auf Ihre AWS IoT SiteWise und IAM Identity Center-Ressourcen ermöglicht. Die AWS IoT SiteWise Konsole kann die Rolle für Sie erstellen und konfigurieren. Sie können die Rolle später in IAM bearbeiten. Ihre Portalbenutzer werden Probleme bei der Verwendung ihrer SiteWise Monitor-Portale haben, wenn Sie die erforderlichen Berechtigungen aus der Rolle entfernen oder die Rolle löschen.

Anmerkung

Portale, die vor dem 29. April 2020 erstellt wurden, haben keine Servicerollen benötigt. Wenn Sie vor diesem Datum Portale erstellt haben, müssen Sie diesen Servicerollen anfügen, um sie weiter verwenden zu können. Navigieren Sie dazu in der AWS IoT SiteWise Konsole zur Seite Portale und wählen Sie dann Alle Portale zur Verwendung von IAM-Rollen migrieren aus.

In den folgenden Abschnitten wird beschrieben, wie Sie die SiteWise Monitor-Servicerolle im AWS-Managementkonsole oder im AWS Command Line Interface erstellen und verwalten.

Inhalt

Berechtigungen für die Servicerolle für SiteWise Monitor (Classic)

Wenn Sie ein Portal erstellen, AWS IoT SiteWise können Sie damit eine Rolle erstellen, deren Name mit beginnt AWSIoTSiteWiseMonitorServiceRole. Diese Rolle ermöglicht SiteWise Verbundmonitor-Benutzern den Zugriff auf Ihre Portalkonfiguration, Ressourcen, Asset-Daten sowie IAM Identity Center-Konfigurations

Die Rolle vertraut darauf, dass der folgende Service diese Rolle annimmt:

monitor.iotsitewise.amazonaws.com

Die Rolle verwendet die folgende Berechtigungsrichtlinie, die mit „beginnt“ AWSIoTSiteWiseMonitorServicePortalPolicy, um SiteWise Monitor-Benutzern das Ausführen von Aktionen an Ressourcen in Ihrem Konto zu ermöglichen. Die von AWSIoTSiteWiseMonitorPortalAccess verwaltete Richtlinie definiert gleichwertige Berechtigungen.

JSON


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:DescribePortal",
                "iotsitewise:CreateProject",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:ListProjects",
                "iotsitewise:BatchAssociateProjectAssets",
                "iotsitewise:BatchDisassociateProjectAssets",
                "iotsitewise:ListProjectAssets",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:CreateAccessPolicy",
                "iotsitewise:DescribeAccessPolicy",
                "iotsitewise:UpdateAccessPolicy",
                "iotsitewise:DeleteAccessPolicy",
                "iotsitewise:ListAccessPolicies",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssets",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:BatchPutAssetPropertyValue",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:UpdateAssetModel",
                "iotsitewise:UpdateAssetModelPropertyRouting",
                "sso-directory:DescribeUsers",
                "sso-directory:DescribeUser",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:BatchAcknowledgeAlarm",
                "iotevents:BatchSnoozeAlarm",
                "iotevents:BatchEnableAlarm",
                "iotevents:BatchDisableAlarm"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "iotevents:keyValue": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:CreateAlarmModel",
                "iotevents:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:UpdateAlarmModel",
                "iotevents:DeleteAlarmModel"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "iotevents.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Weitere Informationen zu den erforderlichen Berechtigungen für Alarme finden Sie unterRichten Sie Berechtigungen für Ereignisalarme ein in AWS IoT SiteWise.

Wenn sich ein Portalbenutzer anmeldet, erstellt SiteWise Monitor eine Sitzungsrichtlinie, die auf der Schnittstelle zwischen der Servicerolle und den Zugriffsrichtlinien dieses Benutzers basiert. Zugriffsrichtlinien definieren die Zugriffsstufe von -Identitäten auf Ihre Portale und Projekte. Weitere Informationen zu Portalberechtigungen und Zugriffsrichtlinien finden Sie unter Verwalten Sie Ihre SiteWise Monitor-Portale und CreateAccessPolicy.

Servicerollenberechtigungen für SiteWise Monitor (AI-aware)

Wenn Sie ein Portal erstellen, AWS IoT SiteWise können Sie damit eine Rolle erstellen, deren Name mit beginnt IoTSiteWisePortalRole. Diese Rolle ermöglicht SiteWise Verbundmonitor-Benutzern den Zugriff auf Ihre Portalkonfiguration, Ressourcen, Asset-Daten sowie IAM Identity Center-Konfigurations

Warnung

Die Rollen Projekteigentümer und Projektbetrachter werden für SiteWise Monitor () AI-aware nicht unterstützt.

Die Rolle vertraut darauf, dass der folgende Service diese Rolle annimmt:

monitor.iotsitewise.amazonaws.com

Die Rolle verwendet die folgende Berechtigungsrichtlinie, die mit „beginnt“ IoTSiteWiseAIPortalAccessPolicy, um SiteWise Monitor-Benutzern das Ausführen von Aktionen an Ressourcen in Ihrem Konto zu ermöglichen.

JSON


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}

Wenn sich ein Portalbenutzer anmeldet, erstellt SiteWise Monitor eine Sitzungsrichtlinie, die auf der Schnittstelle zwischen der Servicerolle und den Zugriffsrichtlinien dieses Benutzers basiert.

Verwalten Sie die SiteWise Monitor-Servicerolle (Konsole)

Das AWS-IoT-SiteWise-Konsole erleichtert die Verwaltung der SiteWise Monitor-Servicerolle für Portale. Beim Erstellen eines Portals sucht die Konsole nach vorhandenen Rollen, die als Anlage geeignet sind. Wenn keine verfügbar sind, kann die Konsole eine Servicerolle für Sie erstellen und konfigurieren. Weitere Informationen finden Sie unter Erstellen Sie ein Portal in SiteWise Monitor.

Themen

Suchen Sie nach der Servicerolle (Konsole) eines Portals
Erstellen Sie eine SiteWise Monitor-Servicerolle (AWS IoT SiteWise Konsole)
Erstellen Sie eine SiteWise Monitor-Servicerolle (IAM-Konsole)
Ändern Sie die Servicerolle eines Portals (Konsole)

Suchen Sie nach der Servicerolle (Konsole) eines Portals

Gehen Sie wie folgt vor, um die Servicerolle zu finden, die einem SiteWise Monitor-Portal zugeordnet ist.

So finden Sie die Servicerolle eines Portals

Navigieren Sie zur AWS IoT SiteWise -Konsole.
Wählen Sie im linken Navigationsbereich die Option Portale aus.
Wählen Sie das Portal aus, dessen Servicerolle Sie finden möchten.

Die dem Portal angefügte Rolle wird unter Permissions (Berechtigungen), Service role (Servicerolle) angezeigt.

Erstellen Sie eine SiteWise Monitor-Servicerolle (AWS IoT SiteWise Konsole)

Wenn Sie ein SiteWise Monitor-Portal erstellen, können Sie eine Servicerolle für Ihr Portal erstellen. Weitere Informationen finden Sie unter Erstellen Sie ein Portal in SiteWise Monitor.

Sie können in der AWS IoT SiteWise Konsole auch eine Servicerolle für ein vorhandenes Portal erstellen. Dies ersetzt die bestehende Servicerolle des Portals.

So erstellen Sie eine Servicerolle für ein vorhandenes Portal

Navigieren Sie zur AWS IoT SiteWise -Konsole.
Wählen Sie im linken Navigationsbereich die Option Portale aus.
Wählen Sie das Portal aus, für das Sie eine neue Servicerolle erstellen möchten.
Wählen Sie unter Portal details (Portaldetails) die Option Edit (Bearbeiten).
Wählen Sie unter Permissions (Berechtigungen) die Option Create and use a new service role (Eine neue Servicerolle erstellen und verwenden) aus der Liste aus.
Geben Sie einen Namen für die neue Rolle ein.
Wählen Sie Speichern.

Erstellen Sie eine SiteWise Monitor-Servicerolle (IAM-Konsole)

Sie können eine Servicerolle anhand der Servicerollenvorlage in der IAM-Konsole erstellen. Diese Rollenvorlage enthält die AWSIoTSiteWiseMonitorPortalAccess verwaltete Richtlinie und gibt SiteWise Monitor als vertrauenswürdige Entität an.

Um eine Servicerolle aus der Vorlage für eine Servicerolle im Portal zu erstellen

Navigieren Sie zur IAM-Konsole.
Wählen Sie im Navigationsbereich Rollen aus.
Wählen Sie Create role (Rolle erstellen) aus.
Wählen Sie unter Wählen Sie einen Anwendungsfall die Option IoT aus SiteWise.
Wählen Sie unter Wählen Sie Ihren Anwendungsfall aus IoT SiteWise Monitor - Portal.
Wählen Sie Next: Permissions aus.
Wählen Sie Next: Tags (Weiter: Tags) aus.
Klicken Sie auf Weiter: Prüfen.
Geben Sie einen Rollennamen für die neue Servicerolle ein.
Wählen Sie Rolle erstellen aus.

Ändern Sie die Servicerolle eines Portals (Konsole)

Gehen Sie wie folgt vor, um eine andere SiteWise Monitor-Servicerolle für ein Portal auszuwählen.

So ändern Sie die Servicerolle eines Portals

Navigieren Sie zur AWS IoT SiteWise -Konsole.
Wählen Sie im linken Navigationsbereich die Option Portale aus.
Wählen Sie das Portal aus, dessen Servicerolle Sie ändern möchten.
Wählen Sie unter Portal details (Portaldetails) die Option Edit (Bearbeiten).
Wählen Sie unter Permissions (Berechtigungen) die Option Use an existing role (Vorhandene Rolle verwenden) aus.
Wählen Sie eine vorhandene Rolle aus, die diesem Portal angefügt werden soll.
Wählen Sie Speichern.

Verwalten Sie die SiteWise Monitor-Servicerolle (CLI)

Sie können das AWS CLI für die folgenden Aufgaben zur Verwaltung der Rollen des Portaldienstes verwenden:

Themen

Suchen Sie nach der Servicerolle (CLI) eines Portals
Erstellen Sie die SiteWise Monitor-Servicerolle (CLI)

Suchen Sie nach der Servicerolle (CLI) eines Portals

Um die Servicerolle zu finden, die einem SiteWise Monitor-Portal zugeordnet ist, führen Sie den folgenden Befehl aus, um alle Ihre Portale in der aktuellen Region aufzulisten.


aws iotsitewise list-portals

Die Operation gibt eine Antwort mit einer Portalzusammenfassung im folgenden Format zurück.


{
  "portalSummaries": [
    {
      "id": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
      "name": "WindFarmPortal",
      "description": "A portal that contains wind farm projects for Example Corp.",
      "roleArn": "arn:aws:iam::123456789012:role/service-role/role-name",
      "startUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
      "creationDate": "2020-02-04T23:01:52.90248068Z",
      "lastUpdateDate": "2020-02-04T23:01:52.90248078Z"
    }
  ]
}

Sie können den DescribePortal Vorgang auch verwenden, um die Rolle Ihres Portals zu finden, wenn Sie die ID Ihres Portals kennen.

Erstellen Sie die SiteWise Monitor-Servicerolle (CLI)

Gehen Sie wie folgt vor, um eine neue SiteWise Monitor-Servicerolle zu erstellen.

So erstellen Sie eine SiteWise Monitor-Servicerolle

Erstellen Sie eine Rolle mit einer Vertrauensrichtlinie, die es SiteWise Monitor ermöglicht, die Rolle zu übernehmen. In diesem Beispiel wird eine Rolle Mit dem Namen MySiteWiseMonitorPortalRole aus einer Vertrauensrichtlinie erstellt, die in einer JSON-Zeichenfolge gespeichert ist.

Kopieren Sie den Rollen-ARN aus den Rollenmetadaten in der Ausgabe. Wenn Sie ein Portal erstellen, verwenden Sie diesen ARN, um die Rolle Ihrem Portal zuzuordnen. Weitere Informationen zum Erstellen eines Portals finden Sie CreatePortal in der AWS IoT SiteWise API-Referenz.

Für den SiteWise Monitor (Classic) — Hängen Sie die AWSIoTSiteWiseMonitorPortalAccess Richtlinie an die Rolle an, oder fügen Sie eine Richtlinie hinzu, die entsprechende Berechtigungen definiert.
```
aws iam attach-role-policy --role-name MySiteWiseMonitorPortalRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess
```

Für den SiteWise Monitor (AI-aware) — Hängen Sie die IoTSiteWiseAIPortalAccessPolicy Richtlinie der Rolle an, oder fügen Sie eine Richtlinie hinzu, die gleichwertige Berechtigungen definiert. Erstellen Sie beispielsweise eine Richtlinie mit Portalzugriffsberechtigungen. Im folgenden Beispiel wird eine Richtlinie mit dem Namen erstelltMySiteWiseMonitorPortalAccess.



aws iam create-policy \
    --policy-name MySiteWiseMonitorPortalAccess \
    --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}'

So fügen Sie einem vorhandenen Portal eine Servicerolle an

Führen Sie den folgenden Befehl aus, um die vorhandenen Details des Portals abzurufen. portal-idErsetzen Sie durch die ID des Portals.


aws iotsitewise describe-portal --portal-id portal-id

Die Operation gibt eine Antwort zurück, die die Details des Portals im folgenden Format enthält.


{
    "portalId": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalArn": "arn:aws:iotsitewise:region:account-id:portal/a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalName": "WindFarmPortal",
    "portalDescription": "A portal that contains wind farm projects for Example Corp.",
    "portalClientId": "E-1a2b3c4d5e6f_sn6tbqHVzLWVEXAMPLE",
    "portalStartUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
    "portalContactEmail": "support@example.com",
    "portalStatus": {
        "state": "ACTIVE"
    },
    "portalCreationDate": "2020-04-29T23:01:52.90248068Z",
    "portalLastUpdateDate": "2020-04-29T00:28:26.103548287Z",
    "roleArn": "arn:aws:iam::123456789012:role/service-role/AWSIoTSiteWiseMonitorServiceRole_1aEXAMPLE"
}

Führen Sie den folgenden Befehl aus, um einem Portal eine Servicerolle anzufügen. role-arnErsetzen Sie durch den ARN der Servicerolle und ersetzen Sie die verbleibenden Parameter durch die vorhandenen Werte des Portals.
```
aws iotsitewise update-portal \
  --portal-id portal-id \
  --role-arn role-arn \
  --portal-name portal-name \
  --portal-description portal-description \
  --portal-contact-email portal-contact-email
```

SiteWise Überwachen Sie die Aktualisierungen von AWSIoTSiteWiseMonitorServiceRole

Sie können sich Details zu Updates AWSIoTSiteWiseMonitorServiceRole für for SiteWise Monitor anzeigen lassen, und zwar ab dem Zeitpunkt, an dem dieser Dienst begonnen hat, die Änderungen zu verfolgen. Abonnieren Sie den RSS-Feed auf der Seite AWS IoT SiteWise Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.

Änderungen	Beschreibung	Date
AWSIoTSiteWiseMonitorPortalAccess – Richtlinie aktualisieren	AWS IoT SiteWise AWSIoTSiteWiseMonitorPortalAccesshat die verwaltete Richtlinie für die Alarm-Funktion aktualisiert.	27. Mai 2021
AWS IoT SiteWise hat begonnen, Änderungen zu verfolgen	AWS IoT SiteWise hat begonnen, Änderungen für seine Servicerolle zu verfolgen.	15. Dezember 2020

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Löschen Sie eine serviceverknüpfte Rolle

Richten Sie Berechtigungen für Alarme ein