View a markdown version of this page

Eine Dashboard-IAM-Rolle erstellen - AWS IoT TwinMaker
Eine IAM-Richtlinie erstellenLaden Sie das Video vom Edge hochFügen Sie weitere Berechtigungen hinzuErstellen der Grafana-Dashboard-IAM-Rolle

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Eine Dashboard-IAM-Rolle erstellen

Mit AWS IoT TwinMaker können Sie den Datenzugriff auf Ihre Grafana-Dashboards steuern. Benutzer des Grafana-Dashboards sollten unterschiedliche Berechtigungsbereiche haben, um Daten anzuzeigen und in einigen Fällen Daten zu schreiben. Beispielsweise hat ein Alarmanbieter möglicherweise keine Erlaubnis, Videos anzusehen, während ein Administrator die Erlaubnis für alle Ressourcen hat. Grafana definiert die Berechtigungen anhand von Datenquellen, in denen Anmeldeinformationen und eine IAM-Rolle bereitgestellt werden. Die AWS IoT TwinMaker Datenquelle ruft AWS Anmeldeinformationen mit Berechtigungen für diese Rolle ab. Wenn keine IAM-Rolle bereitgestellt wird, verwendet Grafana den Umfang der Anmeldeinformationen, der nicht um Folgendes reduziert werden kann. AWS IoT TwinMaker

Um Ihre AWS IoT TwinMaker Dashboards in Grafana zu verwenden, erstellen Sie eine IAM-Rolle und fügen Richtlinien hinzu. Sie können die folgenden Vorlagen verwenden, um diese Richtlinien zu erstellen.

Eine IAM-Richtlinie erstellen

Erstellen Sie YourWorkspaceIdDashboardPolicy in der IAM-Konsole eine IAM-Richtlinie mit dem Namen. Diese Richtlinie gewährt Ihren Workspaces Zugriff auf den Amazon S3-Bucket und die Ressourcen. AWS IoT TwinMaker Sie können sich auch dafür entscheiden, AWS IoT Greengrass Edge Connector für Amazon Kinesis Video Streams zu verwenden. Dafür sind Berechtigungen für die Kinesis Video Streams und für die Komponente konfigurierten AWS IoT SiteWise Ressourcen erforderlich. Wählen Sie je nach Anwendungsfall eine der folgenden Richtlinienvorlagen aus.

1. Keine Richtlinie für Videoberechtigungen

Wenn Sie das Grafana Video Player-Bedienfeld nicht verwenden möchten, erstellen Sie die Richtlinie mithilfe der folgenden Vorlage.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        }
    ]
}

Für jeden Workspace wird ein Amazon S3-Bucket erstellt. Es enthält die 3D-Modelle und Szenen, die auf einem Dashboard angezeigt werden können. Das SceneViewer Panel lädt Elemente aus diesem Bucket.

2. Richtlinie mit eingeschränktem Umfang für Videoberechtigungen

Um den Zugriff auf das Video Player-Menü in Grafana einzuschränken, gruppieren Sie Ihre AWS IoT Greengrass Edge Connector für Amazon Kinesis Video Streams-Ressourcen nach Stichwörtern. Weitere Informationen zur Einschränkung der Zugriffsrechte für Ihre Videoressourcen finden Sie unter. Erstellen einer AWS IoT TwinMaker Richtlinie für Videoplayer

3. Alle Videoberechtigungen

Wenn Sie Ihre Videos nicht gruppieren möchten, können Sie sie alle über den Grafana-Videoplayer zugänglich machen. Jeder, der Zugriff auf einen Grafana-Workspace hat, kann Videos für jeden Stream in deinem Konto abspielen und hat nur Lesezugriff auf alle AWS IoT SiteWise Inhalte. Dies schließt alle Ressourcen ein, die in Zukunft erstellt werden.

Erstellen Sie die Richtlinie mit der folgenden Vorlage:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketName/*",
                "arn:aws:s3:::bucketName"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:GetHLSStreamingSessionURL"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetInterpolatedAssetPropertyValues"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:BatchPutAssetPropertyValue"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
                }
            }
        }
    ]
}

Diese Richtlinienvorlage bietet die folgenden Berechtigungen:

  • Nur Lesezugriff auf einen S3-Bucket zum Laden einer Szene.

  • Schreibgeschützter Zugriff auf AWS IoT TwinMaker für alle Entitäten und Komponenten in einem Workspace.

  • Nur Lesezugriff, um alle Kinesis Video Streams-Videos in Ihrem Konto zu streamen.

  • Nur Lesezugriff auf den Werteverlauf aller AWS IoT SiteWise Vermögenswerte in Ihrem Konto.

  • Datenaufnahme in eine beliebige Immobilie einer AWS IoT SiteWise Anlage, die mit dem Schlüssel EdgeConnectorForKVS und dem Wert gekennzeichnet ist. workspaceId

Deine Kamera taggen AWS IoT SiteWise Asset: Video-Upload von Edge anfordern

Mithilfe des Videoplayers in Grafana können Benutzer manuell anfordern, dass Videos aus dem Edge-Cache in Kinesis Video Streams hochgeladen werden. Sie können diese Funktion für jedes AWS IoT SiteWise Asset aktivieren, das mit Ihrem AWS IoT Greengrass Edge Connector für Amazon Kinesis Video Streams verknüpft und mit dem Schlüssel versehen ist. EdgeConnectorForKVS

Der Tag-Wert kann eine Liste von WorkspaceIDs sein, die durch eines der folgenden Zeichen getrennt sind:. . : + = @ _ / - Wenn Sie beispielsweise ein AWS IoT SiteWise Asset verwenden möchten, das mit einem AWS IoT Greengrass Edge Connector für Amazon Kinesis Video Streams in allen AWS IoT TwinMaker Arbeitsbereichen verknüpft ist, können Sie ein Tag verwenden, das diesem Muster folgt:. WorkspaceA/WorkspaceB/WorkspaceC Das Grafana-Plug-In erzwingt, dass die AWS IoT TwinMaker WorkspaceID verwendet wird, um die Erfassung von Asset-Daten zu gruppieren. AWS IoT SiteWise

Fügen Sie Ihrer Dashboard-Richtlinie weitere Berechtigungen hinzu

Das AWS IoT TwinMaker Grafana-Plugin verwendet Ihren Authentifizierungsanbieter, um die von Ihnen AssumeRole erstellte Dashboard-Rolle aufzurufen. Intern schränkt das Plugin den höchsten Umfang der Berechtigungen ein, auf die Sie Zugriff haben, indem es im Anruf eine Sitzungsrichtlinie verwendet. AssumeRole Weitere Informationen zu Sitzungsrichtlinien finden Sie unter Sitzungsrichtlinien.

Dies ist die maximal zulässige Richtlinie, die du für deine Dashboard-Rolle für einen AWS IoT TwinMaker Workspace verwenden kannst:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketName/*",
                "arn:aws:s3:::bucketName"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:GetHLSStreamingSessionURL"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetInterpolatedAssetPropertyValues"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:BatchPutAssetPropertyValue"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
                }
            }
        }
    ]
}

Wenn du Statements hinzufügst, die Allow mehr Berechtigungen gewähren, funktionieren sie im AWS IoT TwinMaker Plugin nicht. Dies ist beabsichtigt, um sicherzustellen, dass das Plugin die erforderlichen Mindestberechtigungen verwendet.

Sie können die Berechtigungen jedoch weiter einschränken. Weitere Informationen finden Sie unter Erstellen einer AWS IoT TwinMaker Richtlinie für Videoplayer.

Erstellen der Grafana-Dashboard-IAM-Rolle

Erstellen Sie in der IAM-Konsole eine IAM-Rolle mit dem Namen. YourWorkspaceIdDashboardRole Hängen Sie die an die YourWorkspaceIdDashboardPolicy Rolle an.

Um die Vertrauensrichtlinie der Dashboard-Rolle zu bearbeiten, müssen Sie dem Grafana-Authentifizierungsanbieter die Erlaubnis erteilen, die Dashboard-Rolle AssumeRole aufzurufen. Aktualisieren Sie die Vertrauensrichtlinie mit der folgenden Vorlage:

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "ARN of Grafana authentication provider" 
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Weitere Informationen zum Erstellen einer Grafana-Umgebung und zum Finden Ihres Authentifizierungsanbieters finden Sie unterRichten Sie Ihre Grafana-Umgebung ein.