Conexión de dispositivos de cliente a los dispositivos principales

Compruebe si el rol de servicio de Greengrass está asociado con AWS IoT Greengrass para su Cuenta de AWS en esta región. Haga lo siguiente:

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. En la sección Rol de servicio de Greengrass, encuentre Rol de servicio actual para ver si hay un rol de servicio de Greengrass asociado.

   Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente detector de IP. Vaya a Configuración de la política de objetos AWS IoT.

Si el rol de servicio de Greengrass no está asociado con AWS IoT Greengrass para su Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Vaya a la consola de IAM.

2. Elija Roles.

3. Elija Crear rol.

4. En la página Crear rol, haga lo siguiente:

   1. En Tipo de entidad de confianza, elija Servicio de AWS.

   2. En Caso de uso, Casos de uso para otros Servicios de AWS, elija Greengrass y seleccione Greengrass. Esta opción especifica agregar AWS IoT Greengrass como entidad de confianza que puede asumir este rol.

   3. Elija Siguiente.

   4. En Políticas de permisos, elija la AWSGreengrassResourceAccessRolePolicy que desee adjuntar al rol.

   5. Elija Siguiente.

   6. En Nombre del rol, ingrese un nombre para su rol, por ejemplo, Greengrass_ServiceRole.

   7. Elija Crear rol.

5. Vaya a la consola de AWS IoT.

6. En el panel de navegación, seleccione Configuración.

7. En la sección rol de servicio de Greengrass, elija Adjuntar rol.

8. En el cuadro Actualizar rol de servicio de Greengrass, elija el rol de IAM que creó y, a continuación, elija Adjuntar rol.

Compruebe si el rol de servicio de Greengrass está asociado con AWS IoT Greengrass para su Cuenta de AWS en esta región.

aws greengrassv2 get-service-role-for-account

Si el rol de servicio de Greengrass está asociado, la operación devuelve una respuesta que contiene información sobre el rol.

Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente detector de IP. Vaya a Configuración de la política de objetos AWS IoT.

Si el rol de servicio de Greengrass no está asociado con AWS IoT Greengrass para su Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Cree el rol con una política de confianza que permita a AWS IoT Greengrass asumir el rol. Este ejemplo crea un rol denominado Greengrass_ServiceRole, pero puede utilizar un nombre distinto. Le recomendamos que incluya también las claves de contexto de condición global aws:SourceArn y aws:SourceAccount en su política de confianza para ayudar a prevenir el problema de seguridad del suplente confuso. Las claves de contexto de condición restringen el acceso para permitir solo las solicitudes que provienen de la cuenta especificada y del espacio de trabajo de Greengrass. Para obtener más información sobre el problema del suplente confuso, consulte Prevención de la sustitución confusa entre servicios.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie el ARN del rol de los metadatos del rol en la salida. Puede utilizar el ARN para asociar el rol a su cuenta.

3. Asocie la política de AWSGreengrassResourceAccessRolePolicy al rol.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Asociar el rol de servicio de Greengrass con AWS IoT Greengrass para su Cuenta de AWS. Reemplace role-arn por el ARN del rol de servicio.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   La operación devuelve la siguiente respuesta si tiene éxito.

   {
     "associatedAt": "timestamp"
   }

En el menú de navegación de la consola de AWS IoT Greengrass, elija Dispositivos principales.

En la página Dispositivos principales, elija el dispositivo principal que desea actualizar.

En la página de detalles del dispositivo principal, elija el enlace al Objeto del dispositivo principal. Este enlace abre la página de detalles del objeto en la consola de AWS IoT.

En la página de detalles del objeto, elija Certificados.

En la pestaña Certificados, elija el certificado activo del objeto.

En la página de detalles del certificado, elija Políticas.

En la pestaña Políticas, elija la política de AWS IoT que desee revisar y actualizar. Puede agregar los permisos necesarios a cualquier política que esté asociada al certificado activo del dispositivo principal.

En la descripción general de la política, elija Editar la versión activa.

Revise la política para ver los permisos necesarios y agregue los permisos necesarios que falten.

(Opcional) Para permitir que el dispositivo principal sincronice las sombras con AWS IoT Core, agregue la siguiente instrucción a la política. Si planea interactuar con las sombras de dispositivos de cliente, pero no sincronizarlas con AWS IoT Core, omita este paso. Reemplace region y account-id por la región que usa y su número de Cuenta de AWS.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Después de agregar esta instrucción, el documento de política tendrá un aspecto semejante al del siguiente ejemplo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para establecer una nueva versión de la política como la versión activa, en Estado de la versión de la política, seleccione Establecer la versión editada como la versión activa de esta política.

Seleccione Guardar como versión nueva.

Enumere las entidades principales del objeto AWS IoT del dispositivo principal. Las entidades principales del objeto pueden ser certificados de dispositivo X.509 u otros identificadores. Ejecute el siguiente comando y reemplace MyGreengrassCore por el nombre del dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

La operación devuelve una respuesta que enumera las entidades principales del objeto del dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique el certificado activo del dispositivo principal. Ejecute el siguiente comando y reemplace certificateId por el ID de cada certificado del paso anterior hasta que encuentre el certificado activo. El ID del certificado es la cadena hexadecimal que se encuentra al final del ARN del certificado. El argumento --query especifica que solo se muestre el estado del certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

La operación devuelve el estado del certificado en forma de cadena. Por ejemplo, si el certificado está activo, la operación muestra "ACTIVE".

Enumere las políticas de AWS IoT que están asociadas al certificado. Ejecute el siguiente comando y reemplace ARN del certificado por el ARN del certificado.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

La operación devuelve una respuesta que enumera las políticas de AWS IoT que están asociadas al certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Elija la política que desee ver y actualizar.

Obtenga el documento de la política. Ejecute el siguiente comando y reemplace GreengrassV2IoTThingPolicy por el nombre de la política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

La operación devuelve una respuesta que contiene el documento de política y otra información sobre la política. El documento de política es un objeto JSON serializado como una cadena.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Use un conversor en línea u otra herramienta para convertir la cadena del documento de la política en un objeto JSON y, a continuación, guárdela en un archivo denominado iot-policy.json.

Por ejemplo, si tiene instalada la herramienta jq, puede ejecutar el siguiente comando para obtener el documento de la política, convertirlo en un objeto JSON y guardar el documento de la política como un objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise la política para ver los permisos necesarios y agregue los permisos necesarios que falten.

Por ejemplo, en un sistema basado en Linux, puede ejecutar el siguiente comando para usar GNU nano para abrir el archivo.

nano iot-policy.json

Guarde los cambios como una nueva versión de la política. Ejecute el siguiente comando y reemplace GreengrassV2IoTThingPolicy por el nombre de la política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

Si se realiza correctamente, la operación devuelve una respuesta similar a la del siguiente ejemplo.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}