Conexión de dispositivos de cliente a los dispositivos principales

Compruebe si la función de servicio de Greengrass está asociada AWS IoT Greengrass a su función Cuenta de AWS en esta región. Haga lo siguiente:

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. En la sección Rol de servicio de Greengrass, encuentre Rol de servicio actual para ver si hay un rol de servicio de Greengrass asociado.

   Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente detector de IP. Vaya a Configure la política de AWS IoT cosas.

Si el rol de servicio de Greengrass no está asociado AWS IoT Greengrass para usted Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Vaya a la consola de IAM.

2. Elija Roles.

3. Elija Crear rol.

4. En la página Crear rol, haga lo siguiente:

   1. En Tipo de entidad de confianza, elija Servicio de AWS.

   2. En Caso de uso, Casos de uso para otros Servicios de AWS, elija Greengrass y seleccione Greengrass. Esta opción especifica agregarlo AWS IoT Greengrass como entidad de confianza que pueda asumir este rol.

   3. Elija Next (Siguiente).

   4. En Políticas de permisos, seleccione AWSGreengrassResourceAccessRolePolicypara adjuntarlo al rol.

   5. Elija Next (Siguiente).

   6. En Nombre del rol, ingrese un nombre para su rol, por ejemplo, Greengrass_ServiceRole.

   7. Elija Crear rol.

5. Vaya a la consola de AWS IoT.

6. En el panel de navegación, seleccione Configuración.

7. En la sección rol de servicio de Greengrass, elija Adjuntar rol.

8. En el cuadro Actualizar rol de servicio de Greengrass, elija el rol de IAM que creó y, a continuación, elija Adjuntar rol.

Compruebe si la función de servicio de Greengrass está asociada AWS IoT Greengrass a su función Cuenta de AWS en esta región.

aws greengrassv2 get-service-role-for-account

Si el rol de servicio de Greengrass está asociado, la operación devuelve una respuesta que contiene información sobre el rol.

Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente detector de IP. Vaya a Configure la política de AWS IoT cosas.

Si el rol de servicio de Greengrass no está asociado AWS IoT Greengrass para usted Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Cree un rol con una política de confianza que le permita AWS IoT Greengrass asumir el rol. Este ejemplo crea un rol denominado Greengrass_ServiceRole, pero puede utilizar un nombre distinto. Le recomendamos que incluya también las claves de contexto de condición global aws:SourceArn y aws:SourceAccount en su política de confianza para ayudar a prevenir el problema de seguridad del suplente confuso. Las claves de contexto de condición restringen el acceso para permitir solo las solicitudes que provienen de la cuenta especificada y del espacio de trabajo de Greengrass. Para obtener más información sobre el problema del suplente confuso, consulte Prevención de la sustitución confusa entre servicios.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie el ARN del rol de los metadatos del rol en la salida. Puede utilizar el ARN para asociar el rol a su cuenta.

3. Asocie la política de AWSGreengrassResourceAccessRolePolicy al rol.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Asocie la función de servicio de Greengrass con AWS IoT Greengrass su. Cuenta de AWSrole-arnSustitúyalo por el ARN de la función de servicio.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   La operación devuelve la siguiente respuesta si tiene éxito.

   {
     "associatedAt": "timestamp"
   }

En el menú de navegación de la consola de AWS IoT Greengrass, elija Dispositivos principales.

En la página Dispositivos principales, elija el dispositivo principal que desea actualizar.

En la página de detalles del dispositivo principal, elija el enlace al Objeto del dispositivo principal. Este enlace abre la página de detalles del objeto en la consola de AWS IoT .

En la página de detalles del objeto, elija Certificados.

En la pestaña Certificados, elija el certificado activo del objeto.

En la página de detalles del certificado, elija Políticas.

En la pestaña Políticas, elija la AWS IoT política que desee revisar y actualizar. Puede agregar los permisos necesarios a cualquier política que esté asociada al certificado activo del dispositivo principal.

En la descripción general de la política, elija Editar la versión activa.

Revise la política para ver los permisos necesarios y agregue los permisos necesarios que falten.

(Opcional) Para permitir que el dispositivo principal se sincronice con las sombras AWS IoT Core, añada la siguiente declaración a la política. Si planea interactuar con las sombras de los dispositivos cliente, pero no sincronizarlas con ellas AWS IoT Core, omita este paso. Sustituya region y account-id por la región que utilice y su Cuenta de AWS número.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Después de agregar esta instrucción, el documento de política tendrá un aspecto semejante al del siguiente ejemplo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para establecer una nueva versión de la política como la versión activa, en Estado de la versión de la política, seleccione Establecer la versión editada como la versión activa de esta política.

Seleccione Guardar como versión nueva.

Enumere los principios del AWS IoT dispositivo principal. Las entidades principales del objeto pueden ser certificados de dispositivo X.509 u otros identificadores. Ejecute el siguiente comando y MyGreengrassCore sustitúyalo por el nombre del dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

La operación devuelve una respuesta que enumera las entidades principales del objeto del dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique el certificado activo del dispositivo principal. Ejecute el siguiente comando y certificateId sustitúyalo por el ID de cada certificado del paso anterior hasta que encuentre el certificado activo. El ID del certificado es la cadena hexadecimal que se encuentra al final del ARN del certificado. El argumento --query especifica que solo se muestre el estado del certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

La operación devuelve el estado del certificado en forma de cadena. Por ejemplo, si el certificado está activo, la operación muestra "ACTIVE".

Enumere las AWS IoT políticas que se adjuntan al certificado. Ejecute el siguiente comando y reemplace ARN del certificado por el ARN del certificado.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

La operación devuelve una respuesta en la que se enumeran AWS IoT las políticas adjuntas al certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Elija la política que desee ver y actualizar.

Obtenga el documento de la política. Ejecute el siguiente comando y GreengrassV2IoTThingPolicy sustitúyalo por el nombre de la política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

La operación devuelve una respuesta que contiene el documento de política y otra información sobre la política. El documento de política es un objeto JSON serializado como una cadena.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Use un conversor en línea u otra herramienta para convertir la cadena del documento de la política en un objeto JSON y, a continuación, guárdela en un archivo denominado iot-policy.json.

Por ejemplo, si tiene instalada la herramienta jq, puede ejecutar el siguiente comando para obtener el documento de la política, convertirlo en un objeto JSON y guardar el documento de la política como un objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise la política para ver los permisos necesarios y agregue los permisos necesarios que falten.

Por ejemplo, en un sistema basado en Linux, puede ejecutar el siguiente comando para usar GNU nano para abrir el archivo.

nano iot-policy.json

Guarde los cambios como una nueva versión de la política. Ejecute el siguiente comando y GreengrassV2IoTThingPolicy sustitúyalo por el nombre de la política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

Si se realiza correctamente, la operación devuelve una respuesta similar a la del siguiente ejemplo.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}