Connect los dispositivos cliente a los dispositivos principales

Compruebe si la función de servicio de Greengrass está asociada AWS IoT Greengrass a su función Cuenta de AWS en esta región. Haga lo siguiente:

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. En la sección Función de servicio de Greengrass, busque Función de servicio actual para ver si hay una función de servicio de Greengrass asociada.

   Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente de detector de IP. Vaya a Configure la política de AWS IoT cosas.

Si el rol de servicio de Greengrass no está asociado AWS IoT Greengrass para usted Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Vaya a la consola de IAM.

2. Elija Roles.

3. Elija Crear rol.

4. En la página Crear rol, haga lo siguiente:

   1. En Tipo de entidad de confianza, elija Servicio de AWS.

   2. En Caso de uso, Casos de uso para otros Servicios de AWS, elige Greengrass y selecciona Greengrass. Esta opción especifica agregar una entidad AWS IoT Greengrass de confianza que pueda asumir esta función.

   3. Elija Siguiente.

   4. En Políticas de permisos, seleccione la AWSGreengrassResourceAccessRolePolicyque desee adjuntar a la función.

   5. Elija Siguiente.

   6. En Nombre del rol, introduzca un nombre para el rol, comoGreengrass_ServiceRole.

   7. Elija Crear rol.

5. Vaya a la consola de AWS IoT.

6. En el panel de navegación, seleccione Configuración.

7. En la sección Función de servicio de Greengrass, elija Adjuntar función.

8. En el modal Actualizar rol de servicio Greengrass, seleccione el rol de IAM que creó y, a continuación, elija Adjuntar rol.

Compruebe si la función de servicio de Greengrass está asociada AWS IoT Greengrass a su función Cuenta de AWS en esta región.

aws greengrassv2 get-service-role-for-account

Si el rol de servicio de Greengrass está asociado, la operación devuelve una respuesta que contiene información sobre el rol.

Si tiene un rol de servicio de Greengrass asociado, cumple con este requisito para usar el componente de detector de IP. Vaya a Configure la política de AWS IoT cosas.

Si el rol de servicio de Greengrass no está asociado AWS IoT Greengrass para usted Cuenta de AWS en esta región, cree un rol de servicio de Greengrass y asócielo. Haga lo siguiente:

1. Cree el rol con una política de confianza que permita a AWS IoT Greengrass asumir el rol. Este ejemplo crea un rol denominado Greengrass_ServiceRole, pero puede utilizar un nombre distinto. Le recomendamos que incluya también las claves de contexto de condición global aws:SourceArn y aws:SourceAccount en su política de confianza para ayudar a prevenir el problema de seguridad del suplente confuso. Las claves de contexto de condición restringen el acceso para permitir solo las solicitudes que provienen de la cuenta especificada y del espacio de trabajo de Greengrass. Para obtener más información sobre el problema del suplente confuso, consulte Prevención del suplente confuso entre servicios.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie el ARN del rol de los metadatos del rol en la salida. Puede utilizar el ARN para asociar el rol a su cuenta.

3. Asocie la política de AWSGreengrassResourceAccessRolePolicy al rol.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Asocie la función de servicio de Greengrass con AWS IoT Greengrass su. Cuenta de AWS Sustituya role-arn por el ARN del rol de servicio.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   La operación devuelve la siguiente respuesta si tiene éxito.

   {
     "associatedAt": "timestamp"
   }

En el menú de navegación de la AWS IoT Greengrassconsola, selecciona Dispositivos principales.

En la página de dispositivos principales, selecciona el dispositivo principal que deseas actualizar.

En la página de detalles del dispositivo principal, selecciona el enlace al dispositivo principal. Este enlace abre la página de detalles del dispositivo en la AWS IoT consola.

En la página de detalles de la cosa, selecciona Certificados.

En la pestaña Certificados, selecciona el certificado activo del objeto.

En la página de detalles del certificado, selecciona Políticas.

En la pestaña Políticas, elija la AWS IoT política que desee revisar y actualizar. Puede añadir los permisos necesarios a cualquier política que esté asociada al certificado activo del dispositivo principal.

En la descripción general de la política, selecciona Editar la versión activa.

Revisa la política para ver los permisos necesarios y añade los permisos necesarios que falten.

(Opcional) Para permitir que el dispositivo principal se sincronice con las sombrasAWS IoT Core, añada la siguiente declaración a la política. Si planea interactuar con las sombras de los dispositivos cliente, pero no sincronizarlas con ellasAWS IoT Core, omita este paso. Sustituye la región y el identificador de cuenta por la región que utilizas y tu Cuenta de AWS número.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Tras añadir esta declaración, el documento de política podría tener un aspecto similar al del siguiente ejemplo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para establecer una nueva versión de la política como la versión activa, en Estado de la versión de la política, seleccione Establecer la versión editada como la versión activa de esta política.

Seleccione Guardar como versión nueva.

Enumere los principios del AWS IoT dispositivo principal. Los elementos principales pueden ser certificados de dispositivo X.509 u otros identificadores. Ejecute el siguiente comando y MyGreengrassCoresustitúyalo por el nombre del dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

La operación devuelve una respuesta en la que se enumeran los elementos principales del dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique el certificado activo del dispositivo principal. Ejecute el siguiente comando y sustituya CertificateID por el ID de cada certificado del paso anterior hasta que encuentre el certificado activo. El identificador del certificado es la cadena hexadecimal situada al final del ARN del certificado. El --query argumento especifica que solo se muestre el estado del certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

La operación devuelve el estado del certificado en forma de cadena. Por ejemplo, si el certificado está activo, se genera esta operación"ACTIVE".

Enumere las AWS IoT políticas que se adjuntan al certificado. Ejecute el siguiente comando y sustituya el ARN del certificado por el ARN del certificado.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

La operación devuelve una respuesta en la que se enumeran las AWS IoT políticas adjuntas al certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Elija la política que desee ver y actualizar.

Obtenga el documento de la política. Ejecute el siguiente comando y sustituya GreengrassV2IoT por el nombre ThingPolicy de la política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

La operación devuelve una respuesta que contiene el documento de la política y otra información sobre la política. El documento de política es un objeto JSON serializado como una cadena.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Utilice un conversor en línea u otra herramienta para convertir la cadena del documento de política en un objeto JSON y, a continuación, guárdela en un archivo denominadoiot-policy.json.

Por ejemplo, si tiene instalada la herramienta jq, puede ejecutar el siguiente comando para obtener el documento de política, convertirlo en un objeto JSON y guardar el documento de política como un objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise la política para ver los permisos necesarios y añada los permisos necesarios que falten.

Por ejemplo, en un sistema basado en Linux, puede ejecutar el siguiente comando para usar GNU nano y abrir el archivo.

nano iot-policy.json

Guarde los cambios como una nueva versión de la política. Ejecute el siguiente comando y sustituya GreengrassV2IoT por el nombre ThingPolicy de la política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

La operación devuelve una respuesta similar a la del siguiente ejemplo si tiene éxito.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}