Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Creación de un rol de IAM en el panel

Con AWS IoT TwinMaker, puede controlar el acceso a los datos en sus paneles de Grafana. Los usuarios del panel de control de Grafana deben tener diferentes ámbitos de permiso para ver los datos y, en algunos casos, escribirlos. Por ejemplo, es posible que un operador de alarma no tenga permiso para ver vídeos, mientras que un administrador sí lo tiene para todos los recursos. Grafana define los permisos a través de fuentes de datos, donde se proporcionan las credenciales y un rol de IAM. La AWS IoT TwinMaker fuente de datos obtiene las AWS credenciales con permisos para ese rol. Si no se proporciona una función de IAM, Grafana utiliza el alcance de las credenciales, que no se puede reducir en nada. AWS IoT TwinMaker

Para usar sus AWS IoT TwinMaker paneles de control en Grafana, debe crear un rol de IAM y adjuntar políticas. Puede utilizar las siguientes plantillas para crear estas políticas.

Creación de una política de IAM

Cree una política de IAM llamada YourWorkspaceIdDashboardPolicy en la consola de IAM. Esta política proporciona a sus espacios de trabajo acceso al bucket de Amazon S3 y a los recursos de AWS IoT TwinMaker . También puede optar por utilizar AWS IoT Greengrass Edge Connector para Amazon Kinesis Video Streams, que requiere permisos para las transmisiones de vídeo de Kinesis AWS IoT SiteWise y los activos configurados para el componente. Para adaptarse a su caso de uso, elija una de las siguientes plantillas de políticas.

Etiquetar el AWS IoT SiteWise recurso de la cámara: solicite la carga de vídeo desde Edge

Con el reproductor de vídeo de Grafana, los usuarios pueden solicitar manualmente que el vídeo se cargue desde la memoria caché perimetral a Kinesis Video Streams. Puede activar esta función para cualquier AWS IoT SiteWise activo que esté asociado a su AWS IoT Greengrass Edge Connector para Amazon Kinesis Video Streams y que esté etiquetado con la EdgeConnectorForKVS clave.

El valor de la etiqueta puede ser una lista de ID de espacio de trabajo delimitada por cualquiera de los siguientes caracteres: . : + = @ _ / -. Por ejemplo, si desea utilizar un AWS IoT SiteWise activo asociado a un conector AWS IoT Greengrass Edge para las transmisiones de Amazon Kinesis Video Streams AWS IoT TwinMaker en todos los espacios de trabajo, puede utilizar una etiqueta que siga este patrón:. WorkspaceA/WorkspaceB/WorkspaceC El complemento Grafana exige que el AWS IoT TwinMaker WorkspaceID se utilice para agrupar la ingesta de datos de activos. AWS IoT SiteWise

Añade más permisos a la política de su panel de control

El complemento AWS IoT TwinMaker Grafana usa tu proveedor de autenticación para invocar AssumeRole el rol de panel de control que crees. Internamente, el complemento restringe el mayor número de permisos a los que tienes acceso mediante una política de sesión en la AssumeRole llamada. Para obtener más información sobre las políticas de sesión, consulte Políticas de sesión.

Esta es la política máxima permisiva que puede tener en su rol de panel de control para un espacio de trabajo de AWS IoT TwinMaker :

{
  "Version": "2012-10-17",
  "Statement": [
    { 
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketName/*",
        "arn:aws:s3:::bucketName"
        ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "iottwinmaker:Get*",
        "iottwinmaker:List*"
      ],
      "Resource": [
        "arn:aws:iottwinmaker:region:accountId:workspace/workspaceId",
        "arn:aws:iottwinmaker:region:accountId:workspace/workspaceId/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": "iottwinmaker:ListWorkspaces",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kinesisvideo:GetDataEndpoint",
        "kinesisvideo:GetHLSStreamingSessionURL"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iotsitewise:GetAssetPropertyValue",
        "iotsitewise:GetInterpolatedAssetPropertyValues"
      ],
      "Resource": "*"
    },
    {
       "Effect": "Allow",
       "Action": [
        "iotsitewise:BatchPutAssetPropertyValue"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
        } 
      }
    }
  ]
}

Si añades instrucciones con Allow más permisos, no funcionarán en el AWS IoT TwinMaker plugin. Esto está diseñado para garantizar que el complemento utilice los permisos mínimos necesarios.

Sin embargo, puede reducir aún más los permisos. Para obtener más información, consulte Crear una política AWS IoT TwinMaker de reproducción de vídeo.

Creación del rol de IAM del panel de control de Grafana

Cree un rol de IAM llamado YourWorkspaceIdDashboardRole en la consola de IAM. Adjunte el YourWorkspaceIdDashboardPolicy al rol.

Para editar la política de confianza del rol del panel de control, debe dar permiso al proveedor de autenticación de Grafana para que llame a AssumeRole en el rol del panel de control. Actualice la política de confianza con la siguiente plantilla:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "ARN of Grafana authentication provider" 
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Para obtener más información sobre cómo crear un entorno de Grafana y encontrar su proveedor de autenticación, consulte Configuración del entorno de Grafana.