Connect les appareils clients aux appareils principaux

Vérifiez si le rôle de service Greengrass vous est associé AWS IoT Greengrass Compte AWS dans cette région. Procédez comme suit :

1. Accédez à la console AWS IoT.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Dans la section Rôle de service Greengrass, recherchez Rôle de service actuel pour voir si un rôle de service Greengrass est associé.

   Si un rôle de service Greengrass est associé, vous répondez à cette exigence pour utiliser le composant détecteur IP. Passez à Configuration de la AWS IoT politique des objets.

Si le rôle de service Greengrass n'est pas associé à votre AWS IoT Greengrass compte Compte AWS dans cette région, créez un rôle de service Greengrass et associez-le. Procédez comme suit :

1. Accédez à la Console IAM.

2. Sélectionnez Roles.

3. Sélectionnez Créer un rôle.

4. Sur la page Créer un rôle, procédez comme suit :

   1. Sous Type d'entité de confiance, sélectionnez AWS service.

   2. Sous Cas d'utilisation, Cas d'utilisation pour les autres AWS services, choisissez Greengrass, sélectionnez Greengrass. Cette option indique d'ajouter AWS IoT Greengrass en tant qu'entité de confiance capable d'assumer ce rôle.

   3. Choisissez Suivant.

   4. Sous Politiques d'autorisations, sélectionnez le AWSGreengrassResourceAccessRolePolicyà associer au rôle.

   5. Choisissez Suivant.

   6. Dans Nom du rôle, entrez le nom du rôle, tel queGreengrass_ServiceRole.

   7. Sélectionnez Créer un rôle.

5. Accédez à la console AWS IoT.

6. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

7. Dans la section Rôle de service Greengrass, choisissez Attacher un rôle.

8. Dans le mode Update Greengrass Service Role, sélectionnez le rôle IAM que vous avez créé, puis choisissez Attacher un rôle.

Vérifiez si le rôle de service Greengrass vous est associé AWS IoT Greengrass Compte AWS dans cette région.

aws greengrassv2 get-service-role-for-account

Si le rôle de service Greengrass est associé, l'opération renvoie une réponse contenant des informations sur le rôle.

Si un rôle de service Greengrass est associé, vous répondez à cette exigence pour utiliser le composant détecteur IP. Passez à Configuration de la AWS IoT politique des objets.

Si le rôle de service Greengrass n'est pas associé à votre AWS IoT Greengrass compte Compte AWS dans cette région, créez un rôle de service Greengrass et associez-le. Procédez comme suit :

1. Créez le rôle avec une stratégie d'approbation permettant à AWS IoT Greengrass d'assumer le rôle. Cet exemple crée un rôle nommé Greengrass_ServiceRole, mais vous pouvez utiliser un autre nom. Nous vous recommandons également d'inclure les clés aws:SourceArn contextuelles et les clés de contexte de condition aws:SourceAccount globale dans votre politique de confiance afin d'éviter tout problème de sécurité secondaire confus. Les clés contextuelles de condition limitent l'accès pour autoriser uniquement les demandes provenant du compte spécifié et de l'espace de travail Greengrass. Pour plus d’informations sur le problème de l'adjoint confus, consultez Prévention du problème de l'adjoint confus entre services.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copiez l'ARN de rôle du rôle des métadonnées dans la sortie. Vous utilisez l'ARN pour associer le rôle à votre compte.

3. Attachez la stratégie AWSGreengrassResourceAccessRolePolicy au rôle.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Associez le rôle de service Greengrass à AWS IoT Greengrass votre. Compte AWS Remplacez role-arn par l'ARN du rôle de service.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   L'opération renvoie la réponse suivante en cas de succès.

   {
     "associatedAt": "timestamp"
   }

Dans le menu de navigation de la AWS IoT Greengrassconsole, choisissez Core devices.

Sur la page des appareils principaux, choisissez le périphérique principal à mettre à jour.

Sur la page de détails de l'appareil principal, choisissez le lien vers l'objet de l'appareil principal. Ce lien ouvre la page des détails de l'objet dans la AWS IoT console.

Sur la page des détails de l'objet, sélectionnez Certificats.

Dans l'onglet Certificats, choisissez le certificat actif de l'objet.

Sur la page des détails du certificat, sélectionnez Policies.

Dans l'onglet Politiques, choisissez la AWS IoT politique à revoir et à mettre à jour. Vous pouvez ajouter les autorisations requises à n'importe quelle politique associée au certificat actif de l'appareil principal.

Dans l'aperçu des politiques, choisissez Modifier la version active.

Passez en revue la politique relative aux autorisations requises et ajoutez les autorisations requises manquantes.

(Facultatif) Pour autoriser le périphérique principal à synchroniser les ombres avecAWS IoT Core, ajoutez l'instruction suivante à la politique. Si vous prévoyez d'interagir avec les ombres de l'appareil client sans les synchroniserAWS IoT Core, ignorez cette étape. Remplacez la région et l'identifiant du compte par la région que vous utilisez et votre Compte AWS numéro.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Après avoir ajouté cette déclaration, le document de politique peut ressembler à l'exemple suivant.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Pour définir une nouvelle version de politique comme version active, sous État de la version de politique, sélectionnez Définir la version modifiée comme version active pour cette politique.

Choisissez Enregistrer en tant que nouvelle version.

Énumérez les principes de base de l'appareilAWS IoT. Les principaux de l'objet peuvent être des certificats de périphérique X.509 ou d'autres identifiants. Exécutez la commande suivante et MyGreengrassCoreremplacez-la par le nom du périphérique principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

L'opération renvoie une réponse répertoriant les principaux éléments du périphérique principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifiez le certificat actif de l'appareil principal. Exécutez la commande suivante et remplacez CertificateID par l'ID de chaque certificat de l'étape précédente jusqu'à ce que vous trouviez le certificat actif. L'ID du certificat est la chaîne hexadécimale à la fin de l'ARN du certificat. L'--queryargument indique de n'afficher que le statut du certificat.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

L'opération renvoie le statut du certificat sous forme de chaîne. Par exemple, si le certificat est actif, cette opération produit des résultats"ACTIVE".

AWS IoTRépertoriez les politiques associées au certificat. Exécutez la commande suivante et remplacez l'ARN du certificat par l'ARN du certificat.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

L'opération renvoie une réponse répertoriant les AWS IoT politiques associées au certificat.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Choisissez la politique à consulter et à mettre à jour.

Obtenez le document de la politique. Exécutez la commande suivante et remplacez GreengrassV2IoT par le nom ThingPolicy de la politique.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

L'opération renvoie une réponse contenant le document de la politique et d'autres informations relatives à la politique. Le document de politique est un objet JSON sérialisé sous forme de chaîne.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Utilisez un convertisseur en ligne ou un autre outil pour convertir la chaîne du document de politique en objet JSON, puis enregistrez-la dans un fichier nomméiot-policy.json.

Par exemple, si l'outil jq est installé, vous pouvez exécuter la commande suivante pour obtenir le document de politique, le convertir en objet JSON et enregistrer le document de politique en tant qu'objet JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Passez en revue la politique relative aux autorisations requises et ajoutez les autorisations requises manquantes.

Par exemple, sur un système basé sur Linux, vous pouvez exécuter la commande suivante pour utiliser GNU nano pour ouvrir le fichier.

nano iot-policy.json

Enregistrez les modifications en tant que nouvelle version de la politique. Exécutez la commande suivante et remplacez GreengrassV2IoT par le nom ThingPolicy de la politique.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

L'opération renvoie une réponse similaire à l'exemple suivant en cas de succès.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}