Rôle de service Greengrass

1. Accédez à la console AWS IoT.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Faites défiler l'écran jusqu'à la section Greengrass service role (Rôle de service Greengrass) pour afficher votre rôle de service et ses stratégies.

   Si aucun rôle de service n'apparaît, la console peut en créer ou en configurer un pour vous. Pour plus d’informations, consultez Créer le rôle de service Greengrass.

1. Accédez à la console AWS IoT.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Sous le rôle de service Greengrass, sélectionnez Modifier le rôle.

   La boîte de dialogue Mettre à jour le rôle de service Greengrass s'ouvre et indique les rôles IAM Compte AWS que vous définissez AWS IoT Greengrass comme une entité de confiance.

4. Choisissez le rôle de service Greengrass à associer.

5. Choisissez Attacher un rôle.

1. Accédez à la console AWS IoT.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Sous le rôle de service Greengrass, choisissez Detach role.

4. Dans la boîte de dialogue de confirmation, choisissez Détacher.

• Obtenez le rôle de service. Remplacez la région par votre Région AWS (par exemple,us-west-2).

  aws greengrassv2 get-service-role-for-account --region region

  Si un rôle de service Greengrass est déjà associé à votre compte, la demande renvoie les métadonnées de rôle suivantes.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Si la demande ne renvoie pas les métadonnées du rôle, vous devez créer le rôle de service (s'il n'existe pas) et l'associer à votre compte dans leRégion AWS.

Pour créer le rôle de service à l'aide d'IAM

1. Créez le rôle avec une stratégie d'approbation permettant à AWS IoT Greengrass d'assumer le rôle. Cet exemple crée un rôle nommé Greengrass_ServiceRole, mais vous pouvez utiliser un autre nom. Nous vous recommandons également d'inclure les clés aws:SourceArn contextuelles et les clés de contexte de condition aws:SourceAccount globale dans votre politique de confiance afin d'éviter tout problème de sécurité secondaire confus. Les clés contextuelles de condition limitent l'accès pour autoriser uniquement les demandes provenant du compte spécifié et de l'espace de travail Greengrass. Pour plus d’informations sur le problème de l'adjoint confus, consultez Prévention du problème de l'adjoint confus entre services.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copiez l'ARN de rôle du rôle des métadonnées dans la sortie. Vous utilisez l'ARN pour associer le rôle à votre compte.

3. Attachez la stratégie AWSGreengrassResourceAccessRolePolicy au rôle.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Pour associer le rôle de service à votre Compte AWS

• Associez le rôle à votre compte. Remplacez role-arn par l'ARN du rôle de service et region par votre Région AWS (par exemple,us-west-2).

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  En cas de succès, la demande renvoie la réponse suivante.

  {
    "associatedAt": "timestamp"
  }

• Dissociez le rôle de service de votre compte. Remplacez la région par votre Région AWS (par exemple,us-west-2).

  aws greengrassv2 disassociate-service-role-from-account --region region

  En cas de réussite, la réponse suivante est renvoyée.

  {
    "disassociatedAt": "timestamp"
  }

  Note

  Vous devez supprimer le rôle de service si vous ne l'utilisez dans aucun d'entre euxRégion AWS. Utilisez d'abord delete-role-policy pour détacher la stratégie gérée du rôle, puis utilisez AWSGreengrassResourceAccessRolePolicydelete-role pour supprimer le rôle. Pour plus d'informations, consultez Suppression de rôles ou de profils d'instance dans le guide de l'utilisateur IAM.