AWS IoT Greengrass et interface des points de terminaison d’un VPC (AWS PrivateLink) - AWS IoT Greengrass
Considérations relatives aux points de terminaison de VPC AWS IoT GreengrassCréation d'un point de terminaison VPC d'interface pour les opérations du plan AWS IoT Greengrass de contrôleCréation d’une stratégie de point de terminaison d’un VPC pour AWS IoT GreengrassFaire fonctionner un appareil AWS IoT Greengrass principal dans un VPC

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS IoT Greengrass et interface des points de terminaison d’un VPC (AWS PrivateLink)

Vous pouvez établir une connexion privée entre votre VPC et le plan de AWS IoT Greengrass contrôle en créant un point de terminaison VPC d'interface. Vous pouvez utiliser ce point de terminaison pour gérer les composants, les déploiements et les principaux appareils du AWS IoT Greengrass service. Les points de terminaison d'interface sont alimentés par AWS PrivateLinkune technologie qui vous permet d'accéder aux AWS IoT Greengrass API en privé sans passerelle Internet, appareil NAT, connexion VPN ou connexion AWS Direct Connect. Les instances de votre VPC ne requièrent pas d'adresses IP publiques pour communiquer avec les API AWS IoT Greengrass. Le trafic entre votre VPC et AWS IoT Greengrass ne quitte pas le réseau Amazon.

Chaque point de terminaison d’interface est représenté par une ou plusieurs interfaces réseau Elastic dans vos sous-réseaux.

Pour de plus amples informations, consultez Points de terminaison VPC (AWS PrivateLink) dans le Guide de l’utilisateur Amazon VPC.

Considérations relatives aux points de terminaison de VPC AWS IoT Greengrass

Avant de configurer un point de terminaison VPC d'interface pourAWS IoT Greengrass, consultez les propriétés et les limites du point de terminaison d'interface dans le guide de l'utilisateur Amazon VPC. En outre, tenez compte des considérations suivantes :

  • AWS IoT Greengrassprend en charge les appels à toutes ses actions d'API du plan de contrôle depuis votre VPC. Le plan de commande inclut des opérations telles que CreateDeploymentet ListEffectiveDeployments. Le plan de contrôle n'inclut pas les opérations telles que ResolveComponentCandidatesDiscover, qui sont des opérations de plan de données.

  • Les points de terminaison VPC pour ne AWS IoT Greengrass sont actuellement pas pris en charge dans AWS les régions chinoises.

Création d'un point de terminaison VPC d'interface pour les opérations du plan AWS IoT Greengrass de contrôle

Vous pouvez créer un point de terminaison VPC pour le plan de AWS IoT Greengrass contrôle à l'aide de la console Amazon VPC ou du (). AWS Command Line Interface AWS CLI Pour de plus amples informations, veuillez consulter Création d’un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Pour créer un point de terminaison de VPC pour AWS IoT Greengrass, utilisez le nom de service suivant :

  • com.amazonaws.region.greengrass

Si vous activez le DNS privé pour le point de terminaison, vous pouvez faire des demandes d’API à AWS IoT Greengrass en utilisant son nom DNS par défaut pour la région, par exemple greengrass.us-east-1.amazonaws.com. Le DNS privé est activé par défaut.

Pour plus d’informations, consultez Accès à un service via un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Création d’une stratégie de point de terminaison d’un VPC pour AWS IoT Greengrass

Vous pouvez associer une politique de point de terminaison à votre point de terminaison VPC qui contrôle l'accès aux opérations du plan AWS IoT Greengrass de contrôle. La politique spécifie les informations suivantes :

  • Le principal qui peut exécuter des actions.

  • Les actions que le principal peut effectuer.

  • Les ressources sur lesquelles le principal peut effectuer des actions.

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

Exemple : stratégie de point de terminaison d’un VPC pour les actions AWS IoT Greengrass

Voici un exemple de stratégie de point de terminaison pour AWS IoT Greengrass. Lorsqu'elle est attachée à un point de terminaison, cette politique accorde l'accès aux actions AWS IoT Greengrass répertoriées pour tous les principaux sur toutes les ressources.

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": [
                "greengrass:CreateDeployment",
                "greengrass:ListEffectiveDeployments"
            ],
            "Resource": "*"
        }
    ]
}

Faire fonctionner un appareil AWS IoT Greengrass principal dans un VPC

Vous pouvez utiliser un appareil principal Greengrass et effectuer des déploiements en VPC sans accès public à Internet. Vous devez au minimum configurer les points de terminaison VPC suivants avec les alias DNS correspondants. Pour plus d'informations sur la création et l'utilisation de points de terminaison VPC, consultez la section Créer un point de terminaison VPC dans le guide de l'utilisateur Amazon VPC.

Note

La fonctionnalité VPC permettant de créer automatiquement un enregistrement DNS est désactivée pour AWS IoT data et AWS IoT Credentials. Pour connecter ces points de terminaison, vous devez créer manuellement un enregistrement DNS privé. Pour plus d'informations, consultez la section DNS privé pour les points de terminaison de l'interface. Pour plus d'informations sur les limites des AWS IoT Core VPC, consultez la section Limitations des points de terminaison VPC.

Prérequis

Limites

Configurez votre appareil principal Greengrass pour qu'il fonctionne en VPC

  1. Obtenez les AWS IoT points de terminaison qui vous Compte AWS conviennent et enregistrez-les pour les utiliser ultérieurement. Votre appareil utilise ces points de terminaison pour se connecter àAWS IoT. Procédez comme suit :

    1. Obtenez le point de terminaison de AWS IoT données pour votreCompte AWS.

      aws iot describe-endpoint --endpoint-type iot:Data-ATS

      La réponse ressemble à l'exemple suivant, si la demande aboutit.

      {
  "endpointAddress": "device-data-prefix-ats.iot.us-west-2.amazonaws.com"
}

    2. Obtenez le point de terminaison des informations d'AWS IoTidentification pour votreCompte AWS.

      aws iot describe-endpoint --endpoint-type iot:CredentialProvider

      La réponse ressemble à l'exemple suivant, si la demande aboutit.

      {
  "endpointAddress": "device-credentials-prefix.credentials.iot.us-west-2.amazonaws.com"
}

  2. Créez une interface Amazon VPC pour les points de terminaison AWS IoT data et identifiez les points de AWS IoT terminaison :

    1. Accédez au point de terminaison d'un VPC de la console , sous Virtual private cloud dans le menu de gauche, choisissez point de terminaison puis Créer un point de terminaison .

    2. Dans la page Create Endpoint (Créer un point de terminaison, spécifiez les informations suivantes.

      • Choisissez Service AWSs pour la catégorie de service .

      • Pour Nom du service, effectuez une recherche en saisissant le mot-clé iot. Dans la liste des services iot affichés, choisissez le point de terminaison.

        Si vous créez un point de terminaison d'un VPC pour le plan de données AWS IoT Core, choisissez le point de terminaison de l'API du plan de données AWS IoT Core pour votre région. Le format du nom du point de terminaison est com.amazonaws.region.iot.data.

        Si vous créez un point de terminaison de VPC pour le fournisseur d'informations d'identification AWS IoT Core, choisissez le point de terminaison du fournisseur d'informations d'identification AWS IoT Core pour votre région. Le format du nom du point de terminaison est com.amazonaws.region.iot.credentials.

        Note

        Le nom du service pour le plan de données AWS IoT Core dans la région de Chine sera au format cn.com.amazonaws.region.iot.data. La création de points de terminaison d'un VPC pour le fournisseur d'informations d'identification AWS IoT Core n'est pas prise en charge dans la région Chine.

      • Pour VPC et sous-réseaux, choisissez le VPC dans lequel vous souhaitez créer le point de terminaison, ainsi que les zones de disponibilité (AZ) dans lesquelles vous souhaitez créer le réseau de points de terminaison.

      • Pour Activer le nom DNS, assurez-vous que Activer pour ce point de terminaison n’est pas sélectionné. Ni le plan de données AWS IoT Core ni le fournisseur d’informations d’identification AWS IoT Core ne prennent encore en charge les noms DNS privés.

      • Pour (Groupe de sécurité), sélectionnez les groupes de sécurité que vous souhaitez associer aux interfaces réseau des points de terminaison.

      • En option, vous pouvez ajouter ou supprimer des balises. Les balises sont des paires nom-valeur que vous utilisez pour associer à votre point de terminaison.

    3. Pour créer votre point de terminaison VPC, choisissez Créer un point de terminaison.

  3. Après avoir créé le point de terminaison AWS PrivateLink, dans l'onglet Détails de votre point de terminaison, vous verrez une liste de noms DNS. Vous pouvez utiliser l'un de ces noms DNS que vous avez créés dans cette section pour configurer votre zone hébergée privée.

  4. Créez un point de terminaison Amazon S3. Pour plus d'informations, consultez Créer un point de terminaison VPC pour Amazon S3.

  5. Si vous utilisez des composants Greengrass AWS fournis, des points de terminaison et des configurations supplémentaires peuvent être nécessaires. Pour consulter les exigences relatives aux terminaux, sélectionnez le composant dans la liste des composants AWS fournis et consultez la section Exigences. Par exemple, les exigences du composant du gestionnaire de journaux indiquent que ce composant doit être capable d'effectuer des demandes sortantes vers le point de terminaisonlogs.region.amazonaws.com.

    Si vous utilisez votre propre composant, vous devrez peut-être examiner les dépendances et effectuer des tests supplémentaires pour déterminer si des points de terminaison supplémentaires sont nécessaires.

  6. Dans la configuration du noyau de Greengrass, greengrassDataPlaneEndpoint il doit être défini sur. iotdata Pour plus d'informations, consultez la section Configuration du noyau de Greengrass.

  7. Si vous vous trouvez dans la us-east-1 région, définissez le paramètre de configuration s3EndpointType sur REGIONAL dans la configuration du noyau Greengrass. Cette fonctionnalité est disponible pour les versions 2.11.3 ou ultérieures de Greengrass nucleus.

Exemple : configuration des composants
{
"aws.greengrass.Nucleus": {
   "configuration": {
      "awsRegion": "us-east-1",
      "iotCredEndpoint": "xxxxxx.credentials.iot.region.amazonaws.com",
      "iotDataEndpoint": "xxxxxx-ats.iot.region.amazonaws.com",
      "greengrassDataPlaneEndpoint": "iotdata",
      "s3EndpointType": "REGIONAL"
      ...
     }
   }
}

Le tableau suivant fournit des informations sur les alias DNS privés personnalisés correspondants.

Service Nom du service de point de terminaison d'un VPC Type de point de terminaison VPC Alias DNS privé personnalisé Remarques

AWS IoT data

com.amazonaws.region.iot.data

utilisateur

prefix-ats.iot.region.amazonaws.com

L'enregistrement DNS privé doit correspondre au AWS IoT data point de terminaison de votre compte :aws iot describe–endpoint ––endpoint–type iot:Data-ATS.

Informations d'identification AWS IoT

com.amazonaws.region.iot.credentials

utilisateur

prefix.credentials.iot.region.amazonaws.com

L'enregistrement DNS privé doit correspondre au point de terminaison des AWS IoT informations d'identification de votre compte :aws iot describe–endpoint ––endpoint–type iot:CredentialProvider.

Amazon S3

com.amazonaws.region.s3

utilisateur

L'enregistrement DNS est automatiquement créé.