View a markdown version of this page

Création d'un rôle IAM dans le tableau de bord - AWS IoT TwinMaker
Créer une politique IAMTéléchargez une vidéo depuis le bordAjouter d'autres autorisationsCréation du rôle IAM du tableau de bord Grafana

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création d'un rôle IAM dans le tableau de bord

Avec AWS IoT TwinMaker, vous pouvez contrôler l'accès aux données sur vos tableaux de bord Grafana. Les utilisateurs du tableau de bord Grafana doivent avoir des étendues d'autorisation différentes pour afficher les données et, dans certains cas, écrire des données. Par exemple, un opérateur d'alarme peut ne pas être autorisé à visionner des vidéos, alors qu'un administrateur est autorisé à accéder à toutes les ressources. Grafana définit les autorisations via des sources de données, où des informations d'identification et un rôle IAM sont fournis. La AWS IoT TwinMaker source de données récupère les AWS informations d'identification dotées d'autorisations pour ce rôle. Si aucun rôle IAM n'est fourni, Grafana utilise l'étendue des informations d'identification, qui ne peut pas être réduite de. AWS IoT TwinMaker

Pour utiliser vos AWS IoT TwinMaker tableaux de bord dans Grafana, vous devez créer un rôle IAM et y associer des politiques. Vous pouvez utiliser les modèles suivants pour vous aider à créer ces politiques.

Créer une politique IAM

Créez une politique IAM appelée YourWorkspaceIdDashboardPolicy dans la console IAM. Cette politique permet à vos espaces de travail d'accéder au compartiment et aux AWS IoT TwinMaker ressources Amazon S3. Vous pouvez également décider d'utiliser AWS IoT Greengrass Edge Connector pour Amazon Kinesis Video Streams, ce qui nécessite des autorisations pour les flux vidéo Kinesis et les AWS IoT SiteWise ressources configurées pour le composant. En fonction de votre cas d'utilisation, choisissez l'un des modèles de politique suivants.

1. Aucune politique d'autorisation vidéo

Si vous ne souhaitez pas utiliser le panneau Grafana Video Player, créez la politique à l'aide du modèle suivant.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        }
    ]
}

Un compartiment Amazon S3 est créé pour chaque espace de travail. Il contient les modèles 3D et les scènes à visualiser sur un tableau de bord. Le SceneViewer panneau charge les articles de ce compartiment.

2. Politique d'autorisations vidéo limitée

Pour limiter l'accès au panneau du lecteur vidéo dans Grafana, regroupez les ressources de votre connecteur AWS IoT Greengrass Edge pour Amazon Kinesis Video Streams par balises. Pour plus d'informations sur la réduction de la portée des autorisations pour vos ressources vidéo, consultezCréation d'un AWS IoT TwinMaker politique en matière de lecteur vidéo.

3. Toutes les autorisations vidéo

Si vous ne souhaitez pas regrouper vos vidéos, vous pouvez toutes les rendre accessibles depuis le lecteur vidéo Grafana. Toute personne ayant accès à un espace de travail Grafana peut lire des vidéos pour n'importe quel flux de votre compte et a un accès en lecture seule à n'importe quel contenu AWS IoT SiteWise . Cela inclut toutes les ressources créées dans le futur.

Créez la politique à l'aide du modèle suivant :

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketName/*",
                "arn:aws:s3:::bucketName"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:GetHLSStreamingSessionURL"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetInterpolatedAssetPropertyValues"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:BatchPutAssetPropertyValue"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
                }
            }
        }
    ]
}

Ce modèle de politique fournit les autorisations suivantes :

  • Accès en lecture seule à un compartiment S3 pour charger une scène.

  • Accès en lecture seule à toutes AWS IoT TwinMaker les entités et composants d'un espace de travail.

  • Accès en lecture seule pour diffuser toutes les vidéos Kinesis Video Streams de votre compte.

  • Accès en lecture seule à l'historique de la valeur des propriétés de tous les AWS IoT SiteWise actifs de votre compte.

  • Ingestion de données dans n'importe quelle propriété d'un AWS IoT SiteWise actif étiqueté avec la clé EdgeConnectorForKVS et la valeurworkspaceId.

Marquer votre appareil photo AWS IoT SiteWise téléchargement de vidéos de demande d'actifs depuis Edge

À l'aide du lecteur vidéo de Grafana, les utilisateurs peuvent demander manuellement que la vidéo soit téléchargée depuis le cache périphérique vers Kinesis Video Streams. Vous pouvez activer cette fonctionnalité pour toute AWS IoT SiteWise ressource associée à votre connecteur AWS IoT Greengrass Edge pour Amazon Kinesis Video Streams et marquée par la cléEdgeConnectorForKVS.

La valeur de la balise peut être une liste de WorkspaceID délimités par l'un des caractères suivants :. . : + = @ _ / - Par exemple, si vous souhaitez utiliser une AWS IoT SiteWise ressource associée à un connecteur AWS IoT Greengrass Edge pour Amazon Kinesis Video Streams dans les AWS IoT TwinMaker espaces de travail, vous pouvez utiliser une balise qui suit le modèle suivant :. WorkspaceA/WorkspaceB/WorkspaceC Le plugin Grafana impose que le AWS IoT TwinMaker WorkspaceID soit utilisé pour regrouper AWS IoT SiteWise l'ingestion de données d'actifs.

Ajoutez des autorisations supplémentaires à la politique de votre tableau de bord

Le plugin AWS IoT TwinMaker Grafana utilise votre fournisseur d'authentification pour faire appel au rôle de tableau de AssumeRole bord que vous créez. En interne, le plugin limite l'étendue maximale des autorisations auxquelles vous avez accès en utilisant une politique de session lors de l' AssumeRole appel. Pour plus d'informations sur les politiques de session, consultez la section Politiques de session.

Il s'agit de la politique la plus permissive que vous pouvez appliquer à votre rôle de tableau de bord pour un AWS IoT TwinMaker espace de travail :

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketName/*",
                "arn:aws:s3:::bucketName"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:GetHLSStreamingSessionURL"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetInterpolatedAssetPropertyValues"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:BatchPutAssetPropertyValue"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
                }
            }
        }
    ]
}

Si vous ajoutez des instructions demandant Allow plus d'autorisations, elles ne fonctionneront pas sur le AWS IoT TwinMaker plugin. Ceci est conçu pour garantir que les autorisations minimales nécessaires sont utilisées par le plugin.

Vous pouvez toutefois réduire davantage les autorisations. Pour plus d'informations, consultez Création d'un AWS IoT TwinMaker politique en matière de lecteur vidéo.

Création du rôle IAM du tableau de bord Grafana

Dans la console IAM, créez un rôle IAM appelé. YourWorkspaceIdDashboardRole Attachez-le YourWorkspaceIdDashboardPolicy au rôle.

Pour modifier la politique de confiance du rôle de tableau de bord, vous devez autoriser le fournisseur d'authentification Grafana à faire appel au rôle de tableau de AssumeRole bord. Mettez à jour la politique de confiance à l'aide du modèle suivant :

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "ARN of Grafana authentication provider" 
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Pour plus d'informations sur la création d'un environnement Grafana et la recherche de votre fournisseur d'authentification, consultezConfiguration de votre environnement Grafana.