Hubungkan perangkat klien ke perangkat inti

Periksa apakah peran layanan Greengrass dikaitkan AWS IoT Greengrass dengan Anda di Wilayah ini. Akun AWS Lakukan hal-hal berikut:

1. Navigasikan ke konsol AWS IoT tersebut.

2. Di panel navigasi, pilih Pengaturan.

3. Di bagian peran layanan Greengrass, temukan Peran layanan saat ini untuk melihat apakah peran layanan Greengrass terkait.

   Jika Anda memiliki peran layanan Greengrass yang terkait, Anda memenuhi persyaratan ini untuk menggunakan komponen detektor IP. Loncat ke Konfigurasikan kebijakan AWS IoT hal.

Jika peran layanan Greengrass tidak terkait AWS IoT Greengrass dengan peran Akun AWS Anda di Wilayah ini, buat peran layanan Greengrass dan kaitkan. Lakukan hal-hal berikut:

1. Arahkan ke konsol IAM.

2. Pilih Peran.

3. Pilih Buat peran.

4. Pada halaman Buat peran, lakukan hal berikut:

   1. Di bawah Jenis entitas tepercaya, pilih Layanan AWS.

   2. Di bawah Kasus penggunaan, Gunakan kasus untuk lainnya Layanan AWS, pilih Greengrass, pilih Greengrass. Opsi ini menentukan untuk menambahkan AWS IoT Greengrass sebagai entitas tepercaya yang dapat mengambil peran ini.

   3. Pilih Berikutnya.

   4. Di bawah Kebijakan Izin, pilih AWSGreengrassResourceAccessRolePolicyuntuk melekat pada peran.

   5. Pilih Berikutnya.

   6. Di Nama peran, masukkan nama untuk peran tersebut, sepertiGreengrass_ServiceRole.

   7. Pilih Buat peran.

5. Navigasikan ke konsol AWS IoT tersebut.

6. Di panel navigasi, pilih Pengaturan.

7. Di bagian peran layanan Greengrass, pilih Lampirkan peran.

8. Dalam Perbarui modal peran layanan Greengrass, pilih peran IAM yang Anda buat, lalu pilih Lampirkan peran.

Periksa apakah peran layanan Greengrass dikaitkan AWS IoT Greengrass dengan Anda di Wilayah ini. Akun AWS

aws greengrassv2 get-service-role-for-account

Jika peran layanan Greengrass dikaitkan, operasi mengembalikan respons yang berisi informasi tentang peran tersebut.

Jika Anda memiliki peran layanan Greengrass yang terkait, Anda memenuhi persyaratan ini untuk menggunakan komponen detektor IP. Loncat ke Konfigurasikan kebijakan AWS IoT hal.

Jika peran layanan Greengrass tidak terkait AWS IoT Greengrass dengan peran Akun AWS Anda di Wilayah ini, buat peran layanan Greengrass dan kaitkan. Lakukan hal-hal berikut:

1. Buat peran dengan kebijakan kepercayaan yang memungkinkan AWS IoT Greengrass untuk mengambil peran. Contoh ini menciptakan peran bernama Greengrass_ServiceRole, tetapi Anda dapat menggunakan nama yang berbeda. Kami menyarankan Anda juga menyertakan aws:SourceArn dan kunci konteks kondisi aws:SourceAccount global dalam kebijakan kepercayaan Anda untuk membantu mencegah masalah keamanan wakil yang membingungkan. Kunci konteks kondisi membatasi akses untuk mengizinkan hanya permintaan yang berasal dari akun tertentu dan ruang kerja Greengrass. Untuk informasi lebih lanjut tentang masalah wakil yang membingungkan, lihatPencegahan "confused deputy" lintas layanan.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Salin peran ARN dari metadata peran dalam output. Anda menggunakan ARN untuk mengasosiasikan peran dengan akun Anda.

3. Lampirkan kebijakan AWSGreengrassResourceAccessRolePolicy pada peran tersebut.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Kaitkan peran layanan Greengrass dengan untuk Anda. AWS IoT Greengrass Akun AWS Ganti role-arn dengan ARN dari peran layanan.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   Operasi mengembalikan respon berikut jika berhasil.

   {
     "associatedAt": "timestamp"
   }

Di menu navigasi konsol AWS IoT Greengrass tersebut, pilih Perangkat inti.

Pada halaman Perangkat inti, pilih perangkat inti yang akan diperbarui.

Pada halaman detail perangkat inti, pilih tautan ke Objek perangkat inti. Tautan ini membuka halaman rincian hal di AWS IoT konsol.

Pada halaman detail objek, pilih Sertifikat.

Di tab Sertifikat, pilih sertifikat aktif objek.

Pada halaman detail sertifikat, pilih Kebijakan.

Di tab Kebijakan, pilih AWS IoT kebijakan yang akan ditinjau dan diperbarui. Anda dapat menambahkan izin yang diperlukan untuk kebijakan yang dilampirkan ke sertifikat aktif perangkat inti.

Dalam ikhtisar kebijakan, pilih Edit versi aktif.

Tinjau kebijakan untuk izin yang diperlukan, dan tambahkan izin yang diperlukan yang hilang.

(Opsional) Untuk mengizinkan perangkat inti menyinkronkan bayangan AWS IoT Core, tambahkan pernyataan berikut ke kebijakan. Jika Anda berencana untuk berinteraksi dengan bayangan perangkat klien, tetapi tidak menyinkronkannya AWS IoT Core, lewati langkah ini. Ganti region dan account-id dengan Wilayah yang Anda gunakan dan Akun AWS nomor Anda.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Setelah Anda menambahkan pernyataan ini, kumpulan dokumen kebijakan mungkin terlihat serupa dengan contoh berikut.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Untuk menetapkan versi kebijakan baru sebagai versi aktif, di bawah Status versi Kebijakan, pilih Setel versi yang diedit sebagai versi aktif untuk kebijakan ini.

Pilih Simpan sebagai versi baru.

Buat daftar prinsipal untuk hal perangkat inti. AWS IoT Prinsipal hal dapat berupa sertifikat perangkat X.509 atau identifikasi lainnya. Jalankan perintah berikut, dan ganti MyGreengrassCore dengan nama perangkat inti.

aws iot list-thing-principals --thing-name MyGreengrassCore

Operasi mengembalikan respons yang mencantumkan prinsip hal perangkat inti.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifikasi sertifikat aktif perangkat inti. Jalankan perintah berikut, dan ganti certificateId dengan ID setiap sertifikat dari langkah sebelumnya hingga Anda menemukan sertifikat aktif. ID sertifikat adalah string heksadesimal di akhir sertifikat ARN. --queryArgumen menentukan untuk output hanya status sertifikat.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

Operasi mengembalikan status sertifikat sebagai string. Misalnya, jika sertifikat aktif, output "ACTIVE" operasi ini.

Buat daftar AWS IoT kebijakan yang dilampirkan pada sertifikat. Jalankan perintah berikut, dan ganti sertifikat ARN dengan ARN sertifikat.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

Operasi mengembalikan respons yang mencantumkan AWS IoT kebijakan yang dilampirkan pada sertifikat.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Pilih kebijakan yang akan dilihat dan diperbarui.

Dapatkan dokumen kebijakan. Jalankan perintah berikut, dan ganti GreengrassV2IoTThingPolicy dengan nama kebijakan.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

Operasi mengembalikan respons yang berisi dokumen kebijakan dan informasi lain tentang kebijakan tersebut. Dokumen kebijakan adalah objek JSON yang diserialisasikan sebagai string.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Gunakan konverter online atau alat lain untuk mengonversi string dokumen kebijakan menjadi objek JSON, lalu simpan ke file bernamaiot-policy.json.

Misalnya, jika Anda telah menginstal jq tool, Anda dapat menjalankan perintah berikut untuk mendapatkan dokumen kebijakan, mengubahnya menjadi objek JSON, dan menyimpan dokumen kebijakan sebagai objek JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Tinjau kebijakan untuk izin yang diperlukan, dan tambahkan izin yang diperlukan yang hilang.

Misalnya, pada sistem berbasis Linux, Anda dapat menjalankan perintah berikut untuk menggunakan GNU nano untuk membuka file.

nano iot-policy.json

Simpan perubahan sebagai versi baru kebijakan. Jalankan perintah berikut, dan ganti GreengrassV2IoTThingPolicy dengan nama kebijakan.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

Operasi mengembalikan respon mirip dengan contoh berikut jika berhasil.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}