Mengakses sumber daya lintas akun menggunakan aturan AWS IoT

Konfigurasikan AWS CLI menggunakan IAM pengguna akun A.

Buat IAM peran yang mempercayai mesin AWS IoT aturan, dan lampirkan kebijakan yang memungkinkan akses ke antrean Amazon SQS akun B. Lihat contoh perintah dan dokumen kebijakan di Pemberian akses AWS IoT yang diperlukan.

Untuk membuat aturan yang dilampirkan ke topik, jalankan create-topic-rule perintah.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Berikut ini adalah contoh file payload dengan aturan yang menyisipkan semua pesan yang dikirim ke iot/test topik ke dalam antrean Amazon SQS yang ditentukan. SQLPernyataan tersebut memfilter pesan dan peran ARN memberikan AWS IoT izin untuk menambahkan pesan ke antrian AmazonSQS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sqs": {
				"queueUrl": "https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role",
				"useBase64": false
			}
		}
	]
}

Untuk informasi selengkapnya tentang cara menentukan SQS tindakan Amazon dalam AWS IoT aturan, lihat tindakan AWS IoT aturan - Amazon SQS.

Konfigurasikan AWS CLI menggunakan IAM pengguna akun B.

Untuk memberikan izin sumber daya SQS antrian Amazon ke akun A, jalankan perintah add-permission.

aws sqs add-permission --queue-url https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue --label SendMessagesToMyQueue --aws-account-ids 1111-1111-1111 --actions SendMessage

Konfigurasikan AWS CLI menggunakan IAM pengguna akun A.

Buat IAM peran yang mempercayai mesin AWS IoT aturan, dan lampirkan kebijakan yang memungkinkan akses ke topik Amazon SNS akun B. Misalnya perintah dan dokumen kebijakan, lihat Memberikan akses AWS IoT yang diperlukan.

Untuk membuat aturan yang dilampirkan ke topik, jalankan create-topic-rule perintah.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Berikut ini adalah contoh file payload dengan aturan yang menyisipkan semua pesan yang dikirim ke iot/test topik ke topik Amazon SNS yang ditentukan. SQLPernyataan tersebut memfilter pesan, dan peran ARN memberikan AWS IoT izin untuk mengirim pesan ke topik AmazonSNS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sns": {
				"targetArn": "arn:aws:sns:region:2222-2222-2222:ExampleTopic",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Untuk informasi selengkapnya tentang cara menentukan SNS tindakan Amazon dalam AWS IoT aturan, lihat tindakan AWS IoT aturan - Amazon SNS.

Konfigurasikan AWS CLI menggunakan IAM pengguna akun B.

Untuk memberikan izin pada sumber daya SNS topik Amazon ke akun A, jalankan perintah add-permission.

aws sns add-permission --topic-arn arn:aws:sns:region:2222-2222-2222:ExampleTopic --label Publish-Permission --aws-account-id 1111-1111-1111 --action-name Publish

Konfigurasikan AWS CLI menggunakan IAM pengguna akun A.

Buat IAM peran yang mempercayai mesin AWS IoT aturan dan lampirkan kebijakan yang memungkinkan akses ke bucket Amazon S3 akun B. Misalnya perintah dan dokumen kebijakan, lihat Memberikan akses AWS IoT yang diperlukan.

Untuk membuat aturan yang dilampirkan ke bucket S3 target Anda, jalankan create-topic-rule perintah.

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Berikut ini adalah contoh file payload dengan aturan yang menyisipkan semua pesan yang dikirim ke iot/test topik ke dalam bucket Amazon S3 yang ditentukan. SQLPernyataan tersebut memfilter pesan, dan peran ARN memberikan AWS IoT izin untuk menambahkan pesan ke bucket Amazon S3.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"s3": {
				"bucketName": "amzn-s3-demo-bucket",
				"key": "${topic()}/${timestamp()}",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Untuk informasi selengkapnya tentang cara menentukan tindakan Amazon S3 dalam AWS IoT aturan, lihat tindakan AWS IoT aturan - Amazon S3.

Konfigurasikan AWS CLI menggunakan IAM pengguna akun B.

Buat kebijakan bucket yang mempercayai prinsipal akun A.

Berikut ini adalah contoh file payload yang mendefinisikan kebijakan bucket yang mempercayai prinsip akun lain.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AddCannedAcl",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::1111-1111-1111:root"
				]
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
		}
	]
}

Untuk informasi selengkapnya, lihat contoh kebijakan bucket.

Untuk melampirkan kebijakan bucket ke bucket yang ditentukan, jalankan put-bucket-policy perintah.

aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://./amzn-s3-demo-bucket-policy.json

Untuk membuat akses lintas akun berfungsi, pastikan Anda memiliki pengaturan Blokir semua akses publik yang benar. Untuk informasi selengkapnya, lihat Praktik Terbaik Keamanan untuk Amazon S3.

Konfigurasikan AWS CLI menggunakan IAM pengguna akun A.

Jalankan create-topic-rule perintah untuk membuat aturan yang mendefinisikan akses lintas akun ke fungsi Lambda akun B.

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Berikut ini adalah contoh file payload dengan aturan yang menyisipkan semua pesan yang dikirim ke iot/test topik ke dalam fungsi Lambda yang ditentukan. SQLPernyataan memfilter pesan dan peran ARN memberikan AWS IoT izin untuk meneruskan data ke fungsi Lambda.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"lambda": {
				"functionArn": "arn:aws:lambda:region:2222-2222-2222:function:example-function"
			}
		}
	]
}

Untuk informasi lebih lanjut tentang cara mendefinisikan AWS Lambda tindakan dalam AWS IoT aturan, baca tindakan AWS IoT aturan - Lambda.

Konfigurasikan AWS CLI menggunakan IAM pengguna akun B.

Jalankan perintah add-permission Lambda untuk memberikan izin AWS IoT aturan untuk mengaktifkan fungsi Lambda. Untuk menjalankan perintah berikut, IAM pengguna Anda harus memiliki izin untuk lambda:AddPermission bertindak.

aws lambda add-permission --function-name example-function --region us-east-1 --principal iot.amazonaws.com --source-arn arn:aws:iot:region:1111-1111-1111:rule/example-rule --source-account 1111-1111-1111 --statement-id "unique_id" --action "lambda:InvokeFunction"

Pilihan:

--kepala sekolah

Bidang ini memberikan izin untuk AWS IoT (diwakili olehiot.amazonaws.com) untuk memanggil fungsi Lambda.

--sumber-arn

Bidang ini mengonfirmasi bahwa hanya arn:aws:iot:region:1111-1111-1111:rule/example-rule dalam AWS IoT memicu fungsi Lambda ini dan tidak ada aturan lain di akun yang sama atau berbeda yang dapat mengaktifkan fungsi Lambda ini.

--source-akun

Bidang ini mengonfirmasi bahwa AWS IoT mengaktifkan fungsi Lambda ini hanya atas nama akun. 1111-1111-1111