Ruolo del servizio Greengrass

1. DaAWS IoTplanciariquadro di navigazione, scegliereImpostazioni.

2. Scorrere fino alla sezione Greengrass service role (Ruolo del servizio Greengrass) per visualizzare il ruolo del servizio e le relative policy.

   Se non vendi un ruolo del servizio, puoi consentire alla console di crearne o configurarne uno automaticamente. Per ulteriori informazioni, consulta la pagina Creazione del ruolo del servizio Greengrass .

1. DaAWS IoTplanciariquadro di navigazione, scegliereImpostazioni.

2. UNDERRuolo del servizio Greengrass, scegliCambia ruolo.

   LaAggiornamento del ruolo del servizio Greengrasssi apre una finestra di dialogo che mostra i ruoli IAM nel tuoAccount AWSche definisciAWS IoT Greengrasscome entità attendibile.

3. Scegli il ruolo del servizio Greengrass da allegare.

4. ScegliereCollegamento del ruolo.

1. DaAWS IoTplanciariquadro di navigazione, scegliereImpostazioni.

2. UNDERRuolo del servizio Greengrass, scegliScollegare un ruolo.

3. Nella finestra di dialogo di conferma, scegli Detach (Scollega).

• Come ottenere il ruolo del servizio. Replace (Sostituisci)regionecon le istruzioni diRegione AWS(ad esempio,us-west-2).

  aws Greengrass get-service-role-for-account --region region

  Se un ruolo del servizio Greengrass è già associato all'account, vengono restituiti i seguenti metadati del ruolo.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Se non vengono restituiti metadati del ruolo, è necessario creare il ruolo del servizio (se non esiste) e associarlo all'account nellaRegione AWS.

Per creare il ruolo di servizio utilizzando IAM

1. Creare il ruolo con una policy di attendibilità che consenta a AWS IoT Greengrass di assumere tale ruolo. In questo esempio viene creato un ruolo denominato Greengrass_ServiceRole, ma è possibile utilizzare un nome diverso. Consigliamo di includere ancheaws:SourceArneaws:SourceAccountChiavi di contesto delle condizioni globali nella policy di fiducia per evitare che«confused deputy»problema di sicurezza. Le chiavi di contesto della condizione limitano l'accesso per consentire solo le richieste che provengono dall'account specificato e dallo spazio di lavoro Greengrass. Per ulteriori informazioni sul problema del «confused deputy», consultaPrevenzione del problema "confused deputy" tra servizi.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. Copiare il ruolo ARN dai metadati del ruolo nell'output. Utilizzare l'ARN per associare un ruolo all'account.

3. Collegare la policy AWSGreengrassResourceAccessRolePolicy al ruolo.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Per associare il ruolo del servizio allaAccount AWS

• Associare il ruolo all'account. Replace (Sostituisci)Arn del ruolocon il ruolo del servizio ARN eregionecon le istruzioni diRegione AWS(ad esempio,us-west-2).

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  Se l'operazione riesce, viene restituita la seguente risposta.

  {
    "AssociatedAt": "timestamp"
  }

• Disassociare un ruolo del servizio dall'account. Replace (Sostituisci)regionecon le istruzioni diRegione AWS(ad esempio,us-west-2).

  aws greengrass disassociate-service-role-from-account --region region

  Se l'operazione riesce, viene restituita la seguente risposta.

  {
    "DisassociatedAt": "timestamp"
  }

  Nota

  È necessario eliminare il ruolo del servizio se non lo si utilizza in nessunoRegione AWS. Per prima cosa utilizzare delete-role-policy per scollegare la policy gestita AWSGreengrassResourceAccessRolePolicy dal ruolo, quindi usare delete-role per eliminare il ruolo. Per ulteriori informazioni, consulta la sezione Eliminazione di ruoli o profili delle istanze nella Guida per l'utente di IAM.