Connect i dispositivi client ai dispositivi principali

Verifica se il ruolo di servizio Greengrass è associato AWS IoT Greengrass al tuo ruolo Account AWS in questa regione. Esegui questa operazione:

1. Passare alla console AWS IoT.

2. Nel pannello di navigazione scegli Impostazioni.

3. Nella sezione Ruolo di servizio Greengrass, trova Ruolo di servizio corrente per vedere se è associato un ruolo di servizio Greengrass.

   Se hai un ruolo di servizio Greengrass associato, soddisfi questo requisito per utilizzare il componente del rilevatore IP. Passa a Configura la policy relativa agli AWS IoT oggetti.

Se il ruolo di servizio Greengrass non è associato AWS IoT Greengrass al tuo ruolo Account AWS in questa regione, crea un ruolo di servizio Greengrass e associalo. Esegui questa operazione:

1. Passare alla IAM console (Console IAM).

2. Scegliere Roles (Ruoli).

3. Scegliere Crea ruolo.

4. Nella pagina Crea ruolo, procedi come segue:

   1. In Tipo di entità affidabile, scegli Servizio AWS.

   2. In Caso d'uso, Casi d'uso per altro Servizi AWS, scegli Greengrass, seleziona Greengrass. Questa opzione specifica l'aggiunta AWS IoT Greengrass come entità attendibile che può assumere questo ruolo.

   3. Scegli Next (Successivo).

   4. In Politiche di autorizzazione, seleziona il AWSGreengrassResourceAccessRolePolicyda associare al ruolo.

   5. Scegli Next (Successivo).

   6. In Nome ruolo, inserisci un nome per il ruolo, ad esempioGreengrass_ServiceRole.

   7. Scegliere Crea ruolo.

5. Passare alla console AWS IoT.

6. Nel pannello di navigazione scegli Impostazioni.

7. Nella sezione Ruolo di servizio Greengrass, scegli Collega ruolo.

8. Nel modulo modale Update Greengrass service role, seleziona il ruolo IAM che hai creato, quindi scegli Attach role.

Verifica se il ruolo di servizio Greengrass è associato AWS IoT Greengrass al tuo ruolo Account AWS in questa regione.

aws greengrassv2 get-service-role-for-account

Se il ruolo di servizio Greengrass è associato, l'operazione restituisce una risposta contenente informazioni sul ruolo.

Se hai un ruolo di servizio Greengrass associato, soddisfi questo requisito per utilizzare il componente del rilevatore IP. Passa a Configura la policy relativa agli AWS IoT oggetti.

Se il ruolo di servizio Greengrass non è associato AWS IoT Greengrass al tuo ruolo Account AWS in questa regione, crea un ruolo di servizio Greengrass e associalo. Esegui questa operazione:

1. Crea un ruolo con una politica di fiducia che AWS IoT Greengrass consenta di assumere il ruolo. In questo esempio viene creato un ruolo denominato Greengrass_ServiceRole, ma è possibile utilizzare un nome diverso. Ti consigliamo di includere anche le chiavi del contesto aws:SourceArn e della condizione aws:SourceAccount globale nella tua politica di fiducia per evitare il confuso problema della sicurezza dei vicedirettori. Le chiavi di contesto delle condizioni limitano l'accesso per consentire solo le richieste che provengono dall'account specificato e dall'area di lavoro Greengrass. Per ulteriori informazioni sul problema del "confused deputy", consulta Prevenzione del problema "confused deputy" tra servizi.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copiare il ruolo ARN dai metadati del ruolo nell'output. Utilizzare l'ARN per associare un ruolo all'account.

3. Collegare la policy AWSGreengrassResourceAccessRolePolicy al ruolo.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Associa il ruolo di servizio Greengrass a AWS IoT Greengrass for your. Account AWS Sostituisci role-arn con l'ARN del ruolo di servizio.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   L'operazione restituisce la seguente risposta se ha esito positivo.

   {
     "associatedAt": "timestamp"
   }

Nel menu di navigazione della AWS IoT Greengrass console, scegli Dispositivi principali.

Nella pagina Dispositivi principali, scegli il dispositivo principale da aggiornare.

Nella pagina dei dettagli del dispositivo principale, scegli il link all'oggetto del dispositivo principale. Questo link apre la pagina dei dettagli dell'oggetto nella AWS IoT console.

Nella pagina dei dettagli dell'oggetto, scegli Certificati.

Nella scheda Certificati, scegli il certificato attivo dell'oggetto.

Nella pagina dei dettagli del certificato, scegli Politiche.

Nella scheda Politiche, scegli la AWS IoT politica da rivedere e aggiornare. Puoi aggiungere le autorizzazioni richieste a qualsiasi policy allegata al certificato attivo del dispositivo principale.

Nella panoramica della politica, scegli Modifica versione attiva.

Rivedi la politica per le autorizzazioni richieste e aggiungi le autorizzazioni richieste mancanti.

(Facoltativo) Per consentire al dispositivo principale di sincronizzare gli shadows con, aggiungete la seguente dichiarazione alla policy. AWS IoT Core Se prevedi di interagire con le ombre dei dispositivi client, ma non di sincronizzarle con loro AWS IoT Core, salta questo passaggio. Sostituisci region e account-id con la regione che usi e il tuo Account AWS numero.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Dopo aver aggiunto questa dichiarazione, il documento di policy potrebbe avere un aspetto simile all'esempio seguente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Per impostare una nuova versione della politica come versione attiva, in Stato della versione della politica, seleziona Imposta la versione modificata come versione attiva per questa politica.

Scegli Salva come nuova versione.

Elenca i principi fondamentali del AWS IoT dispositivo principale. I principali degli oggetti possono essere certificati di dispositivo X.509 o altri identificatori. Esegui il comando seguente e sostituiscilo MyGreengrassCore con il nome del dispositivo principale.

aws iot list-thing-principals --thing-name MyGreengrassCore

L'operazione restituisce una risposta che elenca i componenti principali del dispositivo principale.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifica il certificato attivo del dispositivo principale. Esegui il comando seguente e sostituiscilo certificateId con l'ID di ogni certificato del passaggio precedente finché non trovi il certificato attivo. L'ID del certificato è la stringa esadecimale alla fine dell'ARN del certificato. L'--queryargomento specifica di visualizzare solo lo stato del certificato.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

L'operazione restituisce lo stato del certificato sotto forma di stringa. Ad esempio, se il certificato è attivo, questa operazione genera un output"ACTIVE".

Elenca le AWS IoT politiche allegate al certificato. Esegui il comando seguente e sostituisci l'ARN del certificato con l'ARN del certificato.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

L'operazione restituisce una risposta che elenca le AWS IoT politiche allegate al certificato.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Scegli la politica da visualizzare e aggiornare.

Scarica il documento della politica. Esegui il comando seguente e sostituiscilo GreengrassV2IoTThingPolicy con il nome della politica.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

L'operazione restituisce una risposta che contiene il documento della politica e altre informazioni sulla politica. Il documento di policy è un oggetto JSON serializzato come stringa.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Utilizzate un convertitore online o un altro strumento per convertire la stringa del documento di policy in un oggetto JSON, quindi salvatela in un file denominato. iot-policy.json

Ad esempio, se è installato lo strumento jq, è possibile eseguire il comando seguente per ottenere il documento di policy, convertirlo in un oggetto JSON e salvare il documento di policy come oggetto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Esamina la politica per le autorizzazioni richieste e aggiungi le autorizzazioni richieste mancanti.

Ad esempio, su un sistema basato su Linux, è possibile eseguire il comando seguente per utilizzare GNU nano per aprire il file.

nano iot-policy.json

Salva le modifiche come nuova versione della politica. Esegui il comando seguente e sostituiscilo GreengrassV2IoTThingPolicy con il nome della politica.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

L'operazione restituisce una risposta simile all'esempio seguente se ha esito positivo.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}