Autorizzazioni del ruolo di servizio per SiteWise Monitor (Classic)Autorizzazioni per i ruoli di servizio per SiteWise Monitor () AI-aware Gestione del ruolo del servizio (console)Gestione del ruolo del servizio (CLI)Aggiornamenti dei ruoli

Usa i ruoli di servizio per AWS IoT SiteWise Monitor

Un ruolo di servizio è un ruolo IAM che un servizio assume per eseguire operazioni per tuo conto. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall’interno di IAM. Per ulteriori informazioni, consulta la sezione Create a role to delegate permissions to an Servizio AWS nella Guida per l’utente IAM.

Per consentire agli utenti federati del portale SiteWise Monitor di accedere alle Centro identità AWS IAM risorse AWS IoT SiteWise e alle risorse, è necessario assegnare un ruolo di servizio a ciascun portale creato. Il ruolo del servizio deve specificare SiteWise Monitor come entità attendibile e includere la policy AWSIoTSiteWiseMonitorPortalAccess gestita o definire autorizzazioni Autorizzazioni del ruolo di servizio per SiteWise Monitor (Classic) equivalenti. Questa policy è gestita AWS e definisce il set di autorizzazioni che SiteWise Monitor utilizza per accedere alle risorse dell'Identity Center dell'utente AWS IoT SiteWise e di IAM.

Quando crei un portale SiteWise Monitor, devi scegliere un ruolo che consenta agli utenti di quel portale di accedere alle tue risorse AWS IoT SiteWise e a quelle di IAM Identity Center. La AWS IoT SiteWise console può creare e configurare il ruolo per te. Puoi modificare il ruolo in IAM in un secondo momento. Gli utenti del portale avranno problemi a utilizzare i loro portali SiteWise Monitor se rimuovi le autorizzazioni richieste dal ruolo o elimini il ruolo.

Nota

I portali creati prima del 29 aprile 2020 non richiedevano ruoli del servizio. Se hai creato portali prima di tale data, devi collegare ruoli del servizio per continuare a utilizzarli. Per farlo, accedi alla pagina Portals nella AWS IoT SiteWise console, quindi scegli Migrate all portals per usare i ruoli IAM.

Le sezioni seguenti descrivono come creare e gestire il ruolo del servizio SiteWise Monitor in o nel Console di gestione AWS . AWS Command Line Interface

Indice

Autorizzazioni del ruolo di servizio per SiteWise Monitor (Classic)

Quando si crea un portale, AWS IoT SiteWise consente di creare un ruolo il cui nome inizia con AWSIoTSiteWiseMonitorServiceRole. Questo ruolo consente agli utenti federati di SiteWise Monitor di accedere alla configurazione del portale, alle risorse, ai dati degli asset e alla configurazione degli asset di IAM Identity Center.

Ai fini dell'assunzione del ruolo, il ruolo considera attendibile il seguente servizio:

monitor.iotsitewise.amazonaws.com

Il ruolo utilizza la seguente politica di autorizzazioni, che inizia con AWSIoTSiteWiseMonitorServicePortalPolicy, per consentire agli utenti di SiteWise Monitor di completare azioni sulle risorse del tuo account. La policy AWSIoTSiteWiseMonitorPortalAccess gestita definisce autorizzazioni equivalenti.

JSON


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:DescribePortal",
                "iotsitewise:CreateProject",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:ListProjects",
                "iotsitewise:BatchAssociateProjectAssets",
                "iotsitewise:BatchDisassociateProjectAssets",
                "iotsitewise:ListProjectAssets",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:CreateAccessPolicy",
                "iotsitewise:DescribeAccessPolicy",
                "iotsitewise:UpdateAccessPolicy",
                "iotsitewise:DeleteAccessPolicy",
                "iotsitewise:ListAccessPolicies",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssets",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:BatchPutAssetPropertyValue",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:UpdateAssetModel",
                "iotsitewise:UpdateAssetModelPropertyRouting",
                "sso-directory:DescribeUsers",
                "sso-directory:DescribeUser",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:BatchAcknowledgeAlarm",
                "iotevents:BatchSnoozeAlarm",
                "iotevents:BatchEnableAlarm",
                "iotevents:BatchDisableAlarm"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "iotevents:keyValue": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:CreateAlarmModel",
                "iotevents:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:UpdateAlarmModel",
                "iotevents:DeleteAlarmModel"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "iotevents.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Per ulteriori informazioni sulle autorizzazioni richieste per gli allarmi, vedere. Imposta le autorizzazioni per gli allarmi degli eventi in AWS IoT SiteWise

Quando un utente del portale accede, SiteWise Monitor crea una politica di sessione basata sull'intersezione tra il ruolo del servizio e le politiche di accesso di quell'utente. Le policy di accesso definiscono il livello di accesso delle identità ai portali e ai progetti. Per ulteriori informazioni sulle autorizzazioni del portale e sulle politiche di accesso, vedere Amministra i tuoi portali SiteWise Monitor e. CreateAccessPolicy

Autorizzazioni per i ruoli di servizio per SiteWise Monitor () AI-aware

Quando si crea un portale, AWS IoT SiteWise consente di creare un ruolo il cui nome inizia con IoTSiteWisePortalRole. Questo ruolo consente agli utenti federati di SiteWise Monitor di accedere alla configurazione del portale, alle risorse, ai dati degli asset e alla configurazione degli asset di IAM Identity Center.

avvertimento

I ruoli di proprietario del progetto e Project viewer non sono supportati per SiteWise Monitor (AI-aware).

Ai fini dell'assunzione del ruolo, il ruolo considera attendibile il seguente servizio:

monitor.iotsitewise.amazonaws.com

Il ruolo utilizza la seguente politica di autorizzazione, che inizia con IoTSiteWiseAIPortalAccessPolicy, per consentire agli utenti di SiteWise Monitor di completare azioni sulle risorse del proprio account.

JSON


{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}

Quando un utente del portale accede, SiteWise Monitor crea una politica di sessione basata sull'intersezione tra il ruolo del servizio e le politiche di accesso di quell'utente.

Gestisci il ruolo del servizio SiteWise Monitor (console)

Console AWS IoT SiteWise Facilita la gestione del ruolo del servizio SiteWise Monitor per i portali. Al momento della creazione di un portale, la console verifica la presenza di ruoli esistenti idonei per l'allegato. Se non sono disponibili, la console può creare e configurare un ruolo di servizio per te. Per ulteriori informazioni, consulta Crea un portale in Monitor SiteWise.

Argomenti

Trova il ruolo di servizio (console) di un portale
Crea un ruolo SiteWise del servizio Monitor (AWS IoT SiteWise console)
Crea un ruolo SiteWise del servizio Monitor (console IAM)
Modificare il ruolo di servizio di un portale (console)

Trova il ruolo di servizio (console) di un portale

Usa i seguenti passaggi per trovare il ruolo di servizio associato a un portale SiteWise Monitor.

Per individuare il ruolo del servizio di un portale

Passare alla console AWS IoT SiteWise.
Nel riquadro di navigazione a sinistra scegliere Portals (Portali).
Scegliere il portale per il quale si desidera individuare il ruolo del servizio.

Il ruolo collegato al portale viene visualizzato in Permissions (Autorizzazioni), Service role (Ruolo del servizio).

Crea un ruolo SiteWise del servizio Monitor (AWS IoT SiteWise console)

Quando crei un portale SiteWise Monitor, puoi creare un ruolo di servizio per il tuo portale. Per ulteriori informazioni, consulta Crea un portale in Monitor SiteWise.

È inoltre possibile creare un ruolo di servizio per un portale esistente nella AWS IoT SiteWise console. Questo sostituisce il ruolo di servizio esistente del portale.

Per creare un ruolo del servizio per un portale esistente

Passare alla console AWS IoT SiteWise.
Nel riquadro di navigazione scegli Portali.
Scegliere il portale per il quale si desidera creare un nuovo ruolo del servizio.
In Portal details (Dettagli portale), scegliere Edit (Modifica).
In Permissions (Autorizzazioni), scegliere Create and use a new service role (Crea e utilizza un nuovo ruolo del servizio) dall'elenco.
Immettere un nome per il nuovo ruolo.
Selezionare Salva.

Crea un ruolo SiteWise del servizio Monitor (console IAM)

Puoi creare un ruolo di servizio dal modello di ruolo di servizio nella console IAM. Questo modello di ruolo include la policy AWSIoTSiteWiseMonitorPortalAccess gestita e specifica SiteWise Monitor come entità attendibile.

Per creare un ruolo di servizio dal modello di ruolo di servizio del portale

Passare alla IAM console (Console IAM).
Nel pannello di navigazione, seleziona Roles (Ruoli).
Selezionare Create role (Crea ruolo).
In Scegli un caso d'uso, scegli IoT SiteWise.
In Seleziona il tuo caso d'uso, scegli IoT SiteWise Monitor - Portal.
Scegliere Next: Permissions (Successivo: Autorizzazioni).
Scegliere Next: Tags (Successivo: Tag).
Scegliere Next:Review (Successivo: Rivedi).
Inserire un nome di ruolo per il nuovo ruolo di servizio.
Scegliere Crea ruolo.

Modificare il ruolo di servizio di un portale (console)

Utilizza la procedura seguente per scegliere un ruolo del servizio SiteWise Monitor diverso per un portale.

Per modificare il ruolo del servizio di un portale

Passare alla console AWS IoT SiteWise.
Nel riquadro di navigazione scegli Portali.
Scegliere il portale per il quale si desidera modificare il ruolo del servizio.
In Portal details (Dettagli portale), scegliere Edit (Modifica).
In Permissions (Autorizzazioni), scegliere Use an existing role (Utilizza un ruolo esistente).
Scegliere un ruolo esistente da collegare al portale.
Selezionare Salva.

Gestisci il ruolo del servizio SiteWise Monitor (CLI)

È possibile utilizzarlo AWS CLI per le seguenti attività di gestione dei ruoli del servizio del portale:

Argomenti

Trova il ruolo di servizio (CLI) di un portale
Crea il ruolo del servizio SiteWise Monitor (CLI)

Trova il ruolo di servizio (CLI) di un portale

Per trovare il ruolo di servizio associato a un portale SiteWise Monitor, esegui il comando seguente per elencare tutti i tuoi portali nella regione corrente.


aws iotsitewise list-portals

L'operazione restituisce una risposta contenente i riepiloghi del portale nel formato seguente.


{
  "portalSummaries": [
    {
      "id": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
      "name": "WindFarmPortal",
      "description": "A portal that contains wind farm projects for Example Corp.",
      "roleArn": "arn:aws:iam::123456789012:role/service-role/role-name",
      "startUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
      "creationDate": "2020-02-04T23:01:52.90248068Z",
      "lastUpdateDate": "2020-02-04T23:01:52.90248078Z"
    }
  ]
}

Puoi anche utilizzare l'DescribePortaloperazione per trovare il ruolo del tuo portale se conosci l'ID del tuo portale.

Crea il ruolo del servizio SiteWise Monitor (CLI)

Utilizza i passaggi seguenti per creare un nuovo ruolo del servizio SiteWise Monitor.

Per creare un ruolo SiteWise del servizio Monitor

Crea un ruolo con una politica di fiducia che consenta a SiteWise Monitor di assumere il ruolo. In questo esempio viene creato un ruolo denominato MySiteWiseMonitorPortalRole da una policy di attendibilità archiviata in una stringa JSON.

Copiare il ruolo ARN dai metadati del ruolo nell'output. Quando si crea un portale, utilizzare questo ARN per associare il ruolo al portale. Per ulteriori informazioni sulla creazione di un portale, consulta CreatePortal l'AWS IoT SiteWise API Reference.

Per il SiteWise monitor (classico): allega la AWSIoTSiteWiseMonitorPortalAccess policy al ruolo o allega una policy che definisca autorizzazioni equivalenti.
```
aws iam attach-role-policy --role-name MySiteWiseMonitorPortalRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess
```

Per SiteWise Monitor (AI-aware): allega la IoTSiteWiseAIPortalAccessPolicy policy al ruolo o allega una policy che definisca autorizzazioni equivalenti. Ad esempio, crea una policy con le autorizzazioni di accesso al portale. L'esempio seguente crea una politica denominataMySiteWiseMonitorPortalAccess.



aws iam create-policy \
    --policy-name MySiteWiseMonitorPortalAccess \
    --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}'

Per collegare un ruolo del servizio a un portale esistente

Per recuperare i dettagli esistenti del portale, eseguire il comando seguente. Sostituisci portal-id con l'ID del portale.


aws iotsitewise describe-portal --portal-id portal-id

L'operazione restituisce una risposta contenente i dettagli del portale nel formato seguente.


{
    "portalId": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalArn": "arn:aws:iotsitewise:region:account-id:portal/a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalName": "WindFarmPortal",
    "portalDescription": "A portal that contains wind farm projects for Example Corp.",
    "portalClientId": "E-1a2b3c4d5e6f_sn6tbqHVzLWVEXAMPLE",
    "portalStartUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
    "portalContactEmail": "support@example.com",
    "portalStatus": {
        "state": "ACTIVE"
    },
    "portalCreationDate": "2020-04-29T23:01:52.90248068Z",
    "portalLastUpdateDate": "2020-04-29T00:28:26.103548287Z",
    "roleArn": "arn:aws:iam::123456789012:role/service-role/AWSIoTSiteWiseMonitorServiceRole_1aEXAMPLE"
}

Per collegare un ruolo del servizio a un portale, eseguire il comando seguente. Sostituisci role-arn con il ruolo di servizio ARN e sostituisci i parametri rimanenti con i valori esistenti del portale.


aws iotsitewise update-portal \
  --portal-id portal-id \
  --role-arn role-arn \
  --portal-name portal-name \
  --portal-description portal-description \
  --portal-contact-email portal-contact-email

SiteWise Monitora gli aggiornamenti a AWSIoTSiteWiseMonitorServiceRole

È possibile visualizzare i dettagli sugli aggiornamenti di AWSIoTSiteWiseMonitorServiceRole per SiteWise Monitor, a partire da quando questo servizio ha iniziato a tracciare le modifiche. Per ricevere avvisi automatici sulle modifiche apportate a questa pagina, iscriviti al feed RSS nella pagina Cronologia dei AWS IoT SiteWise documenti.

Modifica	Descrizione	Data
AWSIoTSiteWiseMonitorPortalAccess— Politica aggiornata	AWS IoT SiteWise ha aggiornato la politica AWSIoTSiteWiseMonitorPortalAccess gestita per la funzionalità degli allarmi.	27 maggio 2021
AWS IoT SiteWise ha iniziato a tracciare le modifiche	AWS IoT SiteWise ha iniziato a tenere traccia delle modifiche per il suo ruolo di servizio.	15 dicembre 2020

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Eliminazione di un ruolo collegato al servizio

Configura le autorizzazioni per gli allarmi