Accesso alle risorse di più account utilizzando le regole AWS IoT

Configura AWS CLI utilizzando l'utente dell'IAMaccount A.

Crea un IAM ruolo che si fidi del motore AWS IoT delle regole e alleghi una policy che consenta l'accesso alla coda Amazon SQS dell'account B. Vedi esempi di comandi e documenti relativi alle policy in Garantire AWS IoT l'accesso richiesto.

Per creare una regola allegata a un argomento, esegui il create-topic-rule comando.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'iot/testargomento nella coda Amazon SQS specificata. L'SQListruzione filtra i messaggi e il ruolo ARN concede AWS IoT le autorizzazioni per aggiungere il messaggio alla coda di AmazonSQS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sqs": {
				"queueUrl": "https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role",
				"useBase64": false
			}
		}
	]
}

Per ulteriori informazioni su come definire un'SQSazione Amazon in una AWS IoT regola, consulta AWS IoT rule actions - Amazon SQS.

Configura AWS CLI utilizzando l'IAMutente dell'account B.

Per concedere le autorizzazioni per la risorsa Amazon SQS Queue all'account A, esegui il comando add-permission.

aws sqs add-permission --queue-url https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue --label SendMessagesToMyQueue --aws-account-ids 1111-1111-1111 --actions SendMessage

Configura AWS CLI utilizzando l'utente dell'IAMaccount A.

Crea un IAM ruolo che si fidi del motore AWS IoT delle regole e alleghi una policy che consenta l'accesso all'argomento Amazon SNS dell'account B. Per esempio, comandi e documenti relativi alle policy, vedi Concessione AWS IoT dell'accesso richiesto.

Per creare una regola allegata a un argomento, esegui il create-topic-rule comando.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'iot/testargomento nell'argomento Amazon SNS specificato. L'SQListruzione filtra i messaggi e il ruolo ARN concede AWS IoT le autorizzazioni per inviare il messaggio all'argomento AmazonSNS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sns": {
				"targetArn": "arn:aws:sns:region:2222-2222-2222:ExampleTopic",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Per ulteriori informazioni su come definire un'SNSazione Amazon in una AWS IoT regola, consulta AWS IoT rule actions - Amazon SNS.

Configura AWS CLI utilizzando l'IAMutente dell'account B.

Per concedere l'autorizzazione sulla risorsa SNS tematica Amazon all'account A, esegui il comando add-permission.

aws sns add-permission --topic-arn arn:aws:sns:region:2222-2222-2222:ExampleTopic --label Publish-Permission --aws-account-id 1111-1111-1111 --action-name Publish

Configura AWS CLI utilizzando l'utente dell'IAMaccount A.

Crea un IAM ruolo che si fidi del motore AWS IoT delle regole e alleghi una policy che consenta l'accesso al bucket Amazon S3 dell'account B. Ad esempio, comandi e documenti relativi alle policy, vedi Concessione AWS IoT dell'accesso richiesto.

Per creare una regola da allegare al bucket S3 di destinazione, esegui il comando. create-topic-rule

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nel bucket Amazon S3 specificato. L'SQListruzione filtra i messaggi e il ruolo ARN concede AWS IoT le autorizzazioni per aggiungere il messaggio al bucket Amazon S3.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"s3": {
				"bucketName": "amzn-s3-demo-bucket",
				"key": "${topic()}/${timestamp()}",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Per ulteriori informazioni su come definire un'azione Amazon S3 in una AWS IoT regola, consulta AWS IoT rule actions - Amazon S3.

Configura AWS CLI utilizzando l'utente dell'IAMaccount B.

Crea una policy bucket che consideri attendibile l'entità dell'account A principale.

Di seguito è riportato un esempio di file di payload che definisce una policy di bucket che considera attendibile l'entità di un altro account.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AddCannedAcl",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::1111-1111-1111:root"
				]
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
		}
	]
}

Per ulteriori informazioni, consulta Esempi di policy bucket.

Per allegare la policy del bucket al bucket specificato, esegui il put-bucket-policy comando.

aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://./amzn-s3-demo-bucket-policy.json

Per far sì che l'accesso tra account funzioni, assicurati di avere l’impostazione corretta Blocca tutti gli accessi pubblici. Per ulteriori informazioni, consulta Best practice relative alla sicurezza per Amazon S3.

Configura AWS CLI utilizzando l'utente dell'IAMaccount A.

Esegui il create-topic-rule comando per creare una regola che definisca l'accesso tra account alla funzione Lambda dell'account B.

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nella funzione Lambda specificata. L'SQListruzione filtra i messaggi e il ruolo ARN concede l' AWS IoT autorizzazione a passare i dati alla funzione Lambda.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"lambda": {
				"functionArn": "arn:aws:lambda:region:2222-2222-2222:function:example-function"
			}
		}
	]
}

Per ulteriori informazioni su come definire un' AWS Lambda azione in una AWS IoT regola, leggi AWS IoT rule actions - Lambda.

Configura AWS CLI utilizzando l'IAMutente dell'account B.

Esegui il comando add-permission di Lambda per autorizzare AWS IoT le regole ad attivare la funzione Lambda. Per eseguire il comando seguente, l'IAMutente deve disporre dell'autorizzazione all'azione. lambda:AddPermission

aws lambda add-permission --function-name example-function --region us-east-1 --principal iot.amazonaws.com --source-arn arn:aws:iot:region:1111-1111-1111:rule/example-rule --source-account 1111-1111-1111 --statement-id "unique_id" --action "lambda:InvokeFunction"

Opzioni:

--principal

Questo campo consente a AWS IoT (rappresentato daiot.amazonaws.com) di chiamare la funzione Lambda.

--source-arn

Questo campo conferma che solo arn:aws:iot:region:1111-1111-1111:rule/example-rule in AWS IoT  attiva questa funzione Lambda e che nessun'altra regola nello stesso o in un altro account può attivare questa funzione Lambda.

--source-account

Questo campo conferma che AWS IoT attiva questa funzione Lambda solo per conto dell'1111-1111-1111account.