グループの一括デプロイを作成する

以下のコマンドを実行して、デプロイするグループごとに groupId を取得します。デプロイする各グループが AWS IoT Greengrass によって識別されるように、groupId を一括デプロイ入力ファイルに入力します。

aws greengrass list-groups
        

レスポンスには、AWS IoT Greengrass アカウントの各グループに関する情報が含まれています。

{
  "Groups": [
    {
      "Name": "string",
      "Id": "string",
      "Arn": "string",
      "LastUpdatedTimestamp": "string",
      "CreationTimestamp": "string",
      "LatestVersion": "string",
      "LatestVersionArn": "string"
    }
  ],
  "NextToken": "string"
}          
        

以下のコマンドを実行して、デプロイするグループごとに groupVersionId を取得します。

list-group-versions --group-id groupId
        

レスポンスには、グループのすべてのバージョンに関する情報が含まれています。使用するグループバージョンの Version の値を記録します。

{
  "Versions": [
    {
      "Arn": "string",
      "Id": "string",
      "Version": "string",
      "CreationTimestamp": "string"
    }
  ],
  "NextToken": "string"
}
        

使用しているコンピュータのターミナルまたはエディタで、以下の例の MyBulkDeploymentInputFile というファイルを作成します。このファイルには、一括デプロイに追加する各 AWS IoT Greengrass グループに関する情報が含まれています。この例では複数のグループを定義していますが、このチュートリアルでは 1 つのグループを定義するだけでもかまいません。

{"GroupId":"groupId1", "GroupVersionId":"groupVersionId1", "DeploymentType":"NewDeployment"}
{"GroupId":"groupId2", "GroupVersionId":"groupVersionId2", "DeploymentType":"NewDeployment"}
{"GroupId":"groupId3", "GroupVersionId":"groupVersionId3", "DeploymentType":"NewDeployment"}
...
        

各レコード (行) には、グループオブジェクトが含まれています。各グループオブジェクトには、対応する GroupId と GroupVersionId、および DeploymentType が含まれています。現在、AWS IoT Greengrass は NewDeployment 一括デプロイタイプのみをサポートしています。

このファイルを保存して閉じます。ファイルの場所を記録します。

ターミナルで以下のコマンドを使用して、入力ファイルを Amazon S3 バケットにアップロードします。ファイルパスを先ほどのファイルの場所と名前に置き換えます。詳細については、「バケットへのオブジェクトの追加」を参照してください。

aws s3 cp path/MyBulkDeploymentInputFile s3://my-bucket/

以下のポリシーを使用して、実行ロールを作成します。このポリシードキュメントでは、お客様に代わって各デプロイを作成するときに一括デプロイ入力ファイルにアクセスすることを AWS IoT Greengrass に許可します。

IAM ロールの作成とアクセス許可の委任の詳細については、「IAM ロールの作成」を参照してください。

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "greengrass:CreateDeployment",
            "Resource": [
                "arn:aws:greengrass:region:accountId:/greengrass/groups/groupId1",
                "arn:aws:greengrass:region:accountId:/greengrass/groups/groupId2",
                "arn:aws:greengrass:region:accountId:/greengrass/groups/groupId3",
                ...
            ]
        }
    ]
}
        

"Resource": ["*"]

AWS IoT Greengrass を含めるように実行ロールの信頼関係を変更します。これにより、AWS IoT Greengrass は実行ロールとそれにアタッチされたアクセス許可を使用できます。詳細については、「既存のロールの信頼関係の編集」を参照してください。

また、aws:SourceArn と aws:SourceAccount のグローバル条件コンテキストキーを信頼ポリシーに加えることで、「混乱した代理」によるセキュリティ上の問題への対策にすることをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。「混乱した代理」問題の詳細については、「サービス間の混乱した代理の防止」を参照してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "greengrass.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
        }
      }
    }
  ]
}

実行ロールの IAM PassRole アクセス許可を IAM ユーザーに付与します。この IAM ユーザーは、一括デプロイを開始するために使用されます。PassRole アクセス許可により、IAM ユーザーは実行ロールを AWS IoT Greengrass に渡せるようになります。詳細については、Granting a user permissions to pass a role to an AWS service を参照してください。

次の例を参考にして、実行ロールにアタッチされた IAM ポリシーを更新します。必要に応じて、この例を変更します。

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1508193814000",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::account-id:user/executionRoleArn"
            ]
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "greengrass.amazonaws.com"
                }
            }
        }
    ]
}
        

以下のコマンドを使用して、一括デプロイを開始します。

各 StartBulkDeployment リクエストに X-Amzn-Client-Token トークンを含めることをお勧めします。これらのリクエストは、トークンおよびリクエストパラメータに対してべき等です。このトークンは、最大 64 バイトの ASCII 文字で、大文字と小文字を区別する一意の文字列です。

aws greengrass start-bulk-deployment --cli-input-json "{
          "InputFileUri":"URI of file in S3 bucket", 
          "ExecutionRoleArn":"ARN of execution role",
          "AmznClientToken":"your Amazon client token"
          }"
        

このコマンドを実行した結果、成功ステータスコード 200 が以下のレスポンスと共に返されます。

{
  "bulkDeploymentId": UUID
}
        

一括デプロイ ID を記録します。この ID は、一括デプロイのステータスの確認に使用します。

以下のコマンドを使用して、一括デプロイのステータスを確認します。

aws greengrass get-bulk-deployment-status --bulk-deployment-id 1234567

このコマンドを実行した結果、成功ステータスコード 200 が情報の JSON ペイロードと共に返されます。

 {
  "BulkDeploymentStatus": Running,
  "Statistics": {
     "RecordsProcessed": integer,
     "InvalidInputRecords": integer,
     "RetryAttempts": integer
  },
  "CreatedAt": "string",
  "ErrorMessage": "string",
  "ErrorDetails": [
    {
      "DetailedErrorCode": "string",
      "DetailedErrorMessage": "string"
    }
  ]
}
        

BulkDeploymentStatus には、一括実行の現在のステータスが含まれています。実行は 以下の 6 つの異なるステータスのいずれかになります。

JSON ペイロードには、一括デプロイの進行状況に関する統計情報も含まれています。この情報を使用して、処理されたグループの数と失敗したグループの数を判断できます。統計情報は以下のとおりです。

一括デプロイの実行に失敗した場合、このペイロードには、トラブルシューティングに使用できる ErrorDetails セクションも含まれています。このセクションに、実行失敗の原因に関する情報が含まれています。

一括デプロイの状態を定期的にチェックして、デプロイが想定どおりに進行していることを確認できます。デプロイが完了したら、RecordsProcessed は、一括デプロイの入力ファイルで指定したデプロイグループの数と一致しています。これは、各レコードが処理されたことを示します。