サポート終了通知: 2026 年 10 月 7 日、 AWS はサポートを終了します AWS IoT Greengrass Version 1。2026 年 10 月 7 日以降、 AWS IoT Greengrass V1 リソースにアクセスできなくなります。詳細については、[「 からの移行 AWS IoT Greengrass Version 1](https://docs.aws.amazon.com/greengrass/v2/developerguide/migrate-from-v1.html)」を参照してください。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# グループ固有の設定による Greengrass Lambda 関数の実行の制御
AWS IoT Greengrass は、Greengrass Lambda 関数のクラウドベースの管理を提供します。Lambda 関数のコードと依存関係は を使用して管理されますが AWS Lambda、Lambda 関数が Greengrass グループで実行された場合の動作を設定できます。
## グループ固有構成設定
AWS IoT Greengrass には、Greengrass Lambda 関数の以下のグループ固有の設定が用意されています。
**[System user and group]** (システムユーザーとグループ)
各 Lambda 関数を実行するために使用されるアクセス ID。デフォルトでは、Lambda 関数はグループの[デフォルトのアクセス ID](#lambda-access-identity-groupsettings) として実行されます。通常の場合、これはスタンダードの AWS IoT Greengrass システムアカウント (ggc\$1user および ggc\$1group) です。デフォルト設定を変更し、Lambda 関数を実行するために必要なアクセス許可を持つユーザー ID とグループ ID を選択できます。UID と GID の両方をオーバーライドするか、他方のフィールドを空のままにして一方だけをオーバーライドすることもできます。この設定により、デバイスリソースへのアクセスをより詳細に制御できます。Greengrass ハードウェアの設定では、適切なリソース制限、適切なファイルへのアクセス許可、および Lambda 関数を実行するために使用されるアクセス許可を持つユーザーとグループの適切なディスククォータを使用することをお勧めします。
この機能は AWS IoT Greengrass Core v1.7 以降で使用できます。
やむを得ない場合を除き、Lambda 関数を root として実行することは避けてください。root として実行すると、次のリスクが増加します。
+ 重要なファイルを誤って削除するなど、意図しない変更が行われるリスク。
+ 悪意のあるユーザーがデータやデバイスにアクセスするリスク。
+ Docker コンテナが `--net=host` や `UID=EUID=0` で実行されると、コンテナがエスケープするリスク。
root として を実行する必要がある場合は、 AWS IoT Greengrass 設定を更新して有効にする必要があります。詳細については、「[root としての Lambda 関数の実行](#lambda-running-as-root)」を参照してください。
**[System user ID (number)]** (システムユーザー ID (数値))
Lambda 関数を実行するために必要なアクセス許可を持つユーザーのユーザー ID。この設定を利用できるのは、**[Another user ID/group ID]** (別のユーザー ID/グループ ID) として実行した場合に限ります。 AWS IoT Greengrass コアデバイスで **getent passwd** コマンドを使用して、Lambda 関数の実行に使用するユーザー ID を検索できます。
同じ UID を使用してプロセスと Lambda 関数を Greengrass コアデバイスで実行する場合、Greengrass グループロールはプロセスに一時的な認証情報を付与することができます。プロセスは Greengrass コアデプロイメント全体で一時的な認証情報を使用できます。
**[System group ID (number)]** (システムグループ ID (番号))
Lambda 関数を実行するために必要なアクセス許可を持つグループのグループ ID。この設定を利用できるのは、**[Another user ID/group ID]** (別のユーザー ID/グループ ID) として実行した場合に限ります。 AWS IoT Greengrass コアデバイスで **getent group** コマンドを使用して、Lambda 関数の実行に使用するグループ ID を検索できます。
**[Lambda function containerization]** (Lambda 関数のコンテナ化)
Lambda 関数を実行する際に、グループのデフォルトのコンテナ化を使用するかどうかを選択します。または、この Lambda 関数で常に使用するコンテナ化を指定します。
Lambda 関数のコンテナ化モードは、その分離レベルを決定します。
+ コンテナ化された Lambda 関数は、**Greengrass コンテナ**モードで実行されます。Lambda 関数は、 AWS IoT Greengrass コンテナ内の分離されたランタイム環境 (または名前空間) で実行されます。
+ コンテナ化されていない Lambda 関数は、**コンテナなし**モードで実行されます。この Lambda 関数は、分離することなく、通常の Linux プロセスとして実行されます。
この機能は AWS IoT Greengrass Core v1.7 以降で使用できます。
コンテナ化を使用せずに Lambda 関数を実行する必要があるユースケースを除き、Greengrass コンテナで関数を実行することをお勧めします。Lambda 関数を Greengrass コンテナで実行する場合、アタッチされたローカルおよびデバイスリソースを使用することで、分離の利点とセキュリティの向上を得られます。コンテナ化を変更する場合は、事前に「[Lambda 関数のコンテナ化を選択する場合の考慮事項](#lambda-containerization-considerations)」を参照してください。
デバイスのカーネル名前空間および cgroup を有効化せずに実行するには、コンテナ化を使用しないですべての Lambda 関数を実行する必要があります。これを簡単に行うには、グループのデフォルトのコンテナ化を設定できます。詳細については、「[グループ内の Lambda 関数のコンテナ化のデフォルト設定](#lambda-containerization-groupsettings)」を参照してください。
**メモリ制限**
関数のメモリ割り当て。デフォルトでは 16 MB です。
コンテナ化を使用しないで実行するように Lambda 関数を変更すると、メモリ制限の設定は使用できなくなります。コンテナ化を使用せずに実行される Lambda 関数には、メモリ制限を設定することができません。コンテナ化を使用しないで実行するように Lambda 関数またはグループのデフォルトのコンテナ化設定を変更すると、メモリ制限の設定は破棄されます。
**タイムアウト**
関数あるいはリクエストが終了するまでの時間数。デフォルト値は 3 秒です。
**[Pinned]** (固定)
Lambda 関数のライフサイクルは、オンデマンドあるいは長い存続期間とすることができます。デフォルトはオンデマンドです。
オンデマンド Lambda 関数は、呼び出されたときに新規または再利用されるコンテナで開始します。関数に対するリクエストは、任意の利用可能なコンテナで処理される可能性があります。存続期間の長い、または*固定された* Lambda 関数は、 AWS IoT Greengrass が起動した後に自動的に開始され、独自のコンテナ (またはサンドボックス) で実行され続けます。関数へのすべてのリクエストは、同じコンテナで処理されます。詳細については、「[Greengrass Lambda 関数のライフサイクル設定](lambda-functions.md#lambda-lifecycle)」を参照してください。
**/sys ディレクトリへの読み込みアクセス**
関数がホストの /sys フォルダにアクセスできるかどうかを設定します。関数が /sys からデバイス情報を読み取る必要があるときに使用します。デフォルトは False です。
この設定は、コンテナ化を使用しないで Lambda 関数を実行する場合は使用できません。コンテナ化を使用しないで実行するように Lambda 関数を変更すると、この設定の値は破棄されます。
**[Encoding type]** (エンコードタイプ)
関数の入力ペイロードの予期されるエンコードタイプ (JSON あるいは バイナリ)。デフォルトは JSON です。
バイナリエンコーディングタイプのサポートは、 AWS IoT Greengrass Core Software v1.5.0 および AWS IoT Greengrass Core SDK v1.1.0 以降で利用できます。デバイスのハードウェア機能が制限されていているため、JSON データ型を構築することが難しいかできないことが多いので、バイナリ入力データを受け入れることは、関数がデバイスデータとやり取りするために便利です。
[Lambda 実行可能ファイル](lambda-functions.md#lambda-executables) は、バイナリエンコードタイプのみ (JSON ではなく) をサポートします。
**[Process arguments]** (プロセスの引数)
コマンドライン引数は、Lambda 関数の実行時に渡されます。
**環境変数**
関数コードとライブラリに設定を動的に渡すことができるキー値ペア。ローカル環境変数は [AWS Lambda 関数環境変数](https://docs.aws.amazon.com/lambda/latest/dg/env_variables.html)と同様に動作しますが、Core 環境で利用可能です。
[**リソースアクセスポリシー**]
Lambda 関数がアクセスを許可される、最大で 10 個までの[ローカルリソース](access-local-resources.md)、[シークレットリソース](secrets.md)、および[機械学習リソース](ml-inference.md)と、対応する `read-only` または `read-write` アクセス許可のリスト。コンソールで、これらのアフィリエイトリソースは、**[Resources]** (リソース) タブのグループ設定ページに掲載されています。
[コンテナ化モード](#lambda-function-containerization)は、Lambda 関数がローカルデバイスとボリュームリソース、機械学習リソースにアクセスする方法に影響します。
+ コンテナ化されていない Lambda 関数は、コアデバイス上のファイルシステムを介してローカルデバイスおよびボリュームリソースに直接アクセスする必要があります。
+ コンテナ化されていない Lambda 関数が Greengrass グループ内の機械学習リソースにアクセスできるようにするには、機械学習リソースでリソースの所有者とアクセス権限のプロパティを設定する必要があります。詳細については、「[Lambda 関数から機械学習リソースにアクセスする](access-ml-resources.md)」を参照してください。
AWS IoT Greengrass API を使用してユーザー定義の Lambda 関数のグループ固有の設定を行う方法については、*AWS IoT Greengrass Version 1 「 API リファレンス*」の[CreateFunctionDefinition](https://docs.aws.amazon.com/greengrass/v1/apireference/createfunctiondefinition-post.html)」または*AWS CLI 「 コマンドリファレンス*」の[create-function-definition](https://docs.aws.amazon.com/cli/latest/reference/greengrass/create-function-definition.html)」を参照してください。Greengrass コアに Lambda 関数をデプロイするには、関数を含む関数定義バージョンを作成し、関数定義バージョンと他のグループコンポーネントを参照するグループバージョンを作成してから、[グループをデプロイ](deployments.md)します。
## root としての Lambda 関数の実行
この機能は AWS IoT Greengrass Core v1.7 以降で使用できます。
1 つ以上の Lambda 関数をルートとして実行する前に、まず AWS IoT Greengrass 設定を更新してサポートを有効にする必要があります。デフォルトでは、root として Lambda 関数を実行するためのサポートはオフになっています。Lambda 関数をデプロイしてルート (UID と GID 0) として実行しようとし、 AWS IoT Greengrass 設定を更新していない場合、デプロイは失敗します。ランタイムログ (*greengrass\$1root*/ggc/var/log/system/runtime.log) に以下のようなエラーが表示されます。
```
lambda(s)
[list of function arns] are configured to run as root while Greengrass is not configured to run lambdas with root permissions
```
**重要**
やむを得ない場合を除き、Lambda 関数を root として実行することは避けてください。root として実行すると、次のリスクが増加します。
重要なファイルを誤って削除するなど、意図しない変更が行われるリスク。
悪意のあるユーザーがデータやデバイスにアクセスするリスク。
Docker コンテナが `--net=host` や `UID=EUID=0` で実行されると、コンテナがエスケープするリスク。
**root として実行することを Lambda 関数に許可するには**
1. AWS IoT Greengrass デバイスで、*greengrass-root*/config フォルダに移動します。
**注記**
デフォルトでは、*greengrass-root* は /greengrass ディレクトリです。
1. config.json ファイルを編集し、`"allowFunctionsToRunAsRoot" : "yes"` を `runtime` フィールドに追加します。例えば、次のようになります。
```
{
"coreThing" : {
...
},
"runtime" : {
...
"allowFunctionsToRunAsRoot" : "yes"
},
...
}
```
1. 再起動するには、次のコマンドを使用します AWS IoT Greengrass。
```
cd /greengrass/ggc/core
sudo ./greengrassd restart
```
これで Lambda 関数のユーザー ID とグループ ID (UID/GID) を 0 に設定し、root として Lambda 関数を実行できます。
Lambda 関数をルートとして実行することを許可 AWS IoT Greengrass しない場合は、 の値を に変更`"allowFunctionsToRunAsRoot"``"no"`して再起動できます。
## Lambda 関数のコンテナ化を選択する場合の考慮事項
この機能は AWS IoT Greengrass Core v1.7 以降で使用できます。
デフォルトでは、Lambda 関数は AWS IoT Greengrass コンテナ内で実行されます。このコンテナにより、関数とホストが分離され、ホストとコンテナ内の関数の両方でセキュリティが向上します。
コンテナ化を使用せずに Lambda 関数を実行する必要があるユースケースを除き、Greengrass コンテナで関数を実行することをお勧めします。Greengrass コンテナで Lambda 関数を実行することで、リソースへのアクセスを制限する方法をより細かく制御できます。
コンテナ化を使用しないで実行するユースケースの例:
+ コンテナモードをサポートしていない AWS IoT Greengrass デバイスで を実行する場合 (特別な Linux ディストリビューションを使用しているか、カーネルバージョンが古すぎるなど）。
+ 独自の OverlayFS がある別のコンテナ環境の Lambda 関数を、Greengrass コンテナで実行すると、OverlayFS の競合が発生する場合。
+ アクセス先のローカルリソースのパスがデプロイ時に決定できないか、デプロイ後に変わることがある場合 (プラガブルデバイスなど)。
+ プロセスとして記述されたレガシーアプリケーションがあり、これをコンテナ化された Lambda 関数として実行するときに問題が発生する場合。
**コンテナ化の相違点**
| コンテナ化 | 注意事項 |
| --- | --- |
| Greengrass コンテナ | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/greengrass/v1/developerguide/lambda-group-config.html) |
| コンテナなし | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/greengrass/v1/developerguide/lambda-group-config.html) |
**注記**
Greengrass グループの既定のコンテナ化設定は、[コネクタ](connectors.md)には適用されません。
Lambda 関数のコンテナ化を変更すると、デプロイ時に問題が発生する場合があります。ローカルリソースを割り当てた Lambda 関数が新しいコンテナ化の設定で使用できなくなった場合、デプロイは失敗します。
+ Greengrass コンテナでの実行からコンテナ化を使用しない実行へと Lambda 関数を変更すると、関数のメモリ制限は破棄されます。アタッチ済みのローカルリソースを使用する代わりに、ファイルシステムに直接アクセスする必要があります。デプロイする前に、すべてのアタッチ済みリソースを削除する必要があります。
+ コンテナ化を使用しない実行からコンテナでの実行へと Lambda 関数を変更すると、Lambda 関数はファイルシステムに直接アクセスできなくなります。関数ごとにメモリ制限を定義するか、デフォルトの 16 MB を受け入れる必要があります。これらの設定は、デプロイ前に Lambda 関数ごとに構成できます。
**Lambda 関数のコンテナ化の設定を変更するには**
1. AWS IoT コンソールナビゲーションペインの**「管理**」で **Greengrass デバイス**を展開し、**「グループ (V1)**」を選択します。
1. 設定を変更する Lambda 関数が含まれているグループを選択します。
1. **[Lambda functions]** (Lambda 関数) タブを選択します。
1. 変更する Lambda 関数で、省略記号 (**…**) を選択し、次に **[Edit configuration]** (設定の編集) を選択します。
1. コンテナ化の設定を変更します。Greengrass コンテナで実行するように Lambda 関数を設定する場合は、**[Memory limit]** (メモリ制限) と **[Read access to /sys directory]** (/sys ディレクトリへの読み込みアクセス) も設定する必要があります。
1. **[Save]** (保存) を選択してから **[Confirm]** (確認) を選択して Lambda 関数への変更を保存します。
変更は、グループのデプロイ時に反映されます。
また、「AWS IoT Greengrass API リファレンス」の「[CreateFunctionDefinition](https://docs.aws.amazon.com/greengrass/v1/apireference/createfunctiondefinition-post.html)」および「[CreateFunctionDefinitionVersion](https://docs.aws.amazon.com/greengrass/v1/apireference/createfunctiondefinitionversion-post.html)」を使用することもできます。コンテナ化の設定を変更する場合は、他のパラメータも必ず更新してください。例えば、Lambda 関数を Greengrass コンテナでの実行からコンテナ化を使用しない実行へと変更する場合は、`MemorySize` パラメータを必ずクリアします。
### Greengrass デバイスでサポートされている分離モードの確認
AWS IoT Greengrass 依存関係チェッカーを使用して、Greengrass デバイスでサポートされている分離モード (Greengrass コンテナ/コンテナなし) を判断できます。
**AWS IoT Greengrass 依存関係チェッカーを実行するには**
1. [GitHub リポジトリ](https://github.com/aws-samples/aws-greengrass-samples)から AWS IoT Greengrass 依存関係チェッカーをダウンロードして実行します。
```
wget https://github.com/aws-samples/aws-greengrass-samples/raw/master/greengrass-dependency-checker-GGCv1.11.x.zip
unzip greengrass-dependency-checker-GGCv1.11.x.zip
cd greengrass-dependency-checker-GGCv1.11.x
sudo modprobe configs
sudo ./check_ggc_dependencies | more
```
1. 「`more`」と表示された場合は、Spacebar キーを押して別のページのテキストを表示します。
**modprobe** コマンドの詳細については、ターミナルで **man modprobe** を実行してください。
## グループ内の Lambda 関数に対するデフォルトのアクセス ID の設定
この機能は Core AWS IoT Greengrass v1.8 以降で使用できます。
デバイスリソースへのアクセスをより細かく制御するために、グループ内で Lambda 関数を実行するために使用されるデフォルトのアクセス ID を設定できます。この設定は、Lambda 関数がコアデバイスで実行されたときに付与されるデフォルトのアクセス許可を決定します。グループ内の個々の関数の設定を上書きするには、その関数の [**Run as (として実行)**] プロパティを使用できます。詳細については、「[Run as](#lambda-access-identity)」を参照してください。
このグループレベルの設定は、基盤となる AWS IoT Greengrass Core ソフトウェアの実行にも使用されます。これは、メッセージルーティング、ローカルシャドウ同期、および自動 IP アドレス検出などのオペレーションを管理するシステム Lambda 関数で構成されます。
デフォルトのアクセスアイデンティティは、標準 AWS IoT Greengrass システムアカウント (ggc\$1user および ggc\$1group) として実行するか、別のユーザーまたはグループのアクセス許可を使用するように設定できます。Greengrass ハードウェアの設定では、適切なリソース制限、適切なファイルへのアクセス許可、およびユーザー定義またはシステム Lambda 関数を実行するために使用されるアクセス許可を持つユーザーとグループの適切なディスククォータを使用することをお勧めします。
**AWS IoT Greengrass グループのデフォルトのアクセスアイデンティティを変更するには**
1. AWS IoT コンソールナビゲーションペインの**「管理**」で **Greengrass デバイス**を展開し、**「グループ (V1)**」を選択します。
1. 設定を変更するグループを選択します。
1. **[Lambda functions]** (Lambda 関数) タブを選択し、**[Default Lambda function runtime environment]** (デフォルトの Lambda 関数ランタイム環境)セクションで **[Edit]** (編集) を選択します。
1. **[Edit default Lambda function runtime environment]** (デフォルトの Lambda 関数ランタイム環境の編集) ページの **[Default system user and group] (デフォルトシステムユーザーおよびグループ)** で、**[Another user ID/group ID]** (別のユーザー ID とグループ ID) を選択します。
このオプションを選択すると、**[System user ID (number)]** (システムユーザー ID (数値)) および **[System group ID (number)]** (システムグループ ID (数値)) フィールドが表示されます。
1. ユーザー ID、グループ ID、またはその両方を入力します。フィールドを空白のままにすると、それぞれの Greengrass システムアカウント (ggc\$1user または ggc\$1group) が使用されます。
+ **[System user ID (number)]** (システムユーザー ID (数値)) で、グループ内で Lambda 関数を実行するためにデフォルトで使用するアクセス許可を持つユーザーのユーザー ID を入力します。 AWS IoT Greengrass デバイスで **getent passwd** コマンドを使用して、ユーザー ID を検索できます。
+ **[System group ID (number)]** (システムグループ ID (数値)) で、グループ内で Lambda 関数を実行するためにデフォルトで使用するアクセス許可を持つグループのグループ ID を入力します。 AWS IoT Greengrass デバイスで **getent group** コマンドを使用して、グループ ID を検索できます。
**重要**
root ユーザーとして実行すると、データとデバイスに対するリスクが増大します。ビジネスケースで要求されている場合を除き、root (UID/GID=0) として実行しないでください。詳細については、「[root としての Lambda 関数の実行](#lambda-running-as-root)」を参照してください。
変更は、グループのデプロイ時に反映されます。
## グループ内の Lambda 関数のコンテナ化のデフォルト設定
この機能は AWS IoT Greengrass Core v1.7 以降で使用できます。
Greengrass グループのコンテナ化設定によって、グループ内の Lambda 関数のデフォルトのコンテナ化が決定されます。
+ **Greengrass コンテナ**モードでは、Lambda 関数はデフォルトで AWS IoT Greengrass コンテナ内の分離されたランタイム環境で実行されます。
+ **コンテナなし**モードでは、Lambda 関数はデフォルトで通常の Linux プロセスとして実行されます。
グループ設定を変更して、グループ内の Lambda 関数のデフォルトのコンテナ化を指定できます。グループのデフォルトとは異なるコンテナ化を使用して Lambda 関数を実行する場合は、グループ内の 1 つ以上の Lambda 関数について、この設定を上書きできます。コンテナ化の設定を変更する場合は、事前に「[Lambda 関数のコンテナ化を選択する場合の考慮事項](#lambda-containerization-considerations)」を参照してください。
**重要**
グループのデフォルトのコンテナ化を変更する際に、一部の関数で別のコンテナ化を使用するという場合は、グループの設定を変更する前に Lambda 関数の設定を変更します。グループのコンテナ化の設定を最初に変更すると、[**メモリ制限**] と [**/sys ディレクトリへの読み込みアクセス**] に設定した値は破棄されます。
**AWS IoT Greengrass グループのコンテナ化設定を変更するには**
1. AWS IoT コンソールナビゲーションペインの**「管理**」で **Greengrass デバイス**を展開し、**「グループ (V1)**」を選択します。
1. 設定を変更するグループを選択します。
1. **[Lambda functions]** (Lambda 関数) タブを選択します。
1. **[Default Lambda function runtime environment]** (デフォルトの Lambda 関数ランタイム環境) から、**[Edit]** (編集) を選択します。
1. **[Edit default Lambda function runtime environment]** (デフォルトの Lambda 関数ランタイム環境を編集する) ページの、**[Default Lambda function containerization]** (デフォルトの Lambda 関数のコンテナ化) でコンテナ化の設定を変更します。
1. **[保存]** を選択します。
変更は、グループのデプロイ時に反映されます。