サポート終了通知: 2026 年 10 月 7 日、 AWS はサポートを終了します AWS IoT Greengrass Version 1。2026 年 10 月 7 日以降、 AWS IoT Greengrass V1 リソースにアクセスできなくなります。詳細については、[「 からの移行 AWS IoT Greengrass Version 1](https://docs.aws.amazon.com/greengrass/v2/developerguide/migrate-from-v1.html)」を参照してください。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Greengrass サービスロール
Greengrass サービスロールは、 がユーザーに代わって のサービスからリソースにアクセス AWS IoT Greengrass することを許可する AWS Identity and Access Management (IAM) AWS サービスロールです。これにより、 は関数の取得 AWS Lambda や AWS IoT シャドウの管理などの重要なタスク AWS IoT Greengrass を実行できます。
AWS IoT Greengrass が リソースにアクセスできるようにするには、Greengrass サービスロールを に関連付け AWS アカウント 、信頼されたエンティティ AWS IoT Greengrass として を指定する必要があります。ロールには、[AWSGreengrassResourceAccessRolePolicy ](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy)管理ポリシー、または使用する AWS IoT Greengrass 機能に対する同等のアクセス許可を定義するカスタムポリシーを含める必要があります。このポリシーは によって AWS 維持され、 AWS IoT Greengrass が AWS リソースにアクセスするために使用する一連のアクセス許可を定義します。
間で同じ Greengrass AWS リージョンサービスロールを再利用できますが、使用するすべての AWS リージョン でアカウントに関連付ける必要があります AWS IoT Greengrass。サービスロールが現在の AWS アカウント およびリージョンに存在しない場合、グループのデプロイは失敗します。
以下のセクションでは、 AWS マネジメントコンソール または で Greengrass サービスロールを作成および管理する方法を説明します AWS CLI。
+ [サービスロールの管理 (コンソール) ](#manage-service-role-console)
+ [サービスロールの管理 (CLI) ](#manage-service-role-cli)
**注記**
サービスレベルのアクセスを許可するサービスロールに加えて、 *グループにグループロール*を割り当てることができます。 AWS IoT Greengrass グループロールは、グループ内の Greengrass Lambda 関数とコネクタが AWS サービスにアクセスする方法を制御する別の IAM ロールです。
## Greengrass サービスロールの管理 (コンソール)
AWS IoT コンソールを使用すると、Greengrass サービスロールを簡単に管理できます。例えば、Greengrass グループを作成またはデプロイすると、コンソール AWS アカウント は、 がコンソールで現在選択されている の Greengrass サービスロールにアタッチ AWS リージョン されているかどうかを確認します。アタッチされていない場合、コンソールによるサービスロールの作成および設定が可能です。詳細については、「[Greengrass サービスロールを作成する (コンソール)](#create-service-role-console)」を参照してください。
AWS IoT コンソールは、次のロール管理タスクに使用できます。
+ [Greengrass サービスロールを見つける](#get-service-role-console)
+ [Greengrass サービスロールを作成する](#create-service-role-console)
+ [Greengrass サービスロールを変更する](#update-service-role-console)
+ [Greengrass サービスロールをデタッチする](#remove-service-role-console)
**注記**
コンソールにサインインするユーザーには、サービスロールを表示、作成、または変更するためのアクセス許可が必要です。
### Greengrass サービスロールを見つける (コンソール)
以下のステップを使用して、現在の で AWS IoT Greengrass が使用しているサービスロールを見つけます AWS リージョン。
1. [AWS IoT コンソール](https://console.aws.amazon.com/iot/) のナビゲーションペインから、**[Settings]** (設定) を選択します。
1. [**Greengrass service role (Greengrass サービスロール)**] セクションまでスクロールして、サービスロールとそのポリシーを表示します。
サービスロールが表示されない場合は、コンソールによるサービスロールの作成また設定が可能です。詳細については、「[Greengrass サービスロールを作成する](#create-service-role-console)」を参照してください。
### Greengrass サービスロールを作成する (コンソール)
コンソールによるデフォルトの Greengrass サービスロールの作成と設定が可能です。このロールには以下のプロパティがあります。
| プロパティ | 値 |
| --- | --- |
| 名前 | Greengrass\$1ServiceRole |
| 信頼されたエンティティ | AWS service: greengrass |
| ポリシー | [AWSGreengrassResourceAccessRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy) |
**注記**
[Greengrass デバイスセットアップ](quick-start.md)がサービスロールを作成する場合、ロール名は `GreengrassServiceRole_random-string` です。
AWS IoT コンソールから Greengrass グループを作成またはデプロイすると、コンソールは、コンソールで現在選択されている AWS アカウント AWS リージョン で Greengrass サービスロールが に関連付けられているかどうかを確認します。そうでない場合、コンソールは がユーザーに代わって AWS のサービス AWS IoT Greengrass を読み書きすることを許可するように求めます。
許可を付与すると、コンソールでは、 AWS アカウントに `Greengrass_ServiceRole` という名前のロールがあるかどうかの確認が行われます。
+ ロールが存在する場合、コンソールはサービスロールを現在の AWS アカウント の にアタッチします AWS リージョン。
+ ロールが存在しない場合、コンソールはデフォルトの Greengrass サービスロールを作成し、それを現在の AWS アカウント の にアタッチします AWS リージョン。
**注記**
カスタムロールポリシーを使用してサービスロールを作成する場合は、IAM コンソールを使用してロールを作成または変更します。詳細については、*IAM ユーザーガイド*の「 [AWS サービスにアクセス許可を委任するロールの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)」または[「ロールの変更](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_modify.html)」を参照してください。使用する機能およびリソースの `AWSGreengrassResourceAccessRolePolicy` マネージドポリシーと同等のアクセス許可が、ロールによって付与されることを確認します。また、信頼ポリシーには、`aws:SourceArn` および `aws:SourceAccount` グローバル条件コンテキストキーも含めて、混乱した代理によるセキュリティ問題を防止することをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。混乱した代理に関する問題の詳細については、「[サービス間の混乱した代理の防止](cross-service-confused-deputy-prevention.md)」を参照してください。
サービスロールを作成する場合は、 AWS IoT コンソールに戻り、ロールをグループにアタッチします。これは、グループの **[Settings]** (設定) ページにある **[Greengrass service role]** (Greengrass サービスロール) で行えます。
### Greengrass サービスロールを変更する (コンソール)
コンソール AWS アカウント で AWS リージョン 現在選択されている で にアタッチする別の Greengrass サービスロールを選択するには、次の手順に従います。
1. [AWS IoT コンソール](https://console.aws.amazon.com/iot/) のナビゲーションペインから、**[Settings]** (設定) を選択します。
1. **[Greengrass service role]** (Greengrass サービスロール) で、**[Change role]** (ロールの変更) を選択します。
**Greengrass サービスロールの更新**ダイアログボックスが開き、信頼 AWS アカウント されたエンティティ AWS IoT Greengrass として を定義する の IAM ロールが表示されます。
1. アタッチする Greengrass サービスロールを選択します。
1. **[Attach role]** (ロールをアタッチする) を選択します。
**注記**
コンソールによるデフォルトの Greengrass サービスロールの作成を許可するには、リストからロールを選択する代わりに [**Create role for me (ロールの作成を許可)**] を選択します。`Greengrass_ServiceRole` という名前のロールが AWS アカウントにある場合、**[Create role for me]** (自分のロールを作成) リンクは表示されません。
### Greengrass サービスロールをデタッチする (コンソール)
コンソール AWS アカウント で AWS リージョン 現在選択されている で、 から Greengrass サービスロールをデタッチするには、次の手順に従います。これにより、 が現在の AWS のサービスにアクセス AWS IoT Greengrass するためのアクセス許可が取り消されます AWS リージョン。
**重要**
サービスロールをデタッチすると、アクティブなオペレーションが中断される場合があります。
1. [AWS IoT コンソール](https://console.aws.amazon.com/iot/) のナビゲーションペインから、**[Settings]** (設定) を選択します。
1. **[Greengrass service role]** (Greengrass サービスロール) で、**[Detach role]** (ロールのデタッチ) を選択します。
1. 確認ダイアログボックスで、[**Detach**] (デタッチ) を選択します。
**注記**
ロールが不要になった場合は、IAM コンソールで削除できます。詳細については、「IAM ユーザーガイド」の「[ロールまたはインスタンスプロファイルを削除する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)」を参照してください。
他のロールでは、 AWS IoT Greengrass が リソースにアクセスできる場合があります。ユーザーに代わってアクセス権限を引き受けることを AWS IoT Greengrass に許可するロールをすべて見つけるには、IAM コンソールの **[Roles]** (ロール) ページにある **[Trusted entities]** (信頼済みエンティティ) 列で、**[AWS service: greengrass]** ( サービス: greengrass) を含むロールを探します。
## Greengrass サービスロールの管理 (CLI)
次の手順では、 AWS CLI がインストールされ、 AWS アカウント ID を使用するように設定されていることを前提としています。詳細については、「 *AWS Command Line Interface ユーザーガイド*[」の AWS 「コマンドラインインターフェイス](https://docs.aws.amazon.com/cli/latest/userguide/installing.html)のインストール」および[「 の設定 AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-getting-started.html)」を参照してください。
は、次のロール管理タスク AWS CLI に使用できます。
+ [Greengrass サービスロールを取得する](#get-service-role)
+ [Greengrass サービスロールを作成する](#create-service-role)
+ [Greengrass サービスロールを削除する](#remove-service-role)
### Greengrass サービスロールを取得する (CLI)
Greengrass サービスロールが AWS アカウント の に関連付けられているかどうかを確認するには、次の手順に従います AWS リージョン。
+ サービスロールを取得します。*region* を に置き換えます AWS リージョン (例: `us-west-2`)。
```
aws Greengrass get-service-role-for-account --region region
```
Greengrass サービスロールが既にアカウントに関連付けられている場合、以下のロールメタデータが返されます。
```
{
"AssociatedAt": "timestamp",
"RoleArn": "arn:aws:iam::account-id:role/path/role-name"
}
```
ロールメタデータが返されない場合は、サービスロールを作成し (存在しない場合)、 AWS リージョン内でアカウントに関連付ける必要があります。
### Greengrass サービスロールを作成する (CLI)
次のステップを使用してロールを作成し、 AWS アカウントに関連付けます。
**IAM を使用して、サービスロールを作成するには**
1. がロールを AWS IoT Greengrass 引き受けることを許可する信頼ポリシーを使用してロールを作成します。この例では、`Greengrass_ServiceRole` という名前のロールを作成しますが、別の名前を使用できます。また、信頼ポリシーには、`aws:SourceArn` および `aws:SourceAccount` グローバル条件コンテキストキーも含めて、*混乱した代理*によるセキュリティ問題を防止することをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。混乱した代理に関する問題の詳細については、「[サービス間の混乱した代理の防止](cross-service-confused-deputy-prevention.md)」を参照してください。
------
#### [ Linux, macOS, or Unix ]
```
aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "greengrass.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "account-id"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
}
}
}
]
}'
```
------
#### [ Windows command prompt ]
```
aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\", \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"
```
------
1. 出力のロールメタデータからロールの ARN をコピーします。ARN を使用して、ロールをアカウントに関連付けます。
1. `AWSGreengrassResourceAccessRolePolicy` ポリシーをロールにアタッチします。
```
aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy
```
**サービスロールを に関連付けるには AWS アカウント**
+ ロールとアカウントを関連付けます。*role-arn* をサービスロール ARN に置き換え、*region* を に置き換えます AWS リージョン (例: `us-west-2`)。
```
aws greengrass associate-service-role-to-account --role-arn role-arn --region region
```
成功すると、以下のレスポンスが返されます。
```
{
"AssociatedAt": "timestamp"
}
```
### Greengrass サービスロールを削除する (CLI)
次のステップを使用して、Greengrass サービスロールの関連付けを AWS アカウントから解除します。
+ アカウントからサービスロールの関連付けを解除します。*region* を に置き換えます AWS リージョン (例: `us-west-2`)。
```
aws greengrass disassociate-service-role-from-account --region region
```
成功すると、以下のレスポンスが返されます。
```
{
"DisassociatedAt": "timestamp"
}
```
**注記**
サービスロールを使用していない場合は、削除する必要があります AWS リージョン。最初に、[https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html) を使用して `AWSGreengrassResourceAccessRolePolicy` マネージドポリシーをロールからデタッチし、次に [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html) を使用してロールを削除します。詳細については、「IAM ユーザーガイド」の「[ロールまたはインスタンスプロファイルを削除する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)」を参照してください。
## 関連情報
+ *IAM ユーザーガイド*の [AWS サービスにアクセス許可を委任するロールの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)
+ 「IAM ユーザーガイド」の「[ロールの修正](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_modify.html)」
+ 「IAM ユーザーガイド」の「[ロールまたはインスタンスプロファイルを削除する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)」
+ AWS IoT Greengrass コマンド*AWS CLI リファレンスの コマンド*
+ [associate-service-role-to-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/associate-service-role-to-account.html)
+ [disassociate-service-role-from-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/disassociate-service-role-from-account.html)
+ [get-service-role-for-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/get-service-role-for-account.html)
+ AWS CLI コマンドリファレンスで使用可能な IAM コマンド
+ [attach-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/attach-role-policy.html)
+ [create-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-role.html)
+ [delete-role](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html)
+ [delete-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html)