AWS IoT ルールを使用したクロスアカウントリソースへのアクセス

アカウント A のIAMユーザーを使用して を設定します AWS CLI。

AWS IoT ルールエンジンを信頼し、アカウント B の Amazon SQSキューへのアクセスを許可するポリシーをアタッチするIAMロールを作成します。「必要なアクセスを許可する」の「コマンドとポリシードキュメントの例 AWS IoT」を参照してください。

トピックにアタッチされたルールを作成するには、 create-topic-rule コマンド を実行します。

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

以下は、iot/testトピックに送信されたすべてのメッセージを指定された Amazon SQSキューに挿入するルールを含むペイロードファイルの例です。SQL ステートメントはメッセージをフィルタリングし、ロールは Amazon SQSキューにメッセージを追加するアクセス許可ARNを付与 AWS IoT します。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sqs": {
				"queueUrl": "https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role",
				"useBase64": false
			}
		}
	]
}

AWS IoT ルールで Amazon SQSアクションを定義する方法の詳細については、「 AWS IoT ルールアクション - Amazon SQS」を参照してください。

アカウント B のIAMユーザーを使用して を設定します AWS CLI。

Amazon SQSキューリソースのアクセス許可をアカウント A に付与するには、add-permission コマンド を実行します。

aws sqs add-permission --queue-url https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue --label SendMessagesToMyQueue --aws-account-ids 1111-1111-1111 --actions SendMessage

アカウント A のIAMユーザーを使用して を設定します AWS CLI。

AWS IoT ルールエンジンを信頼し、アカウント B の Amazon SNSトピックへのアクセスを許可するポリシーをアタッチするIAMロールを作成します。コマンドとポリシードキュメントの例については、「必要なアクセス AWS IoT の許可」を参照してください。

トピックにアタッチされたルールを作成するには、 create-topic-rule コマンド を実行します。

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

以下は、iot/testトピックに送信されたすべてのメッセージを指定された Amazon SNSトピックに挿入するルールを含むペイロードファイルの例です。SQL ステートメントはメッセージをフィルタリングし、ロールは Amazon SNSトピックにメッセージを送信する AWS IoT アクセス許可ARNを付与します。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sns": {
				"targetArn": "arn:aws:sns:region:2222-2222-2222:ExampleTopic",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

AWS IoT ルールで Amazon SNSアクションを定義する方法の詳細については、「 AWS IoT ルールアクション - Amazon SNS」を参照してください。

アカウント B のIAMユーザーを使用して を設定します AWS CLI。

アカウント A に Amazon SNSトピックリソースに対するアクセス許可を付与するには、add-permission コマンド を実行します。

aws sns add-permission --topic-arn arn:aws:sns:region:2222-2222-2222:ExampleTopic --label Publish-Permission --aws-account-id 1111-1111-1111 --action-name Publish

アカウント A のIAMユーザーを使用して を設定します AWS CLI。

AWS IoT ルールエンジンを信頼し、アカウント B の Amazon S3 バケットへのアクセスを許可するポリシーをアタッチするIAMロールを作成します。コマンドとポリシードキュメントの例については、AWS IoT 「必要なアクセスの許可」を参照してください。

ターゲット S3 バケットにアタッチされたルールを作成するには、 create-topic-rule コマンド を実行します。

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

次のペイロードファイル例では、iot/test トピックに送信されたすべてのメッセージを指定の Amazon S3 バケットに挿入するルールが指定されています。SQL ステートメントはメッセージをフィルタリングし、ロールは Amazon S3 バケットにメッセージを追加する AWS IoT アクセス許可ARNを付与します。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"s3": {
				"bucketName": "amzn-s3-demo-bucket",
				"key": "${topic()}/${timestamp()}",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

AWS IoT ルールで Amazon S3 アクションを定義する方法の詳細については、AWS IoT 「ルールアクション - Amazon S3」を参照してください。

アカウント B のIAMユーザーを使用して を設定します AWS CLI。

アカウント A のプリンシパルを信頼するバケットポリシーを作成します。

次のペイロードファイル例では、別のアカウントのプリンシパルを信頼するバケットポリシーを定義します。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AddCannedAcl",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::1111-1111-1111:root"
				]
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
		}
	]
}

詳しくは、バケットポリシーの例を参照してください。

指定されたバケットにバケットポリシーをアタッチするには、 put-bucket-policy コマンド を実行します。

aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://./amzn-s3-demo-bucket-policy.json

クロスアカウントアクセスが機能するように、パブリックアクセスをすべてブロックが正しく設定されていることを確認してください。詳しくは、Amazon S3 のセキュリティベストプラクティスを参照してください。

アカウント A のIAMユーザーを使用して を設定します AWS CLI。

create-topic-rule コマンドを実行して、アカウント B の Lambda 関数へのクロスアカウントアクセスを定義するルールを作成します。

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

次のペイロードファイル例では、iot/test トピックに送信されたすべてのメッセージを指定の Lambda 関数に挿入するルールが指定されています。SQL ステートメントはメッセージをフィルタリングし、ロールは Lambda 関数にデータを渡す AWS IoT アクセス許可ARNを付与します。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"lambda": {
				"functionArn": "arn:aws:lambda:region:2222-2222-2222:function:example-function"
			}
		}
	]
}

AWS IoT ルールで AWS Lambda アクションを定義する方法の詳細については、AWS IoT ルールアクション - Lambda を参照してください。

アカウント B のIAMユーザーを使用して を設定します AWS CLI。

Lambda の add-permission コマンドを実行して、Lambda 関数をアクティブ化するアクセス許可を AWS IoT ルールに付与します。次のコマンドを実行するには、IAMユーザーに lambda:AddPermission アクションのアクセス許可が必要です。

aws lambda add-permission --function-name example-function --region us-east-1 --principal iot.amazonaws.com --source-arn arn:aws:iot:region:1111-1111-1111:rule/example-rule --source-account 1111-1111-1111 --statement-id "unique_id" --action "lambda:InvokeFunction"

オプション:

--プリンシパル

このフィールドは AWS IoT 、Lambda 関数を呼び出すアクセス許可 ( によって表されますiot.amazonaws.com) を付与します。

--source-arn

このフィールドは、 AWS IoT の arn:aws:iot:region:1111-1111-1111:rule/example-rule のみがこのLambda 関数をトリガーし、同じアカウントまたは異なるアカウント内の他のルールはこの Lambda 関数をアクティブ化できないことを確認します。

--source-account

このフィールドは、 が1111-1111-1111アカウントに代わってのみこの Lambda 関数を AWS IoT アクティブ化することを確認します。