モノの静的グループ

モノの静的グループはこれらをグループに分類することで、複数のモノを一度に管理できるようにします。モノの静的グループには、コンソール、CLI、または API を使用して管理されるモノのグループが含まれます。一方、動的なモノのグループには、指定したクエリに一致するモノが含まれます。モノの静的グループには、他のモノの静的グループを含めることもできます。グループの階層を構築できます。親グループにポリシーを付加することができ、その子グループ、およびそのグループと子グループ内のすべてのモノに継承されます。これにより、多数のモノに対するアクセス許可の制御が容易になります。

次に､モノの静的グループで実施可能な操作をご紹介します。

モノの静的グループのいくつかの制限があります｡

グループにポリシーをアタッチおよびデタッチすると、 AWS IoT オペレーションのセキュリティをいくつかの重要な方法で強化できます。ポリシーに証明書をアタッチしてからモノにアタッチするような､デバイスごとの方法は時間がかかり、多数のデバイスにわたってポリシーを迅速に更新または変更することが困難です。モノのグループにポリシーをアタッチすると、証明書をモノに回す際のステップが節約されます。また、ポリシーはグループメンバーシップを変更すると動的に適用されるため、デバイスがグループのメンバーシップを変更するたびに複雑なアクセス許可セットを再作成する必要はありません。

モノの静的グループの作成

モノの静的グループを作成するには CreateThingGroup コマンドを使用します。

$ aws iot create-thing-group --thing-group-name LightBulbs

CreateThingGroup コマンドは、モノの静的グループの名前、ID、および ARN を含むレスポンスを返します。

{
    "thingGroupName": "LightBulbs", 
    "thingGroupId": "abcdefgh12345678ijklmnop12345678qrstuvwx",
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
}

作成されたときのモノのグループの親を指定している例を次に示します。

$ aws iot create-thing-group --thing-group-name RedLights --parent-group-name LightBulbs

前と同様に、CreateThingGroup コマンドは、モノの静的グループの名前、ID、および ARN を含むレスポンスを返します。

{
    "thingGroupName": "RedLights", 
    "thingGroupId": "abcdefgh12345678ijklmnop12345678qrstuvwx",
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights",
}

モノのグループの説明

DescribeThingGroup コマンドを使用すると、モノのグループに関する情報を取得できます。

$ aws iot describe-thing-group --thing-group-name RedLights

DescribeThingGroup コマンドは、指定されたグループに関する情報を返します。

{
    "thingGroupName": "RedLights", 
    "thingGroupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights",
    "thingGroupId": "12345678abcdefgh12345678ijklmnop12345678",
    "version": 1,
    "thingGroupMetadata": {
        "creationDate": 1478299948.882
        "parentGroupName": "Lights",
        "rootToParentThingGroups": [
            {
                "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ShinyObjects",
                "groupName": "ShinyObjects"
            },
            {
                "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs",
                "groupName": "LightBulbs"
            }
        ]
    },
    "thingGroupProperties": {
        "attributePayload": {
            "attributes": {
                "brightness": "3400_lumens"
            },
        },
        "thingGroupDescription": "string"
    },
}

モノの静的グループにモノを追加する

AddThingToThingGroup コマンドを使用して、モノの静的グループにモノを追加できます。

$ aws iot add-thing-to-thing-group --thing-name MyLightBulb --thing-group-name RedLights

AddThingToThingGroup コマンドでは、出力が生成されません。

モノの静的グループからモノを削除する

RemoveThingFromThingGroup コマンドを使用すると、グループからモノを削除できます。

$ aws iot remove-thing-from-thing-group --thing-name MyLightBulb --thing-group-name RedLights

RemoveThingFromThingGroup コマンドでは、出力が生成されません。

モノのグループ内のモノを一覧表示する

ListThingsInThingGroup コマンドを使用して、グループに属するモノを一覧表示できます。

$ aws iot list-things-in-thing-group --thing-group-name LightBulbs

この ListThingsInThingGroup コマンドは、指定されたグループ内のモノのリストを返します。

{
    "things":[
        "TestThingA"
    ]
}

--recursive パラメータを使用すると、グループに属するモノとその子グループに属するモノを一覧表示することができます

$ aws iot list-things-in-thing-group --thing-group-name LightBulbs --recursive

{
    "things":[
        "TestThingA",
        "MyLightBulb"
    ]
}

モノのグループの一覧表示

ListThingGroups コマンドを使用して、アカウントのモノのグループを一覧表示できます。

$ aws iot list-thing-groups

ListThingGroups コマンドは、 内のモノのグループのリストを返します AWS アカウント。

{
    "thingGroups": [
        {
            "groupName": "LightBulbs", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
        },
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "RedLEDLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLEDLights"
        },
        {
            "groupName": "RedIncandescentLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedIncandescentLights"
        }
        {
            "groupName": "ReplaceableObjects", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ReplaceableObjects"
        }
    ]
}

オプションのフィルタを使用して、指定された接頭辞 (--parent-group) で始まる名前を持つ､特定のグループを親 (--name-prefix-filter) またはグループとして持つグループを一覧表示します｡ --recursive パラメータを指定すると、モノのグループの直接の子グループだけでなく、すべての子グループを一覧表示できます。

$ aws iot list-thing-groups --parent-group LightBulbs

この場合、 ListThingGroups コマンドは、 で定義されたモノのグループの直接の子グループのリストを返します AWS アカウント。

{
    "childGroups":[
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        }
    ]
}

--recursive コマンドで ListThingGroups パラメータを使用すると、モノのグループの直接の子グループだけでなく、すべての子グループを一覧表示できます。

$ aws iot list-thing-groups --parent-group LightBulbs --recursive

この ListThingGroups コマンドは､を使用すると、モノのグループのすべての子グループのリストを返します。

{
    "childGroups":[
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "RedLEDLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLEDLights"
        },
        {
            "groupName": "RedIncandescentLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedIncandescentLights"
        }
    ]
}

モノが属するグループを一覧表示する

ListThingGroupsForThing コマンドを使用して、モノが属する直接グループを一覧表示できます。

$ aws iot list-thing-groups-for-thing --thing-name MyLightBulb

ListThingGroupsForThing コマンドは、このモノが属する直接モノグループのリストを返します。

{
    "thingGroups":[
        {
            "groupName": "LightBulbs", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs"
        },
        {
            "groupName": "RedLights", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"
        },
        {
            "groupName": "ReplaceableObjects", 
            "groupArn": "arn:aws:iot:us-west-2:123456789012:thinggroup/ReplaceableObjects"
        }
    ]
}

モノの静的グループの更新

UpdateThingGroup コマンドを使用すると、モノの静的グループの属性を更新できます。

$ aws iot update-thing-group --thing-group-name "LightBulbs" --thing-group-properties "thingGroupDescription=\"this is a test group\", attributePayload=\"{\"attributes\"={\"Owner\"=\"150\",\"modelNames\"=\"456\"}}"

UpdateThingGroup コマンドは、更新後にグループのバージョン番号を含むレスポンスを返します。

{
    "version": 4
}

モノのグループを削除する

モノのグループを削除するには、DeleteThingGroup コマンドを使用します。

$ aws iot delete-thing-group --thing-group-name "RedLights"

DeleteThingGroup コマンドでは、出力が生成されません。

A client error (InvalidRequestException) occurred when calling the DeleteThingGroup 
operation: Cannot delete thing group : RedLights when there are still child groups attached to it.

子のモノを持つグループは削除できますが、そのグループのメンバーシップによって付与されているすべてのアクセス許可は適用されなくなります。ポリシーが設定されているグループを削除する前に、それらのアクセス許可を削除してもグループ内の機能が正しく機能しなくなることはありません。また、クラウド内のレコードが更新されている間、モノが属するグループ ( などListGroupsForThing) を示すコマンドは、引き続きグループを表示する場合があります。

モノの静的グループにポリシーをアタッチする

AttachPolicy コマンドを使用して、モノの静的グループにポリシーをアタッチすることができます。そのため、そのグループ内のすべてのモノやその子グループのモノに拡張機能を割り当てることができます。

$ aws iot attach-policy \
  --target "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs" \
  --policy-name "myLightBulbPolicy"

AttachPolicy コマンドでは、出力が生成されません。

--target パラメータは、モノのグループ ARN (上記に示す)、証明書の ARN または Amazon Cognito ID とすることができます。ポリシー、証明書、および認証の詳細については、「」を参照してください認証

詳細については、「AWS IoT Core ポリシー」を参照してください。

モノの静的グループからポリシーをデタッチする

DetachPolicy コマンドを使用して、モノのグループからポリシーをデタッチすることができます。そのため、そのグループ内のすべてのモノやその子グループのモノに拡張機能を割り当てることができます。

$ aws iot detach-policy --target "arn:aws:iot:us-west-2:123456789012:thinggroup/LightBulbs" --policy-name "myLightBulbPolicy"

DetachPolicy コマンドでは、出力が生成されません。

モノの静的グループにアタッチされているポリシーを一覧表示する

ListAttachedPolicies コマンドを使用すると、モノの静的グループにアタッチされたポリシーを一覧表示できます｡

$ aws iot list-attached-policies --target "arn:aws:iot:us-west-2:123456789012:thinggroup/RedLights"

--target パラメータは、モノのグループ ARN (上記に示す)、証明書の ARN または Amazon Cognito ID とすることができます。

オプションの --recursive パラメータを追加して、グループの親グループにアタッチされたすべてのポリシーを含めます。

ListAttachedPolicies コマンドは､ポリシーのリストを返します。

{
    "policies": [
        "MyLightBulbPolicy" 
        ...
    ]
}

ポリシーのグループを一覧表示する

ListTargetsForPolicy コマンドを使用して、ポリシーがアタッチされているすべてのグループを含むターゲットを一覧表示できます。

$ aws iot list-targets-for-policy --policy-name "MyLightBulbPolicy"

オプションの --page-size number パラメータを追加して返される結果の最大数を指定します｡該当する場合は､各クエリの後続の呼び出しで --marker string パラメータを追加して次の結果セットを取得します。

ListTargetsForPolicy コマンドは、より多くの結果を取得するために使用するターゲットとトークンのリストを返します。

{
    "nextMarker": "string",
    "targets": [ "string" ... ]
}

モノの有効なポリシーを取得する

GetEffectivePolicies コマンドを使用して、(グループが直接の親であるか間接的な祖先であるかにかかわらず) 所属するグループにアタッチされたポリシーを含め、モノで有効なポリシーを一覧表示できます｡

$ aws iot get-effective-policies \
  --thing-name "MyLightBulb" \
  --principal "arn:aws:iot:us-east-1:123456789012:cert/a0c01f5835079de0a7514643d68ef8414ab739a1e94ee4162977b02b12842847"

--principal パラメータを使用して、モノにアタッチされた証明書の ARN を指定します。Amazon Cognito ID 認証を使用している場合は、--cognito-identity-pool-id パラメータを使用し、オプションで --principal パラメータを追加して、特定の Amazon Cognito ID を指定します。--cognito-identity-pool-id のみを指定すると、認証されていないユーザーのアイデンティティプールのロールに関連付けられたポリシーが返されます。両方を使用すると、認証されたユーザーの ID プールのロールに関連付けられたポリシーが返されます。

この --thing-name パラメータはオプションで､--principal パラメータの代わりに使用できます。使用すると、そのモノが属するグループにアタッチされているポリシーと、これらのグループの親グループ (階層内のルートグループまで) にアタッチされているポリシーが返されます。

GetEffectivePolicies コマンドは､ポリシーのリストを返します。

{
    "effectivePolicies": [
        {
            "policyArn": "string",
            "policyDocument": "string",
            "policyName": "string"
        }
        ...
    ]
}

MQTT アクションテストの認可

TestAuthorization コマンドを使用して、あるモノに対して MQTT アクション (Publish、Subscribe) が許可されているかどうかをテストできます。

aws iot test-authorization \
    --principal "arn:aws:iot:us-east-1:123456789012:cert/a0c01f5835079de0a7514643d68ef8414ab739a1e94ee4162977b02b12842847" \
    --auth-infos "{\"actionType\": \"PUBLISH\", \"resources\": [ \"arn:aws:iot:us-east-1:123456789012:topic/my/topic\"]}"

--principal パラメータを使用して、モノにアタッチされた証明書の ARN を指定します。Amazon Cognito ID を使用している場合は、Cognito ID を --principal として指定するか、--cognito-identity-pool-id パラメータまたはその両方を使用します。--cognito-identity-pool-idだけを指定すると、認証されていないユーザーの ID のロールに関連付けられたポリシーが考慮されます。両方を使用すると、認証されたユーザーの ID プールのロールに関連付けられたポリシーが考慮されます。

--auth-infos パラメータの後にリソースおよびアクションタイプをリストすることによって、テストする 1 つ以上の MQTT アクションを指定します。この actionType フィールドには「PUBLISH」、「SUBSCRIBE」、「RECEIVE」、または「CONNECT」が含まれます｡ resources フィールドには、リソース ARN のリストが含まれている必要があります。詳細については、「AWS IoT Core ポリシー」を参照してください。

--policy-names-to-add パラメータを指定することで、ポリシーを追加する効果をテストできます。または、--policy-names-to-skip パラメータを使用してポリシーを削除する効果をテストできます。

オプションの --client-id パラメータを使用して、結果をさらに絞り込むこともできます。

TestAuthorization コマンドは、指定した --auth-infos クエリの各セットに対して許可または拒否されているアクションに関する詳細を返します。

{
    "authResults": [
        {
            "allowed": {
                "policies": [
                    {
                        "policyArn": "string",
                        "policyName": "string"
                    }
                ]
            },
            "authDecision": "string",
            "authInfo": {
                "actionType": "string",
                "resources": [ "string" ]
            },
            "denied": {
                "explicitDeny": {
                    "policies": [
                        {
                            "policyArn": "string",
                            "policyName": "string"
                        }
                    ]
                },
                "implicitDeny": {
                    "policies": [
                        {
                            "policyArn": "string",
                            "policyName": "string"
                        }
                    ]
                }
            },
            "missingContextValues": [ "string" ]
        }
    ]
}