Greengrass 서비스 역할

1. AWS IoT 콘솔로 이동합니다.

2. 탐색 창에서 설정을 선택합니다.

3. Greengrass service role(Greengrass 서비스 역할) 섹션으로 스크롤하여 서비스 역할과 그 정책을 확인합니다.

   서비스 역할이 보이지 않는 경우 콘솔에서 자동으로 생성하거나 구성할 수 있습니다. 자세한 설명은 Greengrass 서비스 역할 생성 섹션을 참조하세요.

1. AWS IoT 콘솔로 이동합니다.

2. 탐색 창에서 설정을 선택합니다.

3. Greengrass 서비스 역할에서 역할 선택을 선택합니다.

   Greengrass 서비스 역할 업데이트 대화 상자가 열리고 AWS IoT Greengrass을(를) 신뢰할 수 있는 엔터티로 정의하는 AWS 계정의 IAM 역할이 표시됩니다.

4. 연결할 Greengrass 서비스 역할을 선택합니다.

5. 역할 연결을 선택합니다.

1. AWS IoT 콘솔로 이동합니다.

2. 탐색 창에서 설정을 선택합니다.

3. Greengrass 서비스 역할에서 분리를 선택합니다.

4. 확인 대화 상자에서 분리(Detach)를 선택합니다.

• 서비스 역할을 가져옵니다. 을 해당 AWS 리전 리전(예: us-west-2)으로 바꿉니다.

  aws greengrassv2 get-service-role-for-account --region region

  Greengrass 서비스 역할이 이미 계정에 연결되어 있는 경우 요청은 다음 역할 메타데이터를 반환합니다.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  요청에서 역할 메타데이터를 반환하지 않는 경우 서비스 역할을 만들고 (존재하지 않는 경우) 서비스 역할을 만들어 계정과 연결해야 합니다. AWS 리전

IAM을 사용하여 서비스 역할을 생성하려면

1. 이 역할을 수임하도록 허용하는 AWS IoT Greengrass 신뢰 정책으로 역할을 생성합니다. 이 예제에서는 Greengrass_ServiceRole라는 역할을 생성하지만, 다른 이름을 사용할 수 있습니다. 혼동된 대리자 보안 문제를 방지하려면 신뢰 정책에 aws:SourceArn 및 aws:SourceAccount 글로벌 조건 컨텍스트 키도 포함하는 것이 좋습니다. 조건 컨텍스트 키는 지정된 계정 및 Greengrass 작업 영역에서 들어오는 요청만 허용하도록 액세스를 제한합니다. 혼동된 대리자 문제에 대한 자세한 내용은, 교차 서비스 혼동된 대리자 예방를 참조하세요.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 출력의 역할 메타데이터에서 역할 ARN을 복사합니다. ARN을 사용하여 역할을 계정과 연결합니다.

3. AWSGreengrassResourceAccessRolePolicy 정책을 역할에 연결합니다.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

계정에 AWS 계정 서비스 역할을 연결하려면 다음을 수행합니다.

• 역할을 계정과 연결합니다. role-arn을 서비스 역할 ARN과 바꾸고 AWS 리전을 리전(예: us-west-2)과 바꿉니다.

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  요청이 성공하면 다음과 같은 응답이 반환됩니다.

  {
    "associatedAt": "timestamp"
  }

• 계정에서 서비스 역할의 연결을 해제합니다. AWS 리전을 해당 리전(예: us-west-2)으로 바꿉니다.

  aws greengrassv2 disassociate-service-role-from-account --region region

  성공하면 다음 응답이 반환됩니다.

  {
    "disassociatedAt": "timestamp"
  }

  참고

  AWS 리전에서 사용하지 않을 경우 서비스를 삭제해야 합니다. 먼저 delete-role-policy를 사용하여 역할에서 AWSGreengrassResourceAccessRolePolicy 관리형 정책을 연결 해제하고, delete-role을 사용하여 역할을 삭제합니다. 자세한 내용은 IAM 사용 설명서에서 역할 또는 인스턴스 프로필 삭제를 참조하세요.