Conecte dispositivos cliente aos dispositivos principais

Verifique se o perfil de serviço do Greengrass está associado ao AWS IoT Greengrass para a sua Conta da AWS nesta região. Faça o seguinte:

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Na seção Perfil de serviço do Greengrass, encontre Perfil de serviço atual para ver se um perfil de serviço do Greengrass está associado.

   Se você tiver um perfil de serviço do Greengrass associado, você atende a esse requisito para usar o componente detector de IP. Vá para Configurar a política do objeto da AWS IoT.

Se o perfil de serviço do Greengrass não estiver associado ao AWS IoT Greengrass para a sua Conta da AWS nesta região, crie um perfil de serviço do Greengrass e associe-o. Faça o seguinte:

1. Navegue até o console do IAM.

2. Escolha Roles.

3. Selecione Criar função.

4. Na página Criar perfil, faça o seguinte:

   1. Em Tipo de entidade confiável, escolha AWS service (Serviço da AWS).

   2. Em Caso de uso, Casos de uso para outros Serviços da AWS, escolha Greengrass, selecione Greengrass. Essa opção especifica a adição do AWS IoT Greengrass como uma entidade confiável capaz de assumir esse perfil.

   3. Escolha Próximo.

   4. Em Políticas de permissões, selecione AWSGreengrassResourceAccessRolePolicy para anexar ao perfil.

   5. Escolha Próximo.

   6. Em Nome do perfil, insira um nome exclusivo para o perfil, como Greengrass_ServiceRole.

   7. Selecione Criar função.

5. Navegue até o console do AWS IoT.

6. No painel de navegação, selecione Configurações.

7. Na seção Perfil de serviço do Greengrass, escolha Anexar perfil.

8. No modal Atualizar perfil de serviço do Greengrass, selecione o perfil do IAM que você criou e escolha Anexar perfil.

Verifique se o perfil de serviço do Greengrass está associado ao AWS IoT Greengrass para a sua Conta da AWS nesta região.

aws greengrassv2 get-service-role-for-account

Se o perfil de serviço do Greengrass estiver associado, a operação retornará uma resposta que contém informações sobre o perfil.

Se você tiver um perfil de serviço do Greengrass associado, você atende a esse requisito para usar o componente detector de IP. Vá para Configurar a política do objeto da AWS IoT.

Se o perfil de serviço do Greengrass não estiver associado ao AWS IoT Greengrass para a sua Conta da AWS nesta região, crie um perfil de serviço do Greengrass e associe-o. Faça o seguinte:

1. Crie uma função com uma política de confiança que permita que o AWS IoT Greengrass assuma a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema confused deputy, consulte Prevenção do problema do substituto confuso entre serviços.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Associe o perfil de serviço do Greengrass ao AWS IoT Greengrass para a sua Conta da AWS. Substitua role-arn pelo ARN do perfil de serviço.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   Se for bem-sucedida, a operação retornará um resultado semelhante ao seguinte exemplo.

   {
     "associatedAt": "timestamp"
   }

No menu de navegação do console do AWS IoT Greengrass, selecione Dispositivos principais.

Na página Dispositivos principais, escolha o dispositivo principal a ser atualizado.

Na página de detalhes do dispositivo principal, escolha o link para o Objeto do dispositivo principal. Esse link abre a página de detalhes do objeto no console da AWS IoT.

Na página de detalhes do objeto, escolha Certificados.

Na guia Certificados, escolha o certificado ativo do objeto.

Na página de detalhes do certificado, escolha Políticas.

Na guia Políticas, selecione a política de AWS IoT a ser revisada e atualizada. É possível adicionar as permissões necessárias a toda política anexada ao certificado ativo do dispositivo principal.

Na visão geral da política, escolha Editar versão ativa.

Revise a política quanto às permissões necessárias e adicione as que estiverem faltando.

(Opcional) Para permitir que o dispositivo principal sincronize sombras com o AWS IoT Core, adicione a declaração a seguir à política. Se você planeja interagir com as sombras do dispositivo cliente, mas não sincronizá-las com o AWS IoT Core, pule esta etapa. Substitua region e account-id pela região que você usa e pelo número da sua Conta da AWS.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Depois de adicionar essa declaração, o documento de política será semelhante ao exemplo a seguir.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para definir uma nova versão da política como a versão ativa, em Status da versão da política, selecione Definir a versão editada como a versão ativa desta política.

Selecione Salvar como nova versão.

Liste os princípios básicos do objeto de AWS IoT do dispositivo principal. As entidades principais do objeto podem ser certificados de dispositivos X.509 ou outros identificadores. Execute o seguinte comando e substitua MyGreengrassCore pelo nome do dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

A operação retorna uma resposta que lista as entidades principais do objeto do dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique o certificado ativo do dispositivo principal. Execute o comando a seguir e substitua certificateID pelo ID de cada certificado da etapa anterior até encontrar o certificado ativo. O ID do certificado é a string hexadecimal no final do ARN do certificado. O argumento --query especifica a saída somente do status do certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

A operação retorna o status do certificado como uma string. Por exemplo, se o certificado estiver ativo, essa operação resulta "ACTIVE".

Lista as políticas de AWS IoT anexadas ao certificado. Execute o comando a seguir e substitua o ARN do certificado pelo outro.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

A operação retorna uma resposta que lista as políticas de AWS IoT anexadas ao certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Escolha a política a ser visualizada e atualizada.

Obtenha o documento da política. Execute o comando a seguir e substitua GreengrassV2IoTThingPolicy pelo nome da política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

A operação retorna uma resposta contendo o documento da política e outras informações sobre a política. O documento de política é um objeto JSON serializado como uma string.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Use um conversor on-line ou outra ferramenta para converter a string do documento de política em um objeto JSON e, em seguida, salve-a em um arquivo chamado iot-policy.json.

Por exemplo, se você tiver a ferramenta jq instalada, poderá executar o comando a seguir para ter o documento de política, convertê-lo em um objeto JSON e salvá-lo como um objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise a política quanto às permissões necessárias e adicione as que estiverem faltando.

Por exemplo, em um sistema baseado em Linux, você pode executar o comando a seguir para usar o GNU nano para abrir o arquivo.

nano iot-policy.json

Salve as alterações como uma nova versão da política. Execute o comando a seguir e substitua GreengrassV2IoTThingPolicy pelo nome da política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

A operação retornará uma resposta semelhante ao seguinte exemplo, se for bem-sucedida.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}