Configure seu dispositivo para executar testes de IDT

• O usuário padrão do Greengrass (ggc_user).

• O usuário que você usa para se conectar ao dispositivo em teste. Você configura esse usuário no arquivo device.json.

Você deve atender aos seguintes requisitos para permitir que o IDT use o perfil do IAM personalizado. É altamente recomendável adicionar somente as ações de política mínimas necessárias a esse perfil.

• O arquivo de configuração userdata.json deve ser atualizado para definir o parâmetro GreengrassV2TokenExchangeRole como true.

• O perfil do IAM personalizado deve ser configurado com a seguinte política de confiança mínima:

  {
     "Version":"2012-10-17",
     "Statement":[
        {
           "Effect":"Allow",
           "Principal":{
              "Service":[
                 "credentials.iot.amazonaws.com",
                 "lambda.amazonaws.com", 
                 "sagemaker.amazonaws.com" 
              ]
           },
           "Action":"sts:AssumeRole"
        }
     ]
  }

• O perfil do IAM personalizado deve ser configurado com a seguinte política de permissões mínima:

  {
     "Version":"2012-10-17",
     "Statement":[
        {
           "Effect":"Allow",
           "Action":[
              "iot:DescribeCertificate",
              "logs:CreateLogGroup",
              "logs:CreateLogStream",
              "logs:PutLogEvents",
              "logs:DescribeLogStreams",
              "iot:Connect",
              "iot:Publish",
              "iot:Subscribe",
              "iot:Receive",
              "iot:ListThingPrincipals", 
              "iot:GetThingShadow",
              "iot:UpdateThingShadow",
              "s3:GetBucketLocation",
              "s3:GetObject",
              "s3:PutObject",
              "s3:AbortMultipartUpload",
              "s3:ListMultipartUploadParts"
           ],
           "Resource":"*"
        }
     ]
  }

• O nome do perfil do IAM personalizado deve corresponder ao recurso do perfil do IAM que você especifica nas permissões do IAM para o usuário de teste. Por padrão, a política de usuário de teste permite o acesso aos perfis do IAM que têm o prefixo idt- nos nomes de perfil. Se o nome do perfil do IAM não usar esse prefixo, adicione o recurso arn:aws:iam::*:role/custom-iam-role-name à instrução roleAliasResources e a instrução passRoleForResources na sua política de usuário de teste, conforme mostrado nos exemplos a seguir:

  exemplo Instrução passRoleForResources

  {
     "Sid":"passRoleForResources",
     "Effect":"Allow",
     "Action":"iam:PassRole",
     "Resource":"arn:aws:iam::*:role/custom-iam-role-name",
     "Condition":{
        "StringEquals":{
           "iam:PassedToService":[
              "iot.amazonaws.com",
              "lambda.amazonaws.com",
              "greengrass.amazonaws.com"
           ]
        }
     }
  }

  exemplo Instrução roleAliasResources

  {
     "Sid":"roleAliasResources",
     "Effect":"Allow",
     "Action":[
        "iot:CreateRoleAlias",
        "iot:DescribeRoleAlias",
        "iot:DeleteRoleAlias",
        "iot:TagResource",
        "iam:GetRole"
     ],
     "Resource":[
        "arn:aws:iot:*:*:rolealias/idt-*",
        "arn:aws:iam::*:role/custom-iam-role-name"
     ]
  }

• Docker Engine 1.9.1 ou versão posterior instalado no dispositivo principal do Greengrass. A versão 20.10 é a versão mais recente verificada para funcionar com o software AWS IoT Greengrass Core. É preciso instalar o Docker diretamente no dispositivo principal antes de implantar componentes que executam contêineres do Docker.

• O daemon do Docker foi iniciado e executado no dispositivo principal antes de você implantar esse componente.

• O usuário do sistema que executa um componente de contêiner do Docker deve ter permissões de raiz ou administrador, ou você deve configurar o Docker para executá-lo como usuário não raiz ou não administrador.

  • Em dispositivos Linux, você pode adicionar um usuário ao grupo docker para chamar os comandos docker sem sudo.

  • Em dispositivos Windows, é possível adicionar um usuário ao grupo docker-users para chamar comandos do docker sem privilégios de administrador.

  Linux or Unix

  Para adicionar ggc_user ou o usuário não raiz que você usa para executar componentes de contêiner do Docker ao grupo de docker, execute o seguinte comando.

  sudo usermod -aG docker ggc_user

  Para obter mais informações, consulte Gerenciar o Docker como um usuário não raiz.

  Windows Command Prompt (CMD)

  Para adicionar ggc_user ou o usuário que você usa para executar componentes de contêiner do Docker ao grupo de docker-users, execute o seguinte comando como administrador.

  net localgroup docker-users ggc_user /add

  Windows PowerShell

  Para adicionar ggc_user ou o usuário que você usa para executar componentes de contêiner do Docker ao grupo de docker-users, execute o seguinte comando como administrador.

  Add-LocalGroupMember -Group docker-users -Member ggc_user

• Nos dispositivos principais do Greengrass que executam o Amazon Linux 2 ou o Ubuntu 18.04, a Biblioteca do GNU C (glibc) versão 2.27 ou posterior está instalada no dispositivo.

• Em dispositivos Armv7l, como o Raspberry Pi, as dependências do OpenCV-Python estão instaladas no dispositivo. Execute o seguinte comando para instalar as dependências.

  sudo apt-get install libopenjp2-7 libilmbase23 libopenexr-dev libavcodec-dev libavformat-dev libswscale-dev libv4l-dev libgtk-3-0 libwebp-dev

• Os dispositivos Raspberry Pi que executam o Raspberry Pi OS Bullseye devem atender aos seguintes requisitos:

  • NumPy 1.22.4 ou superior instalado no dispositivo. O Raspberry Pi OS Bullseye inclui uma versão anterior do NumPy, portanto você pode executar o comando a seguir para atualizar o NumPy no dispositivo.

    pip3 install --upgrade numpy

  • A pilha de câmeras antiga habilitada no dispositivo. O Raspberry Pi OS Bullseye inclui uma nova pilha de câmeras que está habilitada por padrão e não é compatível, portanto você precisa habilitar a pilha de câmeras antiga.

    Para habilitar a pilha de câmeras antiga

    1. Execute o comando abaixo para abrir a ferramenta de configuração do Raspberry Pi.

       sudo raspi-config

    2. Selecione Opções de interface.

    3. Selecione Câmera antiga para habilitar a pilha de câmeras antiga.

    4. Reinicie o Raspberry Pi.