As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Migrar AWS IoT Greengrass V2 dispositivos principais para dispositivos não root

Por padrão, AWS IoT Greengrass é executado como usuário root em dispositivos Linux. Você pode melhorar a postura de segurança de seus dispositivos migrando dispositivos AWS IoT Greengrass principais para serem executados como um usuário não root com apenas os recursos Linux necessários. AWS IoT Greengrass Você pode migrar um único dispositivo ou escalar a migração em uma frota.

Considerações

Considere o seguinte antes de migrar para o não-root:

Migre um único dispositivo

Esse procedimento de migração segue a abordagem descrita emSolução 3: configurar AWS IoT Greengrass V2 como não raiz com separação de usuários de componentes. Antes de começar, preencha os pré-requisitos desse tópico, incluindo a configuração sudoers que permite que o usuário não root execute componentes como usuários separados.

Use esse procedimento para migrar um único dispositivo antes de migrar sua frota.

Etapa 1: criar o usuário e o grupo não root

Conecte-se ao seu dispositivo e crie o usuário e o grupo do sistema que são AWS IoT Greengrass executados como. group-nameSubstitua user-name e pelos nomes que você deseja usar.

sudo groupadd --system group-name
sudo useradd --system --create-home --shell /sbin/nologin -g group-name user-name

Etapa 2: fazer backup da propriedade do arquivo

Pare AWS IoT Greengrass e salve a estrutura atual de propriedade do arquivo para que você possa restaurá-la se precisar revertê-la.

sudo systemctl stop greengrass.service
sudo mkdir -p /opt/greengrass-backup
sudo find /greengrass/v2 -exec stat -c 'chown %U:%G "%n"' {} \; | sudo tee /opt/greengrass-backup/restore_ownership.sh > /dev/null
sudo chmod 700 /opt/greengrass-backup/restore_ownership.sh

Etapa 3: alterar a propriedade do arquivo

Transfira a propriedade do AWS IoT Greengrass diretório para o usuário não root.

sudo chown -R user-name:group-name /greengrass/v2

Etapa 4: criar a substituição suspensa do systemd

Crie um diretório suspenso e um arquivo de configuração que instrua o systemd a ser executado AWS IoT Greengrass como usuário não root com os recursos necessários do Linux.

sudo mkdir -p /etc/systemd/system/greengrass.service.d

A migração usa um arquivo de substituição suspenso do systemd em. /etc/systemd/system/greengrass.service.d/10-nonroot.conf Uma substituição direta substitui as configurações no arquivo de serviço básico sem modificá-lo diretamente. Essa substituição configura o systemd para executar o AWS IoT Greengrass serviço como usuário não root com um conjunto limitado de recursos do Linux. A remoção do diretório drop-in faz com que o systemd reverta para o greengrass.service arquivo base, que é executado como root com a configuração original.

Crie o arquivo /etc/systemd/system/greengrass.service.d/10-nonroot.conf com o seguinte conteúdo:

[Service]
User=user-name
AmbientCapabilities=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/greengrass/v2 /tmp

Para obter informações sobre essas diretivas systemd e os recursos necessários, consulte. Solução 3: configurar AWS IoT Greengrass V2 como não raiz com separação de usuários de componentes

Etapa 5: Recarregue o systemd e inicie AWS IoT Greengrass

Execute os comandos a seguir para recarregar o daemon systemd e iniciá-lo. AWS IoT Greengrass

sudo systemctl daemon-reload
sudo systemctl start greengrass.service

Etapa 6: Verificar a migração

Confirme se AWS IoT Greengrass está sendo executado como usuário não root.

sudo systemctl status greengrass.service
ps -ef | grep greengrass

A saída mostra o usuário não root como proprietário do processo em vez deroot.

Em seguida, confirme se todos os componentes implantados estão em execução. Você deve implantar o aws.greengrass.Cli componente no dispositivo para executar esse comando.

sudo /greengrass/v2/bin/greengrass-cli component list

Cada componente deve relatar um State de RUNNING ouFINISHED. FINISHEDé o estado terminal esperado paraaws.greengrass.Nucleus. Investigue qualquer componente no ERRORED estado BROKEN ou antes de considerar a migração concluída.

Reverter um único dispositivo

Se você precisar restaurar AWS IoT Greengrass para executar como root, remova a substituição suspensa, restaure a propriedade do arquivo e reinicie. AWS IoT Greengrass

sudo systemctl stop greengrass.service
sudo rm -rf /etc/systemd/system/greengrass.service.d
sudo bash /opt/greengrass-backup/restore_ownership.sh
sudo systemctl daemon-reload
sudo systemctl start greengrass.service

Execute os comandos de verificação Etapa 6: Verificar a migração novamente para confirmar se AWS IoT Greengrass está sendo executado como root. O processo deve aparecer root como proprietário.

Depois de confirmar que a reversão foi bem-sucedida, você pode, opcionalmente, limpar os artefatos de migração:

Migre uma frota de dispositivos

Depois de verificar a migração em um único dispositivo, você pode escalar a migração em toda a sua frota. Escolha um dos seguintes métodos:

Use um personalizado AWS IoT Greengrass componente bootstrap

Você pode criar um AWS IoT Greengrass componente personalizado que automatiza as etapas de migração de um único dispositivo em toda a sua frota. Essa abordagem é independente e usa somente AWS IoT Greengrass implantações. Ele não requer ferramentas externas, como o Systems Manager.

O componente usa o ciclo de vida do Bootstrap com RequiresPrivilege set totrue, que executa o componente como raiz durante a implantação. O script de bootstrap executa as mesmas operações privilegiadas que o procedimento de dispositivo único:

Torne o componente idempotente para que as reimplantações não falhem se você já tiver migrado o dispositivo.

Depois que a implantação da migração for concluída, verifique se seus dispositivos estão sendo executados como usuário não root. Para obter mais informações, consulte Etapa 6: Verificar a migração. Você pode implantar um componente de verificação que verifica o usuário em execução e relata o resultado, ou monitorar o status da implantação no AWS IoT Greengrass console.

Configurar um mecanismo de reversão

Para restaurar a configuração raiz remotamente em toda a sua frota, seu componente de migração deve configurar um mecanismo de reversão. Uma abordagem é usar o systemd para monitorar um arquivo acionador. Essa abordagem requer os seguintes recursos do systemd:

Com esse mecanismo instalado, você pode reverter um dispositivo implantando um AWS IoT Greengrass componente simples que cria o arquivo acionador. A unidade de caminho systemd detecta o arquivo, executa o serviço de reversão como raiz e restaura AWS IoT Greengrass sua configuração raiz original.

Use AWS Systems Manager

Se você usar o Systems Manager para gerenciar seus dispositivos, poderá criar um documento SSM que automatize as etapas de migração de um único dispositivo. Como o SSM é executado de forma independente AWS IoT Greengrass, ele pode parar e reiniciar o AWS IoT Greengrass serviço diretamente sem reinicializar o dispositivo.

Seu documento SSM deve atender aos seguintes requisitos:

Para executar a migração em toda a sua frota, use o Systems Manager Run Command para executar o documento SSM em seus dispositivos usando tags ou grupos de recursos. Você pode monitorar o status de execução do comando no console do Systems Manager, que mostra o resultado de cada dispositivo de destino, incluindo quaisquer erros.

Para reverter, crie um documento SSM separado que interrompa AWS IoT Greengrass, remova a substituição imediata, restaure a propriedade original do arquivo, recarregue o daemon systemd e reinicie como root. AWS IoT Greengrass Execute este documento nos dispositivos que você precisa reverter.

Para obter mais informações sobre a execução de comandos em nós gerenciados, consulte Executando comandos usando o Systems Manager Run Command.