运行 AWS IoT Greengrass 资格套件的先决条件

1. 创建一个 AWS 账户. 如果您已经有 AWS 账户，请跳至步骤 2。

2. 为配置权限IDT。

要注册 AWS 账户

1. 打开https://portal.aws.amazon.com/billing/注册。

2. 按照屏幕上的说明进行操作。

   在注册时，将接到一通电话，要求使用电话键盘输入一个验证码。

   当您注册时 AWS 账户，就会创建AWS 账户根用户一个。根用户有权访问该账户中的所有 AWS 服务 和资源。作为安全最佳实践，请为用户分配管理访问权限，并且只使用根用户来执行需要根用户访问权限的任务。

保护你的 AWS 账户根用户

1. 选择 Root 用户并输入您的 AWS 账户 电子邮件地址，以账户所有者的身份登录。AWS Management Console在下一页上，输入您的密码。

   要获取使用根用户登录方面的帮助，请参阅《AWS 登录 用户指南》中的以根用户身份登录。

2. 为您的 root 用户开启多重身份验证 (MFA)。

   有关说明，请参阅《用户指南》中的 “为 AWS 账户 root 用户（控制台）启用虚拟MFA设备” IAM。

创建具有管理访问权限的用户

1. 启用IAM身份中心。

   有关说明，请参阅《AWS IAM Identity Center 用户指南》中的启用 AWS IAM Identity Center。

2. 在 IAM Identity Center 中，向用户授予管理访问权限。

   有关使用 IAM Identity Center 目录 作为身份源的教程，请参阅《用户指南》 IAM Identity Center 目录中的使用默认设置配置AWS IAM Identity Center 用户访问权限。

以具有管理访问权限的用户身份登录

• 要使用您的 Ident IAM ity Center 用户登录URL，请使用您在创建 Ident IAM ity Center 用户时发送到您的电子邮件地址的登录信息。

  有关使用 Ident IAM ity Center 用户登录的帮助，请参阅《AWS 登录 用户指南》中的登录 AWS 访问门户。

将访问权限分配给其他用户

1. 在 IAM Identity Center 中，创建一个遵循应用最低权限权限的最佳实践的权限集。

   有关说明，请参阅《AWS IAM Identity Center 用户指南》中的创建权限集。

2. 将用户分配到一个组，然后为该组分配单点登录访问权限。

   有关说明，请参阅《AWS IAM Identity Center 用户指南》中的添加组。

配置IDT（控制台）的权限

按照以下步骤使用控制台IDT为配置权限 AWS IoT Greengrass。

1. 登录IAM控制台。

2. 创建客户托管策略，该策略授权创建具有特定权限的角色。

   1. 在导航窗格中，选择 策略，然后选择 创建策略。

   2. 在JSON选项卡上，将占位符内容替换为以下策略。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "ManageRolePoliciesForIDTGreengrass",
                  "Effect": "Allow",
                  "Action": [
                      "iam:DetachRolePolicy",
                      "iam:AttachRolePolicy"
                  ],
                  "Resource": [
                      "arn:aws:iam::*:role/idt-*",
                      "arn:aws:iam::*:role/GreengrassServiceRole"
                  ],
                  "Condition": {
                      "ArnEquals": {
                          "iam:PolicyARN": [
                              "arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy",
                              "arn:aws:iam::aws:policy/service-role/GreengrassOTAUpdateArtifactAccess",
                              "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
                          ]
                      }
                  }
              },
              {
                  "Sid": "ManageRolesForIDTGreengrass",
                  "Effect": "Allow",
                  "Action": [
                      "iam:CreateRole",
                      "iam:DeleteRole",
                      "iam:PassRole",
                      "iam:GetRole"
                  ],
                  "Resource": [
                      "arn:aws:iam::*:role/idt-*",
                      "arn:aws:iam::*:role/GreengrassServiceRole"
                  ]
              }
          ]
      }

      重要

      以下策略授予创建和管理所需角色IDT的权限 AWS IoT Greengrass。这包括附加以下 AWS 托管策略的权限：

      • AWSGreengrassResourceAccessRolePolicy

      • G reengrassOTAUpdate ArtifactAccess

      • AWSLambdaBasicExecutionRole

   3. 选择下一步：标签。

   4. 选择下一步：审核。

   5. 对于名称，请输入 IDTGreengrassIAMPermissions。在 Summary (摘要) 下，查看策略授予的权限。

   6. 选择创建策略。

3. 创建IAM用户并附加所需的权限 AWS IoT Greengrass。IDT

   1. 创建IAM用户。按照《用户指南》中创建IAM用户（控制台）中的步骤 1 到 5 进行IAM操作。

   2. 将权限附加到您的IAM用户：

      1. 在 设置权限 页面上，选择 直接附加现有策略。

      2. 搜索您在上一步中创建的IDTGreengrassIAMPermissions策略。选中复选框。

      3. 搜索AWSIoTDeviceTesterForGreengrassFullAccess政策。选中复选框。

         注意

         AWSIoTDeviceTesterForGreengrassFullAccess是一种 AWS 托管策略，它定义了创建和访问用于测试的 AWS 资源IDT所需的权限。有关更多信息，请参阅 AWSAWS IoT 设备测试器的托管策略。

   3. 选择下一步：标签。

   4. 选择 Next: Review (下一步：审核) 以查看您的选择摘要。

   5. 选择 创建用户。

   6. 要查看用户的访问密钥（访问密钥IDs和私有访问密钥），请选择密码和访问密钥旁边的显示。要保存访问密钥，请选择Download.csv (下载 .csv)，然后将文件保存到安全位置。稍后您可以使用此信息配置 AWS 凭证文件。

4. 下一步：配置物理设备。

配置 IDT (AWS CLI) 的权限

按照以下步骤 AWS CLI 使用配置IDT的权限 AWS IoT Greengrass。如果您已在控制台中配置权限，请跳转至 配置设备以运行 IDT 测试 或 可选：为适用于 AWS IoT Greengrass 的 IDT 配置 Docker 容器。

1. AWS CLI 如果尚未安装，请在您的计算机上进行安装和配置。按照《AWS Command Line Interface 用户指南》中安装 AWS CLI 的步骤来操作。

   注意

   AWS CLI 是一个开源工具，可用于通过命令行 shell 与 AWS 服务进行交互。

2. 创建授予管理和 AWS IoT Greengrass 角色权限的客户托管策略。IDT

   Linux, macOS, or Unix

   aws iam create-policy --policy-name IDTGreengrassIAMPermissions --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ManageRolePoliciesForIDTGreengrass",
               "Effect": "Allow",
               "Action": [
                   "iam:DetachRolePolicy",
                   "iam:AttachRolePolicy"
               ],
               "Resource": [
                   "arn:aws:iam::*:role/idt-*",
                   "arn:aws:iam::*:role/GreengrassServiceRole"
               ],
               "Condition": {
                   "ArnEquals": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy",
                           "arn:aws:iam::aws:policy/service-role/GreengrassOTAUpdateArtifactAccess",
                           "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
                       ]
                   }
               }
           },
           {
               "Sid": "ManageRolesForIDTGreengrass",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PassRole",
                   "iam:GetRole"
               ],
               "Resource": [
                   "arn:aws:iam::*:role/idt-*",
                   "arn:aws:iam::*:role/GreengrassServiceRole"
               ]
           }
       ]
   }'

   Windows command prompt

   aws iam create-policy --policy-name IDTGreengrassIAMPermissions --policy-document '{\"Version\": \"2012-10-17\", \"Statement\": [{\"Sid\": \"ManageRolePoliciesForIDTGreengrass\",\"Effect\": \"Allow\",\"Action\": [\"iam:DetachRolePolicy\", \"iam:AttachRolePolicy\"], \"Resource\": [\"arn:aws:iam::*:role/idt-*\",\"arn:aws:iam::*:role/GreengrassServiceRole\"],\"Condition\": {\"ArnEquals\": {\"iam:PolicyARN\": [\"arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy\",\"arn:aws:iam::aws:policy/service-role/GreengrassOTAUpdateArtifactAccess\",\"arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole\"]}}},{\"Sid\": \"ManageRolesForIDTGreengrass\",\"Effect\": \"Allow\",\"Action\": [\"iam:CreateRole\",\"iam:DeleteRole\", \"iam:PassRole\", \"iam:GetRole\"],\"Resource\": [\"arn:aws:iam::*:role/idt-*\",\"arn:aws:iam::*:role/GreengrassServiceRole\"]}]}'

   注意

   此步骤包括一个 Windows 命令提示符示例，因为它使用的JSON语法与 Linux、macOS 或 Unix 终端命令不同。

3. 创建IAM用户并附加所需的权限 AWS IoT Greengrass。IDT

   1. 创建IAM用户。在此示例设置中，用户被命名为 IDTGreengrassUser。

      aws iam create-user --user-name IDTGreengrassUser

   2. 将您在步骤 2 中创建的IDTGreengrassIAMPermissions策略附加到您的IAM用户。Replace（替换） <account-id> 在带有您的 ID 的命令中 AWS 账户。

      aws iam attach-user-policy --user-name IDTGreengrassUser --policy-arn arn:aws:iam::<account-id>:policy/IDTGreengrassIAMPermissions

   3. 将AWSIoTDeviceTesterForGreengrassFullAccess策略附加到您的IAM用户。

      aws iam attach-user-policy --user-name IDTGreengrassUser --policy-arn arn:aws:iam::aws:policy/AWSIoTDeviceTesterForGreengrassFullAccess

      注意

      AWSIoTDeviceTesterForGreengrassFullAccess是一种 AWS 托管策略，它定义了创建和访问用于测试的 AWS 资源IDT所需的权限。有关更多信息，请参阅 AWSAWS IoT 设备测试器的托管策略。

4. 为用户创建私密访问密钥。

   aws iam create-access-key --user-name IDTGreengrassUser

   将输出存储在安全位置。稍后您将使用此信息来配置您的 AWS 凭据文件。

5. 下一步：配置物理设备。