将客户端设备连接到核心设备

检查 Greengrass 服务角色是否与您在此区域中的 AWS 账户的 AWS IoT Greengrass 相关联。执行以下操作：

1. 导航到 AWS IoT 控制台。

2. 在导航窗格中，选择 Settings（设置）。

3. 在 Greengrass 服务角色部分，找到当前服务角色以查看是否关联了 Greengrass 服务角色。

   如果您关联了 Greengrass 服务角色，则符合使用 IP 检测器组件的要求。跳至配置 AWS IoT 事物策略。

如果 Greengrass 服务角色没有与您在该区域的 AWS 账户的 AWS IoT Greengrass 关联，请创建一个 Greengrass 服务角色并进行关联。执行以下操作：

1. 导航到 IAM 控制台。

2. 选择角色。

3. 选择 Create role（创建角色）。

4. 在创建角色页面上，执行以下操作：

   1. 在可信实体类型下，选择 AWS 服务。

   2. 在使用案例、其他 AWS 服务使用案例下，选择 Greengrass，然后选择 Greengrass。此选项指定将 AWS IoT Greengrass 作为可信实体（可代入此角色）添加。

   3. 选择下一步。

   4. 在权限策略下，选择要附加到角色的 AWSGreengrassResourceAccessRolePolicy。

   5. 选择下一步。

   6. 在角色名称中，输入角色的名称，例如 Greengrass_ServiceRole。

   7. 选择 Create role（创建角色）。

5. 导航到 AWS IoT 控制台。

6. 在导航窗格中，选择 Settings（设置）。

7. 在 Greengrass 服务角色部分，选择附加角色。

8. 在更新 Greengrass 服务角色模式中，选择您创建的 IAM 角色，然后选择附加角色。

检查 Greengrass 服务角色是否与您在此区域中的 AWS 账户的 AWS IoT Greengrass 相关联。

aws greengrassv2 get-service-role-for-account

如果关联了 Greengrass 服务角色，则该操作会返回包含有关该角色的信息的响应。

如果您关联了 Greengrass 服务角色，则符合使用 IP 检测器组件的要求。跳至配置 AWS IoT 事物策略。

如果 Greengrass 服务角色没有与您在该区域的 AWS 账户的 AWS IoT Greengrass 关联，请创建一个 Greengrass 服务角色并进行关联。执行以下操作：

1. 使用允许 AWS IoT Greengrass 代入该角色的信任策略创建角色。此示例将创建一个名为 Greengrass_ServiceRole 的角色，但您也可以使用其他名称。我们建议您在信任策略中加入 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，以帮助防止出现混淆代理人安全问题。条件上下文键可限制访问权限，仅允许来自指定账户和 Greengrass 工作空间的请求。有关混淆代理人问题的更多信息，请参阅 防止跨服务混淆代理。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 从输出中的角色元数据复制角色 ARN。使用该 ARN 将角色与您的账户关联。

3. 将 AWSGreengrassResourceAccessRolePolicy 策略附加到该角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. 将 Greengrass 服务角色与您 AWS 账户的 AWS IoT Greengrass 关联 将 role-arn 替换为服务角色的 ARN。

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   如果操作成功，将返回以下响应。

   {
     "associatedAt": "timestamp"
   }

在 AWS IoT Greengrass 控制台导航菜单中，选择核心设备。

在核心设备页面上，选择要更新的核心设备。

在核心设备详细信息页面上，选择指向核心设备的事物的链接。此链接可打开 AWS IoT 控制台中的事物详细信息页面。

在“事物详细信息”页面上，选择证书。

在证书选项卡中，选择事物的有效证书。

在证书详细信息页面上，选择策略。

在策略选项卡中，选择要查看和更新的 AWS IoT 策略。您可以为附加到核心设备有效证书的任何策略添加所需权限。

在策略概述中，选择编辑活动版本。

查看策略以了解所需权限，然后添加缺失的所有必要权限。

（可选）要允许核心设备与 AWS IoT Core 同步影子，请在策略中添加以下语句。如果您计划与客户端设备影子交互，但不打算与 AWS IoT Core 同步影子，请跳过此步骤。将 region 和 account-id 分别替换为您使用的区域和您的 AWS 账户号码。

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

添加此语句后，策略文档可能看上去与以下示例相似。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

要将新的策略版本设置为活动版本，请在策略版本状态下，选择将编辑后的版本设置为该策略的活动版本。

选择另存为新版本。

列出核心设备的 AWS IoT 事物的主体。事物主体可以是 X.509 设备证书或其他标识。运行以下命令，然后将 MyGreengrassCore 替换为核心设备的名称。

aws iot list-thing-principals --thing-name MyGreengrassCore

该操作将返回一个响应，列出核心设备的事物主体。

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

识别核心设备的有效证书。运行以下命令，将 certificateId 替换为上一步中每个证书的 ID，直至找到有效证书。证书 ID 是证书 ARN 末尾的十六进制字符串。--query 参数用于指定仅输出证书的状态。

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

该操作以字符串形式返回证书状态。例如，如果证书有效，则此操作会输出 "ACTIVE"。

列出附加到证书的 AWS IoT 策略。运行以下命令，并将证书 ARN 替换为实际的证书 ARN。

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

此操作会返回一个响应，响应中会列出附加到证书的 AWS IoT 策略。

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

选择要查看和更新的策略。

获取策略的文档。运行以下命令，然后将 GreengrassV2IoTThingPolicy 替换为策略名称。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

该操作会返回一个响应，其中包含策略的文档和有关该策略的其他信息。策略文档是一个序列化为字符串的 JSON 对象。

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

使用在线转换器或其他工具将策略文档字符串转换为 JSON 对象，然后将其保存到名为 iot-policy.json 的文件中。

例如，如果您安装了 jq 工具，则可以运行以下命令来获取策略文档，将其转换为 JSON 对象，然后将策略文档另存为 JSON 对象。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

查看策略以了解所需权限，然后添加缺失的所有必要权限。

例如，在 Linux 系统上，您可以运行以下命令来使用 GNU nano 打开文件。

nano iot-policy.json

将更改保存为策略的新版本。运行以下命令，然后将 GreengrassV2IoTThingPolicy 替换为策略名称。

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

如果操作成功，它会返回与以下示例类似的响应。

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}