將用戶端裝置連線至核心裝置

檢查 Greengrass 服務角色是否與您在此AWS 帳戶區域中AWS IoT Greengrass的相關聯。請執行下列操作：

1. 導覽至 AWS IoT主控台。

2. 在導覽窗格中，選擇設定。

3. 在 Greengrass 服務角色區段中，尋找目前的服務角色，以查看 Greengrass 服務角色是否已關聯。

   如果您有相關聯的 Greengrass 服務角色，則您符合使用 IP 偵測器元件的此需求。跳至 設定物AWS IoT件原則。

如果 Greengrass 服務角色與您AWS 帳戶在此區域中沒有AWS IoT Greengrass關聯，請建立 Greengrass 服務角色並將其關聯。請執行下列操作：

1. 導覽至 IAM 主控台。

2. 選擇角色。

3. 選擇建立角色。

4. 在 [建立角色] 頁面上，執行下列動作：

   1. 在 [信任的實體類型] 下，選擇AWS 服務。

   2. 在使用案例，其他用例下AWS 服務，選擇 Greengrass，選擇 Greengrass。此選項會指定新增AWS IoT Greengrass為可擔任此角色的受信任實體。

   3. 選擇下一步。

   4. 在 [權限原則] 下，選取AWSGreengrassResourceAccessRolePolicy要附加至角色的。

   5. 選擇下一步。

   6. 在角色名稱中，輸入角色的名稱，例如Greengrass_ServiceRole。

   7. 選擇建立角色。

5. 導覽至 AWS IoT主控台。

6. 在導覽窗格中，選擇設定。

7. 在 [Greengrass 服務角色] 區段中，選擇 [附加角色]。

8. 在 [更新 Greengrass 服務角色模式] 中，選取您建立的 IAM 角色，然後選擇 [連接角色]。

檢查 Greengrass 服務角色是否與您在此AWS 帳戶區域中AWS IoT Greengrass的相關聯。

aws greengrassv2 get-service-role-for-account

如果 Greengrass 服務角色相關聯，則作業會傳回包含角色相關資訊的回應。

如果您有相關聯的 Greengrass 服務角色，則您符合使用 IP 偵測器元件的此需求。跳至 設定物AWS IoT件原則。

如果 Greengrass 服務角色與您AWS 帳戶在此區域中沒有AWS IoT Greengrass關聯，請建立 Greengrass 服務角色並將其關聯。請執行下列操作：

1. 使用允許 AWS IoT Greengrass 擔任角色之信任政策的角色。此範例會建立名為 Greengrass_ServiceRole 的角色，但您可以使用不同的名稱。我們建議您也在信任原則中加入aws:SourceArn和aws:SourceAccount全域條件內容金鑰，以協助避免混淆的副安全性問題。條件內容索引鍵會限制存取權，只允許來自指定帳戶和 Greengrass 工作區的要求。如需有關混淆代理人問題的詳細資訊，請參閱 預防跨服務混淆代理人。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。

3. 將 AWSGreengrassResourceAccessRolePolicy 政策連接到角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. 將 Greengrass 服務角色與AWS IoT Greengrass您的. AWS 帳戶 將角色 arn 取代為服務角色的 ARN。

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   如果成功，作業會傳回下列回應。

   {
     "associatedAt": "timestamp"
   }

在AWS IoT Greengrass主控台瀏覽功能表中，選擇 [核心裝置]。

在 [核心裝置] 頁面上，選擇要更新的核心裝置。

在核心裝置詳細資料頁面上，選擇核心裝置物件的連結。此連結會在AWS IoT主控台中開啟物件詳細資訊頁面。

在物件詳細資訊頁面上，選擇 [憑證]。

在「憑證」索引標籤中，選擇物件的使用中憑證。

在憑證詳細資料頁面上，選擇 [原則]。

在「策略」索引標籤中，選擇要檢閱和更新的AWS IoT策略。您可以將必要的權限新增至任何附加至核心裝置作用中憑證的原則。

在策略概觀中，選擇編輯作用中的版本。

檢閱所需權限的原則，並新增任何遺失的必要權限。

(選擇性) 若要允許核心裝置與陰影同步處理AWS IoT Core，請將下列陳述式新增至原則。如果您打算與用戶端裝置陰影互動，但不與其同步AWS IoT Core，請略過此步驟。將地區和帳戶 ID 替換為您使用的地區和您的AWS 帳戶號碼。

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

在您新增這個陳述式之後，原則文件看起來可能會類似下列範例。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

若要將新的原則版本設定為作用中版本，請在 [原則版本狀態] 下選取 [將編輯的版本設定為此原則的作用中版本]。

選擇「另存為新版本」。

列出核心裝置物AWS IoT件的主體。物件主參與者可以是 X.509 裝置憑證或其他識別。執行下列命令，並MyGreengrassCore以核心裝置的名稱取代。

aws iot list-thing-principals --thing-name MyGreengrassCore

作業會傳回列出核心裝置物件主參與者的回應。

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

識別核心裝置的作用中憑證。執行下列命令，並將 certific ateId 取代為上一個步驟中每個憑證的 ID，直到找到作用中的憑證為止。憑證 ID 是位於憑證 ARN 結尾的十六進位字串。引--query數指定僅輸出憑證的狀態。

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

作業會以字串形式傳回憑證狀態。例如，如果憑證處於作用中狀態，則此作業會輸出"ACTIVE"。

列出附加至憑證的AWS IoT原則。執行下列命令，並以憑證的 ARN 取代憑證 ARN。

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

作業會傳回回應，列出附加至憑證的AWS IoT原則。

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

選擇要檢視和更新的原則。

取得政策的文件。執行下列命令，並以原則的名稱取代 GreenGrassv2IoT ThingPolicy。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

作業會傳回回應，其中包含原則的文件和其他有關原則的資訊。政策文件是序列化為字串的 JSON 物件。

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

使用線上轉換器或其他工具將原則文件字串轉換為 JSON 物件，然後將其儲存至名為的檔案iot-policy.json。

例如，如果您已安裝 jq 工具，您可以執行下列命令來取得原則文件、將其轉換為 JSON 物件，並將原則文件儲存為 JSON 物件。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

檢閱所需權限的原則，並新增任何遺失的必要權限。

例如，在 Linux 系統上，您可以執行下列命令來使用 GNU nano 來開啟檔案。

nano iot-policy.json

將變更儲存為策略的新版本。執行下列命令，並以原則的名稱取代 GreenGrassv2IoT ThingPolicy。

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

如果成功，作業會傳回類似下列範例的回應。

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}