使用 AWS IoT 規則存取跨帳戶資源

使用帳戶 A IAM的使用者進行設定 AWS CLI。

建立信任 AWS IoT 規則引擎IAM的角色，並連接允許存取帳戶 B Amazon SQS佇列的政策。請參閱授予 AWS IoT 必要存取權 中的命令和政策文件範例。

若要建立連接至主題的規則，請執行create-topic-rule 命令 。

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

以下是承載檔案範例，其中包含規則，可將傳送至iot/test主題的所有訊息插入指定的 Amazon SQS佇列。SQL 陳述式會篩選訊息，而角色ARN會授予 AWS IoT 將訊息新增至 Amazon SQS佇列的許可。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sqs": {
				"queueUrl": "https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role",
				"useBase64": false
			}
		}
	]
}

如需如何在 AWS IoT 規則中定義 Amazon SQS動作的詳細資訊，請參閱AWS IoT 規則動作 - Amazon SQS。

使用帳戶 B IAM的使用者進行設定 AWS CLI。

若要將 Amazon SQS佇列資源的許可授予帳戶 A，請執行 add-permission 命令 。

aws sqs add-permission --queue-url https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue --label SendMessagesToMyQueue --aws-account-ids 1111-1111-1111 --actions SendMessage

使用帳戶 A IAM的使用者進行設定 AWS CLI。

建立信任 AWS IoT 規則引擎IAM的角色，並連接允許存取帳戶 B Amazon SNS主題的政策。如需命令和政策文件的範例，請參閱授予 AWS IoT 必要的存取 。

若要建立連接至主題的規則，請執行create-topic-rule 命令 。

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

以下是承載檔案範例，其中包含規則，可將傳送至iot/test主題的所有訊息插入指定的 Amazon SNS主題。SQL 陳述式會篩選訊息，而 角色會ARN授予 AWS IoT 許可，以將訊息傳送至 Amazon SNS主題。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sns": {
				"targetArn": "arn:aws:sns:region:2222-2222-2222:ExampleTopic",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

如需如何在 AWS IoT 規則中定義 Amazon SNS動作的詳細資訊，請參閱AWS IoT 規則動作 - Amazon SNS。

使用帳戶 B IAM的使用者進行設定 AWS CLI。

若要將 Amazon SNS主題資源的許可授予帳戶 A，請執行 add-permission 命令 。

aws sns add-permission --topic-arn arn:aws:sns:region:2222-2222-2222:ExampleTopic --label Publish-Permission --aws-account-id 1111-1111-1111 --action-name Publish

使用帳戶 A IAM的使用者進行設定 AWS CLI。

建立信任 AWS IoT 規則引擎並連接允許存取帳戶 B Amazon S3 儲存貯體的政策IAM的角色。如需命令和政策文件的範例，請參閱授予 AWS IoT 必要的存取 。

若要建立連接至目標 S3 儲存貯體的規則，請執行create-topic-rule 命令 。

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

下列為範例承載檔案，具有一個會將傳送至 iot/test 主題之所有訊息插入指定 Amazon S3 儲存貯體的規則。SQL 陳述式會篩選訊息，而 角色會ARN授予 AWS IoT 許可，以將訊息新增至 Amazon S3 儲存貯體。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"s3": {
				"bucketName": "amzn-s3-demo-bucket",
				"key": "${topic()}/${timestamp()}",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

如需如何在 AWS IoT 規則中定義 Amazon S3 動作的詳細資訊，請參閱AWS IoT 規則動作 - Amazon S3。

使用帳戶 B IAM的使用者進行設定 AWS CLI。

建立一個信任帳戶 A 之委託人的儲存貯體政策。

下列為範例承載檔案，其會定義信任另一個帳戶之委託人的儲存貯體政策。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AddCannedAcl",
			"Effect": "Allow",
			"Principal": {
				"AWS": [
					"arn:aws:iam::1111-1111-1111:root"
				]
			},
			"Action": "s3:PutObject",
			"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
		}
	]
}

如需詳細資訊，請參閱儲存貯體政策範例。

若要將儲存貯體政策連接至指定的儲存貯體，請執行put-bucket-policy 命令 。

aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://./amzn-s3-demo-bucket-policy.json

如要讓跨帳戶存取運作，請確定您具有正確的封鎖所有公有存取設定。如需詳細資訊，請參閱 Amazon S3 安全最佳實務。

使用帳戶 A IAM的使用者進行設定 AWS CLI。

執行 create-topic-rule 命令以建立規則，定義帳戶 B 的 Lambda 函數的跨帳戶存取。

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

下列為範例承載檔案，具有一個會將傳送至 iot/test 主題之所有訊息插入指定 Lambda 函數的規則。SQL 陳述式會篩選訊息，而角色ARN會授予 AWS IoT 許可，以將資料傳遞至 Lambda 函數。

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"lambda": {
				"functionArn": "arn:aws:lambda:region:2222-2222-2222:function:example-function"
			}
		}
	]
}

如需有關如何在 AWS IoT 規則中定義 AWS Lambda 動作的詳細資訊，請參閱AWS IoT 規則動作 - Lambda 。

使用帳戶 B IAM的使用者進行設定 AWS CLI。

執行 Lambda 的 add-permission 命令，以授予啟用 Lambda 函數的 AWS IoT 規則許可。若要執行下列命令，您的IAM使用者應具有 lambda:AddPermission 動作的許可。

aws lambda add-permission --function-name example-function --region us-east-1 --principal iot.amazonaws.com --source-arn arn:aws:iot:region:1111-1111-1111:rule/example-rule --source-account 1111-1111-1111 --statement-id "unique_id" --action "lambda:InvokeFunction"

選項：

--principal

此欄位授予 AWS IoT （由 代表iot.amazonaws.com） 呼叫 Lambda 函數的許可。

--source-arn

此欄位確認僅 AWS IoT 中的 arn:aws:iot:region:1111-1111-1111:rule/example-rule 會觸發此 Lambda 函數，且相同或不同帳戶中的任何其他規則皆無法啟動此 Lambda 函數。

--source-account

此欄位會確認 僅代表 1111-1111-1111帳戶 AWS IoT 啟用此 Lambda 函數。