Greengrass-Servicerolle

1. AusAWS IoTKonsoleNavigationsbereich, wählen SieEinstellungenaus.

2. Scrollen Sie zum Abschnitt Greengrass service role (Greengrass-Servicerolle), um Ihre Servicerolle und deren Richtlinien anzuzeigen.

   Wenn Sie keine Servicerolle sehen, können Sie die Konsole eine für Sie erstellen oder konfigurieren lassen. Weitere Informationen finden Sie unter Erstellen der Greengrass-Servicerolle.

1. AusAWS IoTKonsoleNavigationsbereich, wählen SieEinstellungenaus.

2. UnderGreengrass-Servicerolle, wählenRolle ändernaus.

   DieAktualisieren der Greengrass-Servicerollewird geöffnet und zeigt die IAM-Rollen in IhremAWS-Kontodie definierenAWS IoT Greengrassals vertrauenswürdige Entität.

3. Wählen Sie die Greengrass-Servicerolle aus.

4. Klicken Sie auf-Rolle hinzufügenaus.

1. AusAWS IoTKonsoleNavigationsbereich, wählen SieEinstellungenaus.

2. UnderGreengrass-Servicerolle, wählenTrennen der Rolleaus.

3. Wählen Sie im Bestätigungsdialogfeld Trennen aus.

• Rufen Sie die Servicerolle ab. ErsetzenRegionmit IhremAWS-Region(z. B.us-west-2) enthalten.

  aws Greengrass get-service-role-for-account --region region

  Wenn Ihrem Konto bereits eine Greengrass-Servicerolle zugewiesen ist, werden die folgenden Rollenmetadaten zurückgegeben.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Werden keine Rollenmetadaten zurückgegeben, müssen Sie die Servicerolle erstellen (sofern sie noch nicht vorhanden ist) und Ihrem -Konto imAWS-Regionaus.

So erstellen Sie die Servicerolle mit IAM

1. Erstellen Sie die Rolle mit einer Vertrauensrichtlinie, die es AWS IoT Greengrass erlaubt, die Rolle anzunehmen. In diesem Beispiel wird eine Rolle namens Greengrass_ServiceRole erstellt, aber Sie können einen anderen Namen verwenden. Wir empfehlen Ihnen, auch dieaws:SourceArnundaws:SourceAccountGlobale -Bedingungskontextschlüssel in Ihrer Vertrauensrichtlinie, um dieconfused StellvertreterSicherheitsproblem. Die Bedingungskontextschlüssel schränken den Zugriff so ein, dass nur Anforderungen zugelassen werden, die vom angegebenen Konto und Greengrass-Arbeitsbereich kommen. Weitere Informationen über den „verwirrten Stellvertreter“ finden Sie unterVermeidung des Problems des verwirrten Stellvertreters (dienstübergreifend)aus.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. Kopieren Sie den Rollen-ARN aus den Rollenmetadaten in der Ausgabe. Sie verknüpfen die Servicerolle mithilfe des ARN mit Ihrem Konto.

3. Fügen Sie der Rolle die AWSGreengrassResourceAccessRolePolicy-Richtlinie an.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

So verknüpfen Sie die Servicerolle mit IhremAWS-Konto

• Weisen Sie die Rolle Ihrem Konto zu. ErsetzenRollen-ARNmit der Servicerolle ARN undRegionmit IhremAWS-Region(z. B.us-west-2) enthalten.

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  Bei erfolgreicher Durchführung wird die folgende Meldung zurückgegeben.

  {
    "AssociatedAt": "timestamp"
  }

• Haben Sie die Zuordnung der Servicerolle bei Ihrem Konto auf. ErsetzenRegionmit IhremAWS-Region(z. B.us-west-2) enthalten.

  aws greengrass disassociate-service-role-from-account --region region

  Bei erfolgreicher Durchführung wird die folgende Meldung zurückgegeben.

  {
    "DisassociatedAt": "timestamp"
  }

  Anmerkung

  Sie sollten die Servicerolle löschen, wenn Sie sie in keinerAWS-Regionaus. Verwenden Sie zuerst delete-role-policy, um die verwaltete AWSGreengrassResourceAccessRolePolicy-Richtlinie von der Rolle zu lösen, und verwenden Sie dann delete-role, um die Rolle zu löschen. Weitere Informationen zum Löschen von Rollen finden Sie unter Löschen von Rollen oder Instance-Profilen im IAM-Benutzerhandbuch.