Verbinden von Client-Geräten mit -Core-Geräten

Überprüfen Sie, ob die Greengrass-Servicerolle AWS IoT Greengrass für Ihr AWS-Konto in dieser Region zugeordnet ist. Gehen Sie wie folgt vor:

1. Navigieren Sie zur AWS IoT-Konsole.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Suchen Sie im Abschnitt Greengrass-Servicerolle nach Aktuelle Servicerolle, um zu sehen, ob eine Greengrass-Servicerolle zugeordnet ist.

   Wenn Ihnen eine Greengrass-Servicerolle zugeordnet ist, erfüllen Sie diese Anforderung für die Verwendung der IP-Detektorkomponente. Fahren Sie mit Konfigurieren der AWS IoT Objektrichtlinie fort.

Wenn die Greengrass-Servicerolle nicht mit AWS IoT Greengrass für Ihr AWS-Konto in dieser Region verknüpft ist, erstellen Sie eine Greengrass-Servicerolle und verknüpfen Sie sie. Gehen Sie wie folgt vor:

1. Navigieren Sie zur IAM-Konsole.

2. Wählen Sie Roles.

3. Wählen Sie Rolle erstellen aus.

4. Gehen Sie auf der Seite Rolle erstellen wie folgt vor:

   1. Wählen Sie unter Vertrauenswürdiger Entitätstyp ausAWS-Service.

   2. Wählen Sie unter Anwendungsfall , Anwendungsfälle für andere die AWS-ServicesOption Greengrass und dann Greengrass aus. Diese Option gibt an, dass AWS IoT Greengrass als vertrauenswürdige Entität hinzugefügt werden soll, die diese Rolle übernehmen kann.

   3. Wählen Sie Weiter aus.

   4. Wählen Sie unter Berechtigungsrichtlinien die aus, AWSGreengrassResourceAccessRolePolicy die an die Rolle angehängt werden soll.

   5. Wählen Sie Weiter aus.

   6. Geben Sie unter Rollenname einen Namen für die Rolle ein, z. B. Greengrass_ServiceRole.

   7. Wählen Sie Rolle erstellen aus.

5. Navigieren Sie zur AWS IoT-Konsole.

6. Wählen Sie im Navigationsbereich Settings (Einstellungen).

7. Wählen Sie im Abschnitt Greengrass-Servicerolle die Option Rolle anfügen aus.

8. Wählen Sie im Modal Greengrass-Servicerolle aktualisieren die von Ihnen erstellte IAM-Rolle aus und wählen Sie dann Rolle anfügen aus.

Überprüfen Sie, ob die Greengrass-Servicerolle AWS IoT Greengrass für Ihr AWS-Konto in dieser Region zugeordnet ist.

aws greengrassv2 get-service-role-for-account

Wenn die Greengrass-Servicerolle zugeordnet ist, gibt die Operation eine Antwort zurück, die Informationen über die Rolle enthält.

Wenn Ihnen eine Greengrass-Servicerolle zugeordnet ist, erfüllen Sie diese Anforderung für die Verwendung der IP-Detektorkomponente. Fahren Sie mit Konfigurieren der AWS IoT Objektrichtlinie fort.

Wenn die Greengrass-Servicerolle nicht mit AWS IoT Greengrass für Ihr AWS-Konto in dieser Region verknüpft ist, erstellen Sie eine Greengrass-Servicerolle und verknüpfen Sie sie. Gehen Sie wie folgt vor:

1. Erstellen Sie die Rolle mit einer Vertrauensrichtlinie, die AWS IoT Greengrass die Annahme der Rolle erlaubt. In diesem Beispiel wird eine Rolle namens Greengrass_ServiceRole erstellt, aber Sie können einen anderen Namen verwenden. Wir empfehlen Ihnen, auch die aws:SourceAccount globalen Bedingungskontextschlüssel aws:SourceArn und in Ihre Vertrauensrichtlinie aufzunehmen, um das Sicherheitsproblem des verwirrten Stellvertreters zu vermeiden. Die Bedingungskontextschlüssel schränken den Zugriff so ein, dass nur die Anforderungen zugelassen werden, die aus dem angegebenen Konto und dem Greengrass-Workspace stammen. Weitere Informationen zum Confused-Deputy-Problem finden Sie Vermeidung des Problems des verwirrten Stellvertreters (dienstübergreifend).

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Kopieren Sie den Rollen-ARN aus den Rollenmetadaten in der Ausgabe. Sie verknüpfen die Servicerolle mithilfe des ARN mit Ihrem Konto.

3. Fügen Sie der Rolle die AWSGreengrassResourceAccessRolePolicy-Richtlinie an.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Ordnen Sie die Greengrass-Servicerolle AWS IoT Greengrass Ihrem zuAWS-Konto. Ersetzen Sie role-arn durch den ARN der Servicerolle.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   Die Operation gibt die folgende Antwort zurück, wenn sie erfolgreich ist.

   {
     "associatedAt": "timestamp"
   }

Wählen Sie im Navigationsmenü der AWS IoT Greengrass Konsole die Option Core-Geräte aus.

Wählen Sie auf der Seite Core-Geräte das zu aktualisierende Core-Gerät aus.

Wählen Sie auf der Detailseite des Core-Geräts den Link zum Objekt des Core-Geräts aus. Dieser Link öffnet die Seite mit den Objektdetails in der -AWS IoTKonsole.

Wählen Sie auf der Seite mit den Objektdetails die Option Zertifikate aus.

Wählen Sie auf der Registerkarte Zertifikate das aktive Zertifikat des Objekts aus.

Wählen Sie auf der Seite mit den Zertifikatsdetails Richtlinien aus.

Wählen Sie auf der Registerkarte Richtlinien die zu überprüfende und zu aktualisierende AWS IoT Richtlinie aus. Sie können die erforderlichen Berechtigungen zu jeder Richtlinie hinzufügen, die dem aktiven Zertifikat des Core-Geräts angefügt ist.

Wählen Sie in der Richtlinienübersicht die Option Aktive Version bearbeiten aus.

Überprüfen Sie die Richtlinie auf die erforderlichen Berechtigungen und fügen Sie alle erforderlichen Berechtigungen hinzu, die fehlen.

(Optional) Damit das Core-Gerät Schatten mit synchronisieren kannAWS IoT Core, fügen Sie der Richtlinie die folgende Anweisung hinzu. Wenn Sie vorhaben, mit Client-Geräteschatten zu interagieren, sie aber nicht mit synchronisierenAWS IoT Core, überspringen Sie diesen Schritt. Ersetzen Sie region und account-id durch die von Ihnen verwendete Region und Ihre -AWS-KontoNummer.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Nachdem Sie diese Anweisung hinzugefügt haben, könnte das Richtliniendokument dem folgenden Beispiel ähneln.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Um eine neue Richtlinienversion als aktive Version festzulegen, wählen Sie unter Status der Richtlinienversion die Option Bearbeitene Version als aktive Version für diese Richtlinie festlegen aus.

Wählen Sie Als neue Version speichern aus.

Listen Sie die Prinzipale für das AWS IoT Objekt des Core-Geräts auf. Objektprinzipale können X.509-Gerätezertifikate oder andere Identifikatoren sein. Führen Sie den folgenden Befehl aus und ersetzen Sie MyGreengrassCore durch den Namen des Core-Geräts.

aws iot list-thing-principals --thing-name MyGreengrassCore

Der Vorgang gibt eine Antwort zurück, die die Objektprinzipale des Core-Geräts auflistet.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifizieren Sie das aktive Zertifikat des Core-Geräts. Führen Sie den folgenden Befehl aus und ersetzen Sie certificateId durch die ID jedes Zertifikats aus dem vorherigen Schritt, bis Sie das aktive Zertifikat finden. Die Zertifikat-ID ist die hexadezimale Zeichenfolge am Ende des Zertifikat-ARN. Das --query Argument gibt an, dass nur der Status des Zertifikats ausgegeben wird.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

Der Vorgang gibt den Zertifikatsstatus als Zeichenfolge zurück. Wenn das Zertifikat beispielsweise aktiv ist, gibt dieser Vorgang aus"ACTIVE".

Listen Sie die AWS IoT Richtlinien auf, die dem Zertifikat angefügt sind. Führen Sie den folgenden Befehl aus und ersetzen Sie den Zertifikat-ARN durch den ARN des Zertifikats.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

Der Vorgang gibt eine Antwort zurück, in der die AWS IoT Richtlinien aufgeführt sind, die dem Zertifikat angefügt sind.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Wählen Sie die anzuzeigende und zu aktualisierende Richtlinie aus.

Rufen Sie das Dokument der Richtlinie ab. Führen Sie den folgenden Befehl aus und ersetzen Sie GreengrassV2IoTThingPolicy durch den Namen der Richtlinie.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

Die Operation gibt eine Antwort zurück, die das Dokument der Richtlinie und andere Informationen über die Richtlinie enthält. Das Richtliniendokument ist ein JSON-Objekt, das als Zeichenfolge serialisiert wird.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Verwenden Sie einen Online-Konverter oder ein anderes Tool, um die Richtliniendokumentzeichenfolge in ein JSON-Objekt zu konvertieren, und speichern Sie sie dann in einer Datei mit dem Namen iot-policy.json.

Wenn Sie beispielsweise das Tool jq installiert haben, können Sie den folgenden Befehl ausführen, um das Richtliniendokument abzurufen, es in ein JSON-Objekt zu konvertieren und das Richtliniendokument als JSON-Objekt zu speichern.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Überprüfen Sie die Richtlinie auf die erforderlichen Berechtigungen und fügen Sie alle erforderlichen Berechtigungen hinzu, die fehlen.

Auf einem Linux-basierten System können Sie beispielsweise den folgenden Befehl ausführen, um GNU Nano zum Öffnen der Datei zu verwenden.

nano iot-policy.json

Speichern Sie die Änderungen als neue Version der Richtlinie. Führen Sie den folgenden Befehl aus und ersetzen Sie GreengrassV2IoTThingPolicy durch den Namen der Richtlinie.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

Die Operation gibt eine Antwort ähnlich dem folgenden Beispiel zurück, wenn sie erfolgreich ist.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}