AWS IoT Greengrass Version 1 entró en la fase de vida útil prolongada el 30 de junio de 2023. Para obtener más información, consulte la política de mantenimiento de AWS IoT Greengrass V1 Después de esta fecha, AWS IoT Greengrass V1 no se publicarán actualizaciones que proporcionen funciones, mejoras, correcciones de errores o parches de seguridad. Los dispositivos que se ejecuten AWS IoT Greengrass V1 no se verán afectados y seguirán funcionando y conectándose a la nube. Le recomendamos encarecidamente que migre a AWS IoT Greengrass Version 2, ya que añade importantes funciones nuevas y es compatible con plataformas adicionales.
Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Control de la ejecución de funciones de Lambda de Greengrass utilizando la configuración específica del grupo
AWS IoT Greengrass proporciona una gestión basada en la nube de las funciones de Greengrass Lambda. Aunque el código y las dependencias de una función Lambda se administran mediante AWS Lambda, puede configurar el comportamiento de la función Lambda cuando se ejecuta en un grupo de Greengrass.
Configuración específica del grupo
AWS IoT Greengrass proporciona los siguientes ajustes de configuración específicos de grupo para las funciones Lambda de Greengrass.
- Usuario del sistema y grupo
La identidad de acceso que se utiliza para ejecutar una función de Lambda. De forma predeterminada, las funciones de Lambda se ejecutan como la identidad de acceso predeterminada del grupo. Por lo general, son las cuentas del sistema AWS IoT Greengrass estándar (ggc_user y ggc_group). Puede cambiar la configuración y elegir el ID de usuario y el ID de grupo con los permisos necesarios para ejecutar la función de Lambda. Puede anular tanto UID como GID o uno solo si deja el otro campo en blanco. Esta configuración le ofrece un control más detallado sobre el acceso a recursos de dispositivos. Le recomendamos que configure su hardware de Greengrass con los límites de recursos adecuados, permisos de archivos y cuotas de disco para los usuarios y grupos cuyos permisos se utilizan para la ejecución de funciones de Lambda.
Esta función está disponible para AWS IoT Greengrass Core v1.7 y versiones posteriores.
importante
Se recomienda evitar la ejecución de funciones de Lambda como raíz a menos que sea absolutamente necesario. Si se ejecuta como raíz, se incrementan los siguientes riesgos:
-
El riesgo de cambios no intencionados, como la eliminación accidental de un archivo crítico.
-
El riesgo que representan personas malintencionadas para sus datos y dispositivos.
-
El riesgo de que un contenedor se escape cuando los contenedores de Docker funcionan con
--net=hostyUID=EUID=0.
Si necesita ejecutarla como root, debe actualizar la AWS IoT Greengrass configuración para habilitarla. Para obtener más información, consulte Ejecución de una función de Lambda como raíz.
- ID de usuario del sistema (número)
-
El ID de usuario para el usuario que tiene los permisos necesarios para ejecutar la función de Lambda. Esta opción solo está disponible si elige Ejecutar como otro ID de usuario/ID de grupo. Puede usar el getent passwd comando en su dispositivo AWS IoT Greengrass principal para buscar el ID de usuario que desea usar para ejecutar la función Lambda.
Si usa el mismo ID para ejecutar los procesos y la función de Lambda en un dispositivo de Greengrass core, su rol de grupo de Greengrass puede otorgar credenciales temporales para los procesos. Los procesos pueden usar las credenciales temporales en todas las implementaciones de Greengrass core.
- ID de grupo del sistema (número)
-
El ID de grupo para el grupo que tiene los permisos necesarios para ejecutar la función de Lambda. Esta opción solo está disponible si elige Ejecutar como otro ID de usuario/ID de grupo. Puede usar el getent group comando en su dispositivo AWS IoT Greengrass principal para buscar el ID de grupo que desea usar para ejecutar la función Lambda.
-
- Creación de contenedores de funciones de Lambda
-
Elija si la función de Lambda se ejecuta con la creación de contenedores predeterminada para el grupo o especifique la creación de contenedores que se debe utilizar siempre para esta función de Lambda.
El modo de creación de contenedores de una función de Lambda determina su nivel de aislamiento.
-
Las funciones de Lambda en contenedor se ejecutan en el modo Contenedor de Greengrass. La función Lambda se ejecuta en un entorno de ejecución aislado (o espacio de nombres) dentro del contenedor. AWS IoT Greengrass
-
Las funciones de Lambda que no están en un contenedor se ejecutan en el modo Sin contenedor. Las funciones de Lambda se ejecutan como un proceso normal de Linux sin ningún tipo de aislamiento.
Esta función está disponible para AWS IoT Greengrass Core v1.7 y versiones posteriores.
Le recomendamos que ejecute las funciones de Lambda en un contenedor de Greengrass a menos que su caso de uso requiera la ejecución sin creación de contenedores. Cuando las funciones de Lambda se ejecutan en un contenedor de Greengrass, puede utilizar recursos de dispositivos locales asociados, así como disfrutar de los beneficios del aislamiento y de una mayor seguridad. Antes de cambiar la creación de contenedores, consulte Consideraciones a la hora de elegir la creación de contenedores de la función de Lambda..
nota
Para la ejecución sin habilitar su espacio de nombres de kernel de dispositivo ni el grupo de control, todas las funciones de Lambda se deben ejecutar sin creación de contenedores. Puede conseguirlo fácilmente configurando la creación de contenedores predeterminada para el grupo. Para obtener más información, consulte Configuración de la creación de contenedores predeterminada para funciones de Lambda de un grupo.
-
- Memory limit (Límite de memoria)
-
Asignación de memoria para la función. El valor predeterminado es 16 MB.
nota
La configuración del límite de memoria se descarta al cambiar la función de Lambda para ejecución sin creación de contenedores. Las funciones de Lambda que se ejecutan sin creación de contenedores no tienen límite de memoria. La configuración del límite de memoria se descarta al cambiar la función de Lambda o la configuración de la creación de contenedores predeterminada del grupo para ejecutarse sin creación de contenedores.
- Timeout (Tiempo de espera)
-
La cantidad de tiempo antes de que se termine la función o solicitud. El valor predeterminado es de 3 segundos.
- Anclado
-
El ciclo de vida de una función de Lambda puede ser bajo demanda o de larga duración. El valor predeterminado es bajo demanda.
Una función de Lambda bajo demanda se inicia en un contenedor nuevo o reutilizado cuando se invoca. Las solicitudes a la función puede ser procesados por cualquier contenedor disponible. Una función Lambda de larga duración (o anclada) se inicia automáticamente después del inicio y sigue ejecutándose en su AWS IoT Greengrass propio contenedor (o entorno de pruebas). Todas las solicitudes a la función se procesan en el mismo contenedor. Para obtener más información, consulte Configuración del ciclo de vida de las funciones de Lambda de Greengrass.
- Read access to /sys directory (Acceso de lectura al directorio /sys)
-
Si la función puede acceder al host». s /sys folder. Use this when the function must read device information from /sys El valor predeterminado es false.
nota
Esta configuración no está disponible cuando se ejecuta de una función de Lambda sin creación de contenedores. El valor de esta configuración se descarta al cambiar la función de Lambda para que se ejecute sin contenedores.
- Tipo de codificación
-
El tipo de codificación esperado de la carga de entrada de la función, JSON o binaria. El valor predeterminado es JSON.
Support para el tipo de codificación binaria está disponible a partir de AWS IoT Greengrass Core Software v1.5.0 y AWS IoT Greengrass Core SDK v1.1.0. Aceptar datos de entrada binarios puede ser útil para funciones que interactúan con datos de los dispositivos, ya que las limitadas capacidades de hardware de estos a menudo hacen que sea difícil o imposible construir un tipo de datos JSON.
nota
Los Ejecutables de Lambda solo admiten el tipo de codificación binaria (no JSON).
- Argumentos del proceso
-
Los argumentos de línea de comandos para pasar a la función de Lambda cuando se ejecuta.
- Variables de entorno
-
Pares clave-valor que pueden pasar ajustes de forma dinámica al código y bibliotecas de la función. Las variables de entorno local funcionan de la misma forma que las variables de entorno de las funciones de AWS Lambda, pero están disponibles en el entorno de núcleo.
- Políticas de acceso a recursos
-
Una lista de hasta 10 recursos locales, recursos secretos y recursos de machine learning a los que puede acceder la función de Lambda y los correspondientes permisos
read-onlyoread-write. En la consola, estos recursos afiliados aparecen en la página de configuración del grupo, en la pestaña Recursos.El modo de creación de contenedores afecta a la forma en que las funciones de Lambda pueden acceder a los recursos de volumen y dispositivos locales y a los recursos de machine learning.
-
Las funciones de Lambda que no están en un contenedor deben acceder directamente a los recursos de volumen y dispositivos locales a través del sistema de archivos del dispositivo central.
-
Para permitir que las funciones de Lambda que no están en un contenedor tengan acceso a los recursos de machine learning del grupo de Greengrass, debe establecer las propiedades de permisos de acceso y de propietario del recurso en el recurso de machine learning. Para obtener más información, consulte Acceso a recursos de machine learning desde funciones de Lamba.
-
Para obtener información sobre el uso de la AWS IoT Greengrass API para establecer valores de configuración específicos de grupo para las funciones Lambda definidas por el usuario, CreateFunctionDefinitionconsulte la Referencia de AWS IoT Greengrass Version 1 la API create-function-definitiono la Referencia de comandos.AWS CLI Para implementar funciones de Lambda en un núcleo de Greengrass, cree una versión de definición de función que contenga sus funciones, cree una versión de grupo que haga referencia a la versión de definición de función y a otros componentes del grupo y, a continuación, implemente el grupo.
Ejecución de una función de Lambda como raíz
Esta función está disponible para AWS IoT Greengrass Core v1.7 y versiones posteriores.
Antes de poder ejecutar una o más funciones de Lambda como root, primero debe actualizar la AWS IoT Greengrass configuración para habilitar el soporte. El soporte para ejecutar funciones de Lambda como raíz está desactivado de forma predeterminada. La implementación falla si intenta implementar una función Lambda y ejecutarla como root (UID y GID de 0) y no ha actualizado la configuración. AWS IoT Greengrass En el registro de tiempo de ejecución (greengrass_root/ggc/var/log/system/runtime.log) aparece un error como el siguiente:
lambda(s)
[list of function arns] are configured to run as root while Greengrass is not configured to run lambdas with root permissionsimportante
Se recomienda evitar la ejecución de funciones de Lambda como raíz a menos que sea absolutamente necesario. Si se ejecuta como raíz, se incrementan los siguientes riesgos:
-
El riesgo de cambios no intencionados, como la eliminación accidental de un archivo crítico.
-
El riesgo que representan personas malintencionadas para sus datos y dispositivos.
-
El riesgo de que un contenedor se escape cuando los contenedores de Docker funcionan con
--net=hostyUID=EUID=0.
Para permitir que las funciones de Lambda se ejecuten como raíz
En tu AWS IoT Greengrass dispositivo, navega hasta la carpeta
greengrass-root/config.nota
De forma predeterminada,
greengrass-rootes el directorio /greengrass.Modifique el archivo config.json para añadir
"allowFunctionsToRunAsRoot" : "yes"al camporuntime. Por ejemplo:{ "coreThing" : { ... }, "runtime" : { ... "allowFunctionsToRunAsRoot" : "yes" }, ... }Utilice los siguientes comandos para reiniciar: AWS IoT Greengrass
cd /greengrass/ggc/core sudo ./greengrassd restartAhora puede establecer el ID de usuario y el ID de grupo (UID/GID) de las funciones de Lambda en 0 para ejecutar la función de Lambda como raíz.
Puede cambiar el valor de "allowFunctionsToRunAsRoot" a "no" y reiniciar AWS IoT Greengrass si quiere impedir que las funciones de Lambda se ejecuten como root.
Consideraciones a la hora de elegir la creación de contenedores de la función de Lambda.
Esta función está disponible para AWS IoT Greengrass Core v1.7 y versiones posteriores.
De forma predeterminada, las funciones de Lambda se ejecutan dentro de un AWS IoT Greengrass contenedor. Dicho contenedor proporciona aislamiento entre las funciones y el host, lo que brinda mayor seguridad tanto al host como a las funciones del contenedor.
Le recomendamos que ejecute las funciones de Lambda en un contenedor de Greengrass a menos que su caso de uso requiera la ejecución sin creación de contenedores. Al ejecutar las funciones de Lambda en un contenedor Greengrass, tiene más control sobre la restricción de acceso a los recursos.
A continuación, se muestran algunos casos de uso de ejemplo para la ejecución sin creación de contenedores:
Desea ejecutarlas AWS IoT Greengrass en un dispositivo que no admita el modo contenedor (por ejemplo, porque utiliza una distribución especial de Linux o tiene una versión del núcleo demasiado antigua).
Desea ejecutar su función de Lambda en otro entorno de contenedor con su propio OverlayFS, pero detecta conflictos de OverlayFS cuando la ejecuta en un contenedor de Greengrass.
Necesita acceso a recursos locales con rutas que no se pueden determinar en el momento de la implementación o cuyas rutas pueden cambiar tras la implementación, como en el caso de algunos dispositivos conectables.
Tiene una aplicación heredada que se ha escrito como un proceso y ha detectado problemas cuando se ejecuta como una función de Lambda en un contenedor.
| Creación de contenedores | Notas |
|---|---|
Contenedor de Greengrass |
|
Sin contenedor |
|
nota
La configuración de creación de contenedores predeterminada para el grupo Greengrass no se aplica a los conectores.
El cambio de la creación de contenedores para una función de Lambda puede provocar problemas durante la implementación. Si había asignado recursos locales a la función de Lambda que ya no están disponibles con la nueva configuración de creación de contenedores, la implementación genera un error.
Cuando se cambia una función de Lambda de ejecución en un contenedor de Greengrass a ejecución sin creación de contenedores, se descartan los límites de memoria de la función. Debe acceder al sistema de archivos directamente en lugar de utilizar los recursos locales asociados. Debe eliminar los recursos asociados antes de la implementación.
Al cambiar una función de Lambda de la ejecución sin creación de contenedores a la ejecución en un contenedor, la función de Lambda pierde el acceso directo al sistema de archivos. Debe definir un límite de memoria para cada función de o aceptar la opción predeterminada de 16 MB. Puede establecer esta configuración para cada función de Lambda antes de la implementación.
Para cambiar la configuración de creación de contenedores para una función de Lambda
En el panel de navegación de la AWS IoT consola, en Administrar, expanda los dispositivos Greengrass y, a continuación, elija Grupos (V1).
-
Elija el grupo que contiene la función de Lambda cuya configuración desea cambiar.
-
Elija la pestaña de Funciones de Lambda.
-
En la función de Lambda que desee cambiar, elija los puntos suspensivos (…) y, a continuación, elija Editar configuración.
-
Cambiar la configuración de creación de contenedores. Si configura la función de Lambda para que se ejecute en un contenedor de Greengrass, también deberá configurar las propiedades Límite de memoria y Acceso de lectura al directorio /sys.
-
Seleccione Guardar y, a continuación, Confirmar para guardar los cambios en la función de Lambda.
Los cambios surten efecto cuando el grupo se implementa.
También puede usar CreateFunctionDefinitiony CreateFunctionDefinitionVersionen la referencia de la AWS IoT Greengrass API. Si va a cambiar la configuración de creación de contenedores, asegúrese de actualizar los demás parámetros también. Por ejemplo, si va a cambiar entre la ejecución de una función de Lambda en un contenedor de Greengrass a la ejecución sin creación de contenedores, asegúrese de borrar el parámetro MemorySize.
Determinación de los modos de aislamiento admitidos en el dispositivo de Greengrass
Puede usar el comprobador de AWS IoT Greengrass dependencias para determinar qué modos de aislamiento (contenedor Greengrass o no contenedor) admite su dispositivo Greengrass.
Para ejecutar el comprobador de dependencias AWS IoT Greengrass
Descargue y ejecute el comprobador AWS IoT Greengrass de dependencias desde el GitHub repositorio.
wget https://github.com/aws-samples/aws-greengrass-samples/raw/master/greengrass-dependency-checker-GGCv1.11.x.zip unzip greengrass-dependency-checker-GGCv1.11.x.zip cd greengrass-dependency-checker-GGCv1.11.x sudo modprobe configs sudo ./check_ggc_dependencies | moreSi aparece
more, pulse la tecla Spacebar para mostrar otra página de texto.
Para obtener más información acerca del comando modprobe, ejecute man modprobe en el terminal.
Configuración de la identidad de acceso predeterminada para las funciones de Lambda de un grupo
Esta función está disponible para AWS IoT Greengrass Core v1.8 y versiones posteriores.
Para tener un mayor control sobre el acceso a los recursos del dispositivo, puede configurar la identidad de acceso predeterminada que se utiliza para ejecutar funciones de Lambda en el grupo. Esta configuración determina los permisos predeterminados que se han asignado a sus funciones de Lambda cuando se ejecutan en el dispositivo central. Para invalidar la configuración de las distintas funciones del grupo, puede utilizar la propiedad Run as (Ejecutar como) de la función. Para obtener más información, consulte Ejecutar como.
Esta configuración a nivel de grupo también se usa para ejecutar el software Core subyacente AWS IoT Greengrass . Se compone de funciones de Lambda del sistema que administran operaciones, como el redireccionamiento de mensajes, la sincronización de instantáneas locales y la detección automática de direcciones IP.
La identidad de acceso predeterminada se puede configurar para que se ejecute como las cuentas del AWS IoT Greengrass sistema estándar (ggc_user y ggc_group) o para que utilice los permisos de otro usuario o grupo. Le recomendamos que configure su hardware de Greengrass con los límites de recursos, permisos de archivos y cuotas de disco adecuados para los usuarios y grupos cuyos permisos se utilizan para la ejecución de funciones de Lambda del sistema o definidas por el usuario.
Para modificar la identidad de acceso predeterminada de su grupo AWS IoT Greengrass
En el panel de navegación de la AWS IoT consola, en Administrar, expanda los dispositivos Greengrass y, a continuación, elija Grupos (V1).
Elija el grupo cuya configuración desea cambiar.
-
Seleccione la pestaña Funciones de Lambda y, en la sección Entorno de tiempo de ejecución de las funciones de Lambda predeterminado, seleccione Editar.
-
En la página de Editar el entorno del tiempo de ejecución predeterminado de la función de Lambda para Usuario y grupo del sistema predeterminados, elija Otro ID de usuario o grupo.
Al elegir esta opción, se muestran los campos System user D (number) y System group ID (number).
Escriba un ID de usuario, un ID de grupo o ambos. Si deja un campo en blanco, se utiliza la cuenta del sistema de Greengrass correspondiente (ggc_user o ggc_group).
-
En ID del usuario del sistema (número), especifique el ID del usuario que tiene los permisos que desea utilizar de forma predeterminada para ejecutar funciones de Lambda en el grupo. Puede utilizar el comando getent passwd en el dispositivo de AWS IoT Greengrass para buscar el ID de usuario.
-
En ID del grupo del sistema (número), especifique el ID del grupo que tiene los permisos que desea utilizar de forma predeterminada para ejecutar funciones de Lambda en el grupo. Puede utilizar el comando getent group en el dispositivo de AWS IoT Greengrass para buscar el ID de grupo.
importante
La ejecución como usuario raíz aumenta los riesgos en los datos y el dispositivo. No realice ejecuciones como usuario raíz (UID/GID=0) a menos que su caso de negocio lo requiera. Para obtener más información, consulte Ejecución de una función de Lambda como raíz.
-
Los cambios surten efecto cuando el grupo se implementa.
Configuración de la creación de contenedores predeterminada para funciones de Lambda de un grupo
Esta función está disponible para AWS IoT Greengrass Core v1.7 y versiones posteriores.
La configuración de creación de contenedores de un grupo de Greengrass determina la creación de contenedores predeterminada para las funciones de Lambda del grupo.
En el modo contenedor de Greengrass, las funciones Lambda se ejecutan de forma predeterminada en un entorno de ejecución aislado dentro del AWS IoT Greengrass contenedor.
En el modo Sin contenedor, las funciones de Lambda se ejecutan como procesos normales de Linux de forma predeterminada.
Puede modificar la configuración del grupo para especificar la creación de contenedores predeterminada para las funciones de Lambda del grupo. Puede pasar por alto esta configuración para una o varias funciones de Lambda en el grupo si desea que las funciones de Lambda se ejecuten con una creación de contenedores distinta a la del grupo predeterminado. Antes de cambiar la configuración de la creación de contenedores, consulte Consideraciones a la hora de elegir la creación de contenedores de la función de Lambda..
importante
Si desea cambiar la creación de contenedores predeterminada del grupo, pero tiene una o varias funciones que utilizan una creación de contenedores distinta, cambie la configuración de las funciones de Lambda antes de cambiar la configuración del grupo. Si cambia primero la configuración de creación de contenedores del grupo, se descartan los valores de la configuración Memory limit (Límite de memoria) y Read access to /sys directory (Acceso de lectura al directorio /sys).
Para modificar la configuración de contenedorización de su grupo AWS IoT Greengrass
En el panel de navegación de la AWS IoT consola, en Administrar, expanda los dispositivos Greengrass y, a continuación, elija Grupos (V1).
Elija el grupo cuya configuración desea cambiar.
-
Elija la pestaña de Funciones de Lambda.
-
En Entorno de tiempo de ejecución de funciones de Lambda predeterminado, elija Editar.
-
En la página Tiempo de ejecución predeterminado de funciones de Lambda, en Creación de contenedores de la función de Lambda predeterminada, cambie la configuración de la organización de contenedores.
-
Seleccione Guardar.
Los cambios surten efecto cuando el grupo se implementa.
