Rol de servicio de Greengrass

1. En el panel de navegación de la consola AWS IoT, seleccione Configuración.

2. Desplácese hasta la sección Greengrass service role (Rol de servicio de Greengrass) para ver el rol de servicio y sus políticas.

   Si no ve ningún rol de servicio, puede dejar que la consola cree o configure uno por usted. Para obtener más información, consulte Creación del rol de servicio de Greengrass.

1. En el panel de navegación de la consola AWS IoT, seleccione Configuración.

2. En Rol de servicio de Greengrass, seleccione Elegir un rol diferente.

   Se abre el cuadro de diálogo Actualizar el rol de servicio de Greengrass y muestra los roles de IAM Cuenta de AWS que se definen AWS IoT Greengrass como una entidad de confianza.

3. Elija el rol de servicio de Greengrass que desee asignar.

4. Elija Adjuntar rol.

1. En el panel de navegación de la consola AWS IoT, seleccione Configuración.

2. En Rol de servicio de Greengras, seleccione Desasociar rol.

3. En el cuadro de diálogo de confirmación, elija Desconectar.

• Obtenga el rol de servicio. Sustituya región por su Región de AWS (por ejemplo, us-west-2).

  aws Greengrass get-service-role-for-account --region region

  Si ya hay un rol de servicio de Greengrass asociado a su cuenta, se devuelven los siguientes metadatos de rol.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Si no se devuelve ningún metadato de rol, entonces debe crear el rol de servicio (si no existe) y asociarlo a su cuenta en la Región de AWS.

Para crear el rol de servicio mediante IAM

1. Cree el rol con una política de confianza que permita a AWS IoT Greengrass adoptar el rol. Este ejemplo crea un rol denominado Greengrass_ServiceRole, pero puede utilizar un nombre distinto. Le recomendamos que incluya también las claves de contexto de condición global aws:SourceArn y aws:SourceAccount en su política de confianza para ayudar a prevenir el problema de seguridad del suplente confuso. Las claves de contexto de condición restringen el acceso para permitir solo las solicitudes que provienen de la cuenta especificada y del espacio de trabajo de Greengrass. Para obtener más información sobre el problema del suplente confuso, consulte Prevención del suplente confuso entre servicios.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. Copie el ARN del rol de los metadatos del rol en la salida. Puede utilizar el ARN para asociar el rol a su cuenta.

3. Asocie la política de AWSGreengrassResourceAccessRolePolicy al rol.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Para asociar el rol de servicio con su Cuenta de AWS

• Asocie el rol a su cuenta. Reemplace arn-rol por el ARN del rol de servicio y región por su Región de AWS (por ejemplo, us-west-2).

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  Si se ejecuta correctamente, se devuelve la siguiente respuesta.

  {
    "AssociatedAt": "timestamp"
  }

• Desasocie el rol de servicio de su cuenta. Sustituya región por su Región de AWS (por ejemplo, us-west-2).

  aws greengrass disassociate-service-role-from-account --region region

  Si se ejecuta correctamente, se devuelve la siguiente respuesta.

  {
    "DisassociatedAt": "timestamp"
  }

  nota

  Debe eliminar el rol de servicio si no lo está utilizando en ninguna Región de AWS. Use primero delete-role-policy para desasociar la política administrada AWSGreengrassResourceAccessRolePolicy del rol y, a continuación, utilice delete-role para eliminar el rol. Para obtener más información, consulte Eliminación de roles o perfiles de instancia en la Guía del usuario de IAM.