Rôle de service Greengrass

1. À partir desAWS IoTconsolevolet de navigation, choisissezParamètres.

2. Faites défiler l'écran jusqu'à la section Greengrass service role (Rôle de service Greengrass) pour afficher votre rôle de service et ses stratégies.

   Si vous ne voyez pas de rôle de service, vous pouvez laisser la console en créer ou en configurer un pour vous. Pour plus d'informations, consultez Créer le rôle de service Greengrass.

1. À partir desAWS IoTconsolevolet de navigation, choisissezParamètres.

2. UnderRôle de service Greengrass, choisissezChanger de rôle.

   LeRôle de service de mise à jours'ouvre et affiche les rôles IAM dans votreCompte AWSqui définissentAWS IoT Greengrassen tant qu'entité de confiance.

3. Choisissez le rôle de service Greengrass à associer.

4. ChoisissezAttachement d'.

1. À partir desAWS IoTconsolevolet de navigation, choisissezParamètres.

2. UnderRôle de service Greengrass, choisissezDétachez un rôle.

3. Dans la boîte de dialogue de confirmation, choisissez Détacher.

• Obtenez le rôle de service. Remplacezrégionavec vos recettesRégion AWS(par exemple,us-west-2).

  aws Greengrass get-service-role-for-account --region region

  Si un rôle de service Greengrass est déjà associé à votre compte, les métadonnées de rôle suivantes sont renvoyées.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Si aucune métadonnée de rôle n'est renvoyée, vous devez créer le rôle de service (s'il n'existe pas) et l'associer à votre compte dans leRégion AWS.

Pour créer le rôle de service à l'aide d'IAM

1. Créez le rôle avec une stratégie d'approbation permettant à AWS IoT Greengrass d'assumer le rôle. Cet exemple crée un rôle nommé Greengrass_ServiceRole, mais vous pouvez utiliser un autre nom. Nous vous recommandons également d'inclure lesaws:SourceArnetaws:SourceAccountclés de contexte de condition globale dans votre stratégie de confiance pour empêcher ledéputé confusproblème de sécurité. Les clés contextuelles de condition limitent l'accès afin d'autoriser uniquement les demandes provenant du compte spécifié et de l'espace de travail Greengrass. Pour plus d'informations sur le problème du député confus, veuillez consulterPrévention du problème de l'adjoint confus entre services.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. Copiez l'ARN de rôle du rôle des métadonnées dans la sortie. Vous utilisez l'ARN pour associer le rôle à votre compte.

3. Attachez la stratégie AWSGreengrassResourceAccessRolePolicy au rôle.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Pour associer le rôle de service à votreCompte AWS

• Associez le rôle à votre compte. Remplacezrole-arnavec le nom ARN du rôle de service etrégionavec vos recettesRégion AWS(par exemple,us-west-2).

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  En cas de réussite, la réponse suivante est renvoyée.

  {
    "AssociatedAt": "timestamp"
  }

• Dissociez le rôle de service de votre compte. Remplacezrégionavec vos recettesRégion AWS(par exemple,us-west-2).

  aws greengrass disassociate-service-role-from-account --region region

  En cas de réussite, la réponse suivante est renvoyée.

  {
    "DisassociatedAt": "timestamp"
  }

  Note

  Vous devez supprimer le rôle de service si vous ne l'utilisez dans aucunRégion AWS. Utilisez d'abord delete-role-policy pour détacher la stratégie gérée du rôle, puis utilisez AWSGreengrassResourceAccessRolePolicydelete-role pour supprimer le rôle. Pour plus d'informations, consultez Suppression de rôles ou de profils d'instance dans le guide de l'utilisateur IAM.