シークレットリソースを作成する方法 (コンソール)

AWS Secrets Manager コンソールにサインインします。

[Store a new secret] (新しいシークレットの保存) を選択します。

[Choose secret type] (シークレットの種類を選択) で、[Other type of secrets] (他の種類のシークレット) を選択します。

[このシークレットに保存するキーと値のペアを指定します] で以下の操作を行います。

暗号化には aws/secretsmanager を暗号キーとして選択した状態で、[Next] (次へ) を選択します。

[シークレット名] に「greengrass-TestSecret」と入力し、[次へ] を選択します。

このチュートリアルではローテーションは不要であるため、[disable automatic rotation] (自動ローテーションを無効化)、Next (次へ) の順に選択します。

[確認] ページで、設定を確認し、[保存] を選択します。

次に、シークレットを参照する Greengrass グループにシークレットリソースを作成します。

AWS IoT コンソールのナビゲーションペインの [Manage] (管理) で、[Greengrass devices] (Greengrass デバイス) を展開して、[Groups (V1)] (グループ (V1))を選択します。

シークレットリソースを追加するグループを選択します。

グループ設定ページの [Resources] (リソース) タブから、[Secrets] (シークレット) セクションを選択します。[Secrets] (シークレット) セクションには、グループに属するシークレットリソースが表示されます。このセクションからシークレットリソースを追加、編集、削除できます。

[Secrets] (シークレット) セクションから [Add] (追加) を選択します。

[Add a secret resource] (シークレットリソースに追加) ページで、[Resource name] (リソース名) に MyTestSecret を入力します。

[Secret] (シークレット) から[greengrass-testsecret]を選択します。

[Select labels (Optional)] (ラベルを選択 〔オプション〕) セクションの、AWSCURRENT ステージングラベルはシークレットの最新バージョンを表します。このラベルはシークレットリソースに常に含まれています。

[Add resource] (リソースを追加) を選択します。

AWS IoT Greengrass Core SDK のダウンロードページから、AWS IoT Greengrass Core SDK for Python をお使いのコンピュータにダウンロードします。

ダウンロードしたパッケージを解凍し、SDK を取得します。SDK は greengrasssdk フォルダです。

以下の Python コード関数を secret_test.py というローカルファイルに保存します。

import greengrasssdk

secrets_client = greengrasssdk.client("secretsmanager")
iot_client = greengrasssdk.client("iot-data")
secret_name = "greengrass-TestSecret"
send_topic = "secrets/output"


def function_handler(event, context):
    """
    Gets a secret and publishes a message to indicate whether the secret was
    successfully retrieved.
    """
    response = secrets_client.get_secret_value(SecretId=secret_name)
    secret_value = response.get("SecretString")
    message = (
        f"Failed to retrieve secret {secret_name}."
        if secret_value is None
        else f"Successfully retrieved secret {secret_name}."
    )
    iot_client.publish(topic=send_topic, payload=message)
    print("Published: " + message)

get_secret_value 関数は、SecretId 値として Secrets Manager シークレットの名前または ARN をサポートしています。この例では、シークレット名を使用しています。この例のシークレットでは、AWS IoT Greengrass がキーと値のペアとして {"test":"abcdefghi"} を返します。

以下の項目を secret_test_python.zip という名前のファイルに圧縮します。ZIP ファイルを作成するときに、コードと依存関係のみを含め、フォルダは含めません。

これが Lambda 関数デプロイパッケージです。

最初に Lambda 関数を作成します。

1. AWS Management Console で、[サービス] を選択し、AWS Lambda コンソールを開きます。

2. [Create function] (関数の作成) を選択し、[Author from scratch] (一から作成) を選択します。

3. [Basic information] セクションで、以下の値を使用します。

   • [Function name] (関数名) に SecretTest と入力します。

   • [Runtime (ランタイム)] で [Python 3.7] を選択します。

   • [Permissions] (アクセス許可) はデフォルト設定のままにしておきます。これで Lambda への基本的なアクセス許可を付与する実行ロールが作成されます。このロールは、AWS IoT Greengrass によっては使用されません。

4. ページの下部で、[Create function] を選択します。

今度は、ハンドラを登録し、Lambda 関数デプロイパッケージをアップロードします。

1. [Code] (コード) タブの [Code source] (コードソース) で、[Upload from] (アップロード元) を選択します。ドロップダウンから [.zip file] (.zip ファイル) を選択します。

   

2. [Upload] (アップロード) を選択し、secret_test_python.zip デプロイパッケージを選択します。次に、保存を選択します。

3. 関数の [Code] (コード) タブにある [Runtime settings] (ランタイム設定) で [Edit] (編集) を選択し、次の値を入力します。

   • [Runtime (ランタイム)] で [Python 3.7] を選択します。

   • [ハンドラ] に「secret_test.function_handler」と入力します。

4. [Save (保存)] を選択します。

   注記

   AWS Lambda コンソールの [Test] (テスト) ボタンは、この関数では機能しません。AWS IoT Greengrass Core SDK には、AWS Lambda コンソールで Greengrass Lambda 関数を個別に実行するために必要なモジュールは含まれていません。これらのモジュール (例えば greengrass_common) が関数に提供されるのは、Greengrass Core にデプロイされた後になります。

ここで、Lambda 関数の最初のバージョンを公開し、バージョンのエイリアスを作成します。

1. [Actions] メニューから、[Publish new version] を選択します。

2. [バージョンの説明] に「First version」と入力し、[発行] を選択します。

3. [SecretTest: 1] 設定ページで、[Actions (アクション)] メニューの [エイリアスの作成] を選択します。

4. [Create a new alias] ページで、次の値を使用します。

   • [名前] に GG_SecretTest と入力します。

   • [Version (バージョン)] で、[1] を選択します。

   注記

   AWS IoT Greengrass は、$LATEST バージョンの Lambda エイリアスをサポートしていません。

5. [Create] (作成) を選択します。

グループ設定ページで、[Lambda functions] (Lambda 関数) タブを選択します。

[My Lambda functions] (自分の Lambda 関数) セクションで、[Add]（追加）を選択します。

[Lambda function] (Lambda 関数) で、[SecretTest]を選択します。

[Lambda function version] (Lambda 関数のバージョン) で、公開したバージョンのエイリアスを選択します。

[Lambda function configuration] (Lambda 関数の設定) セクションで次のように更新します。

1. コンテナ化を使用せずに実行するには:

   • [System user and group] (システムユーザーとグループ) で、Another user ID/group IDを選択します。[System user ID] (システムユーザ ID) には、「0」と入力します。[System group ID] (システムグループ ID) には、「0」と入力します。

     これにより、Lambda 関数を root として実行できます。root として実行の詳細については、「グループ内の Lambda 関数に対するデフォルトのアクセス ID の設定」を参照してください。

     ヒント

     また、ルートアクセスを Lambda 関数に付与するように config.json ファイルを更新する必要があります。手順については、「root としての Lambda 関数の実行」を参照してください。

   • [Lambda function containerization] (Lambda 関数のコンテナ化) で、[No container] (コンテナなし) を選択します。

     コンテナ化を使用しない実行の詳細については、「Lambda 関数のコンテナ化を選択する場合の考慮事項」を参照してください。

   • [Timeout (タイムアウト)] に「10 seconds」と入力します。

   • [Pinned] (固定)で、[True] を選択します。

     詳細については、「Greengrass Lambda 関数のライフサイクル設定」を参照してください。

   • [Additional Parameter] (追加のパラメータ) の、[Read access to /sys directory] (/sys ディレクトリへの読み取りアクセス) で、[Enabled] (有効) を選択します。

2. 代わりにコンテナ化モードで実行するには:

   注記

   ビジネスケースで要求されない限り、コンテナ化モードでの実行はお勧めしていません。

   • [System user and group] (システムユーザーとグループ) で、[Use group default] (グループのデフォルトを使用) を選択します。

   • [Lambda function containerization] (Lambda 関数のコンテナ化) で、[Use group default] (グループのデフォルトを使用) を選択します。

   • [メモリ制限] に「1024 MB」と入力します。

   • [Timeout (タイムアウト)] に「10 seconds」と入力します。

   • [Pinned] (固定)で、[True] を選択します。

     詳細については、「Greengrass Lambda 関数のライフサイクル設定」を参照してください。

   • [Additional Parameter] (追加のパラメータ) の、[Read access to /sys directory] (/sys ディレクトリへの読み取りアクセス) で、[Enabled] (有効) を選択します。

[Add Lambda function] (Lambda 関数の追加) を選択します。

グループ設定ページで、[Lambda functions] (Lambda 関数) タブを選択します。

[SecretTest] 関数を選択します。

関数の詳細ページで、[Resources] (リソース) を選択します。

シークレット セクションまでスクロールして、[Associate] (関連付け) を選択します。

[MyTestSecret]、[Associate] (関連付け) の順に選択します。

グループ設定ページで、[Subscriptions] (サブスクリプション) タブ、[Add Subscription] (サブスクリプションの追加) の順に選択します。

関数にメッセージを発行することを AWS IoT に許可するサブスクリプションを作成します。

グループ設定ページで、[Subscriptions] (サブスクリプション) タブ、[Add subscription] (サブスクリプションの追加) の順に選択します。

[Create a subscription] (サブスクリプションの作成) ページで、ソースおよびターゲットを次のように設定します。

1. [Source type] (ソースタイプ) で、[Lambda function] (Lambda 関数)、[IoT Cloud] (IoT クラウド) の順に選択します。

2. [Target type] (ターゲットタイプ) で、[Service] (サービス)、[SecretTest]の順に選択します。

3. [Topic filter] (トピックのフィルター) で、「secrets/input」と入力し、[Create subscription] (サブスクリプションの作成) を選択します。

2 つ目のサブスクリプションを追加します。[Subscriptions] (サブスクリプション) タブ、[Add subscription] (サブスクリプションの追加) の順に選択し、ソースとターゲットを次のように設定します。

1. [Source type] (ソースタイプ) で、[Services] (サービス)、[SecretTest]の順に選択します。

2. [Target type] (ターゲットタイプ) で、[Lambda function] (Lambda 関数)、 [IoT Cloud] (IoT クラウド) の順に選択します。

3. [Topic filter] (トピックのフィルター) で、「secrets/output」と入力し、[Create subscription] (サブスクリプションの作成) を選択します。

AWS IoT Greengrass Core が実行されていることを確認します。必要に応じて、Raspberry Pi のターミナルで以下のコマンドを実行します。

1. デーモンが実行中であるかどうかを確認するには

   ps aux | grep -E 'greengrass.*daemon'

   出力に root の /greengrass/ggc/packages/ggc-version/bin/daemon エントリが含まれる場合、デーモンは実行されています。

   注記

   パスのバージョンは、コアデバイスにインストールされている AWS IoT Greengrass Core ソフトウェアのバージョンによって異なります。

2. 次のようにしてデーモンを開始します。

   cd /greengrass/ggc/core/
   sudo ./greengrassd start

グループ設定ページで、[Deploy] (デプロイ) を選択します。

1. [Lambda functions] (Lambda 関数) タブの [System Lambda functions] (システム Lambda 関数) セクションで、[IP detector] (IP ディテクター)、[Edit] (編集) の順に選択します。

2. [Edit IP detector settings] (IPディテクタ設定の編集) のダイアログボックスで、[Automatically detect and override MQTT broker endpoints] (MQTT ブローカーのエンドポイントを自動的に検出して上書きする)を選択します。

3. [Save (保存)] を選択します。

   これにより、デバイスは、IP アドレス、DNS、ポート番号など、コアの接続情報を自動的に取得できます。自動検出が推奨されますが、AWS IoT Greengrass は手動で指定されたエンドポイントもサポートしています。グループが初めてデプロイされたときにのみ、検出方法の確認が求められます。

   注記

   プロンプトが表示されたら、Greengrass サービスロールの作成権限を付与し、そのロールを現在の AWS リージョン の AWS アカウント に関連付けます。このロールを付与することで、AWS IoT Greengrass は AWS サービスのリソースにアクセスできます。

   [Deployments] ページでは、デプロイのタイムスタンプ、バージョン ID、ステータスが表示されます。完了すると、デプロイのステータスが [Completed] (完了) と表示されます。

   トラブルシューティングヘルプについては、AWS IoT Greengrass のトラブルシューティング を参照してください。

AWS IoT コンソールのホームページで、[Test] (テスト) を選択します。

[Subscribe to topic] (トピックへのサブスクライブ) で、以下の値を使用し、[Subscribe] (サブスクリプション) を選択します。

[Publish to topic] (トピックに発行) で、以下の値を使用し、[Publish] (発行) を選択して関数を呼び出します。

成功した場合、関数は成功のメッセージを発行します。