Greengrass サービスロール

1. AWS IoT コンソール のナビゲーションペインから、[Settings] (設定) を選択します。

2. [Greengrass service role (Greengrass サービスロール)] セクションまでスクロールして、サービスロールとそのポリシーを表示します。

   サービスロールが表示されない場合は、コンソールによるサービスロールの作成また設定が可能です。詳細については、「Greengrass サービスロールを作成する」を参照してください。

1. AWS IoT コンソール のナビゲーションペインから、[Settings] (設定) を選択します。

2. [Greengrass service role] (Greengrass サービスロール) で、[Change role] (ロールの変更) を選択します。

   [Update Greengrass service role] (Greengrass サービスロールを更新) ダイアログボックスが開き、AWS IoT Greengrass を信頼するエンティティとして定義する AWS アカウント の IAM ロールが表示されます。

3. アタッチする Greengrass サービスロールを選択します。

4. [Attach role] (ロールをアタッチする) を選択します。

1. AWS IoT コンソール のナビゲーションペインから、[Settings] (設定) を選択します。

2. [Greengrass service role] (Greengrass サービスロール) で、[Detach role] (ロールのデタッチ) を選択します。

3. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

• サービスロールを取得します。region を AWS リージョン に置き換えます (例:us-west-2)。

  aws Greengrass get-service-role-for-account --region region

  Greengrass サービスロールが既にアカウントに関連付けられている場合、以下のロールメタデータが返されます。

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  ロールメタデータが返されない場合は、サービスロールを作成し (存在しない場合)、AWS リージョン 内でアカウントに関連付ける必要があります。

IAM サービスを使用して、サービスロールを作成するには

1. AWS IoT Greengrass にロールの引き受けを許可する信頼ポリシーを設定したロールを作成します。この例では、Greengrass_ServiceRole という名前のロールを作成しますが、別の名前を使用できます。また、aws:SourceArn と aws:SourceAccount のグローバル条件コンテキストキーを信頼ポリシーに加えることで、「混乱した代理」によるセキュリティ上の問題への対策にすることをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。「混乱した代理」問題の詳細については、「サービス間の混乱した代理の防止」を参照してください。

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. 出力のロールメタデータからロールの ARN をコピーします。ARN を使用して、ロールをアカウントに関連付けます。

3. AWSGreengrassResourceAccessRolePolicy ポリシーをロールにアタッチします。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

AWS アカウント にサービスロールを関連付ける

• ロールとアカウントを関連付けます。role-arn をサービスロール ARN と置き換え、region を AWS リージョン (us-west-2 など) と置き換えます。

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  成功すると、以下のレスポンスが返されます。

  {
    "AssociatedAt": "timestamp"
  }

• アカウントからサービスロールの関連付けを解除します。region を AWS リージョン に置き換えます (例:us-west-2)。

  aws greengrass disassociate-service-role-from-account --region region

  成功すると、以下のレスポンスが返されます。

  {
    "DisassociatedAt": "timestamp"
  }

  注記

  意の AWS リージョン で使用していない場合は、サービスロールを削除する必要があります。最初に、delete-role-policy を使用して AWSGreengrassResourceAccessRolePolicy 管理ポリシーをロールからデタッチし、次に delete-role を使用してロールを削除します。詳細については、IAM ユーザーガイドの「ロールまたはインスタンスプロファイルを削除する」を参照してください。