クライアントデバイスをコアデバイスに接続する

Greengrass サービスロールが、このリージョンの AWS アカウント の AWS IoT Greengrass に関連付けられていることを確認します。以下の操作を実行します。

1. AWS IoT コンソールに移動します。

2. ナビゲーションペインで [設定] を選択します。

3. [Greengrass service role] (Greengrass サービスロール) セクションで、[Current service role] (現在のサービスロール) をクリックし、Greengrass サービスロールが関連付けられているかどうかを確認します。

   Greengrass サービスロールが関連付けられている場合、IP ディテクターコンポーネントを使用する要件を満たしています。「AWS IoTモノポリシーを設定する」へ進んでください。

Greengrass サービスロールがこのリージョンの AWS アカウント の AWS IoT Greengrass に関連付けられていない場合は、Greengrass サービスロールを作成して関連付けます。以下の操作を実行します。

1. [IAM console] (IAM コンソール) に入ります。

2. [Roles (ロール)] を選択します。

3. [Create role] (ロールの作成) を選択します。

4. [Create role] (ロールの作成) ページで、次の手順を実行します。

   1. [Trusted entity type] (信頼できるエンティティタイプ) で、[AWS サービス] を選択します。

   2. [ユースケース] の下にある [その他の AWS サービス のユースケース] で、[Greengrass] を選択し、さらに [Greengrass] を選択します。このオプションは、このロールを継承することができる信頼できるエンティティとして AWS IoT Greengrass を追加することを指定します。

   3. [次へ] をクリックします。

   4. [Permissions policies] (アクセス許可ポリシー) で、AWSGreengrassResourceAccessRolePolicy を選択し、ロールにアタッチします。

   5. [次へ] をクリックします。

   6. [Role name] (ロール名) に、このロールの名前 (Greengrass_ServiceRole など) を入力します。

   7. [ロールの作成] を選択します。

5. AWS IoT コンソールに移動します。

6. ナビゲーションペインで [設定] を選択します。

7. 左[Greengrass service role] (Greengrass サービスロール) セクションで、[Attach role] (ロールを添付する) を選択します。

8. [Update Greengrass service role] (Greengrass サービスロールを更新する) モーダルで作成した IAM ロールを選択し、[Attach role] (ロールを割り当てる) を選択します。

Greengrass サービスロールが、このリージョンの AWS アカウント の AWS IoT Greengrass に関連付けられていることを確認します。

aws greengrassv2 get-service-role-for-account

Greengrass サービスロールが関連付けられている場合、この動作により、ロールに関する情報が含まれたレスポンスが返されます。

Greengrass サービスロールが関連付けられている場合、IP ディテクターコンポーネントを使用する要件を満たしています。「AWS IoTモノポリシーを設定する」へ進んでください。

Greengrass サービスロールがこのリージョンの AWS アカウント の AWS IoT Greengrass に関連付けられていない場合は、Greengrass サービスロールを作成して関連付けます。以下の操作を実行します。

1. AWS IoT Greengrass がロールを継承できるように許可する信頼ポリシーを持つロールを作成します。この例では、Greengrass_ServiceRole という名前のロールを作成しますが、別の名前を使用できます。また、信頼ポリシーには、aws:SourceArn および aws:SourceAccount グローバル条件コンテキストキーも含めて、混乱した代理によるセキュリティ問題を防止することをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。混乱した代理に関する問題の詳細については、「サービス間の混乱した代理の防止」を参照してください。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 出力のロールメタデータからロールの ARN をコピーします。ARN を使用して、ロールをアカウントに関連付けます。

3. AWSGreengrassResourceAccessRolePolicy ポリシーをロールにアタッチします。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Greengrass サービスロールを AWS アカウント の AWS IoT Greengrass に関連付けます。role-arn をサービスロールの ARN に置き換えます。

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   成功すると、次のレスポンスが返されます。

   {
     "associatedAt": "timestamp"
   }

AWS IoT Greengrass コンソールのナビゲーションメニューで、[Core devices] (コアデバイス) を選択します。

[Core devices] (コアデバイス) ページで、更新するコアデバイスを選択します。

コアデバイスの詳細ページで、コアデバイスの [Thing] (モノ) へのリンクを選択します。このリンクをクリックすると、AWS IoT コンソールの [thing details] (モノ詳細) ページが開きます。

[thing details] (モノ詳細) ページで、[Certificates] (証明書) を選択します。

[Certificates] (証明書) タブで、モノのアクティブな証明書を選択します。

[certificate details] (証明書詳細) ページで、[Policies] (ポリシー) を選択します。

[Policies] (ポリシー) タブで、確認して更新する AWS IoT ポリシーを選択します。コアデバイスのアクティブな証明書にアタッチされている任意のポリシーに、必要なアクセス許可を追加できます。

[policy overview] (ポリシーの概要) で、[Edit active version] (アクティブなバージョンの編集) を選択します。

必要なアクセス許可についてポリシーを確認し、不足していれば必要なアクセス許可を追加します。

(オプション) コアデバイスがシャドウを AWS IoT Core と同期できるようにするには、ポリシーに次のステートメントを追加します。クライアントのデバイスシャドウとやり取りは行うものの、それらを AWS IoT Core と同期させない場合には、この手順をスキップしてください。region および account-id は、使用するリージョンと、自分の AWS アカウント 番号に置き換えます。

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

このステートメントを追加した後のポリシードキュメントは、次の例のようになります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

新しいポリシーバージョンをアクティブなバージョンとして設定するには、[Policy version status] (ポリシーバージョンのステータス) で、[Set the edited version as the active version for this policy] (編集したバージョンをこのポリシーのアクティブバージョンとして設定) を選択します。

[Save as new version] (新しいバージョンとして保存) を選択します。

コアデバイスの AWS IoT モノのプリンシパルをリスト表示します。モノのプリンシパルは X.509 デバイス証明書またはその他の識別子にすることができます。次のコマンドを実行し、 をコアデバイスの名前MyGreengrassCoreに置き換えます。

aws iot list-thing-principals --thing-name MyGreengrassCore

この動作は、コアデバイスのモノのプリンシパルをリスト表示するレスポンスを返します。

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

コアデバイスのアクティブな証明書を特定します。以下のコマンドを実行して、アクティブな証明書が見つかるまで、certificateId を前の手順からの各証明書の ID に置き換えます。証明書 ID は、証明書 ARN の末尾にある 16 進数の文字列です。--query 引数は、証明書のステータスのみを出力するように指定しています。

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

この操作では、証明書の状態が文字列で返されます。例えば、証明書がアクティブな場合、この操作は "ACTIVE" を出力します。

証明書にアタッチされている AWS IoT ポリシーをリスト表示します。次のコマンドを実行し、証明書 ARN を証明書の ARN に置き換えます。

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

この操作は、証明書にアタッチされている AWS IoT ポリシーのリストを返します。

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

表示して更新するポリシーを選択します。

ポリシーのドキュメントを取得します。次のコマンドを実行し、GreengrassV2IoTThingPolicy をポリシーの名前に置き換えます。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

この操作は、ポリシーのドキュメントとポリシーに関するその他の情報が含まれるレスポンスを返します。ポリシードキュメントは、文字列としてシリアル化された JSON オブジェクトです。

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

オンラインコンバータまたはその他のツールを使用して、ポリシードキュメント文字列を JSON オブジェクトに変換し、iot-policy.json という名前のファイルに保存します。

例えば、jq ツールがインストールされている場合には、次のコマンドを実行してポリシードキュメントを取得し、JSON オブジェクトに変換してから、ポリシードキュメントを JSON オブジェクトとして保存することができます。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

必要なアクセス許可についてポリシーを確認し、不足していれば必要なアクセス許可を追加します。

例えば、Linux ベースのシステムでは、次のコマンドを実行し、GNU nano を使用してファイルを開きます。

nano iot-policy.json

変更をポリシーの新しいバージョンとして保存します。次のコマンドを実行し、GreengrassV2IoTThingPolicy をポリシーの名前に置き換えます。

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

成功すると、次の例に類似したレスポンスが返されます。

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}