Greengrass サービスロール

1. AWS IoT コンソールに移動します。

2. ナビゲーションペインで [設定] を選択します。

3. [Greengrass service role (Greengrass サービスロール)] セクションまでスクロールして、サービスロールとそのポリシーを表示します。

   サービスロールが表示されない場合は、コンソールでサービスロールの作成または設定が可能です。詳細については、「Greengrass サービスロールを作成する」を参照してください。

1. AWS IoT コンソールに移動します。

2. ナビゲーションペインで [設定] を選択します。

3. [Greengrass service role] (Greengrass サービスロール) で、[Choose different role] (別のロールの選択) を選択します。

   [Update Greengrass service role] (Greengrass サービスロールを更新) ダイアログボックスが開き、AWS IoT Greengrass を信頼するエンティティとして定義する AWS アカウント の IAM ロールが表示されます。

4. アタッチする Greengrass サービスロールを選択します。

5. [Attach role] (ロールをアタッチする)を選択します。

1. AWS IoT コンソールに移動します。

2. ナビゲーションペインで [設定] を選択します。

3. [Greengrass service role] (Greengrass サービスロール) で、[Detach role] (ロールのデタッチ) を選択します。

4. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

• サービスロールを取得します。region を AWS リージョン に置き換えます (例:us-west-2)。

  aws greengrassv2 get-service-role-for-account --region region

  Greengrass サービスロールが既にアカウントに関連付けられている場合、リクエストに対して以下のロールメタデータが返されます。

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  リクエストしてもロールメタデータが返されない場合は、サービスロールを作成し (存在しない場合)、AWS リージョン 内でアカウントに関連付ける必要があります。

IAM を使用して、サービスロールを作成するには

1. AWS IoT Greengrass がロールを継承できるように許可する信頼ポリシーを持つロールを作成します。この例では、Greengrass_ServiceRole という名前のロールを作成しますが、別の名前を使用できます。また、信頼ポリシーには、aws:SourceArn および aws:SourceAccount グローバル条件コンテキストキーも含めて、混乱した代理によるセキュリティ問題を防止することをお勧めします。条件コンテキストキーを使用すると、指定したアカウントと Greengrass ワークスペースからのリクエストのみを許可するようにアクセスを制限できます。混乱した代理に関する問題の詳細については、「サービス間の混乱した代理の防止」を参照してください。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 出力のロールメタデータからロールの ARN をコピーします。ARN を使用して、ロールをアカウントに関連付けます。

3. AWSGreengrassResourceAccessRolePolicy ポリシーをロールにアタッチします。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

AWS アカウント にサービスロールを関連付けるには

• ロールとアカウントを関連付けます。role-arn をサービスロール ARN と置き換え、region を AWS リージョン (us-west-2 など) と置き換えます。

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  成功すると、リクエストは、以下のようなレスポンスを返します。

  {
    "associatedAt": "timestamp"
  }

• アカウントからサービスロールの関連付けを解除します。region を AWS リージョン に置き換えます (例:us-west-2)。

  aws greengrassv2 disassociate-service-role-from-account --region region

  成功すると、以下のレスポンスが返されます。

  {
    "disassociatedAt": "timestamp"
  }

  注記

  任意の AWS リージョン で使用していない場合は、サービスロールを削除する必要があります。最初に、delete-role-policy を使用して AWSGreengrassResourceAccessRolePolicy 管理ポリシーをロールからデタッチし、次に delete-role を使用してロールを削除します。詳細については、「IAM ユーザーガイド」の「ロールまたはインスタンスプロファイルを削除する」を参照してください。