Greengrass 서비스 역할

1. AWS IoT 콘솔의 탐색 창에서 설정을 선택합니다.

2. Greengrass service role(Greengrass 서비스 역할) 섹션으로 스크롤하여 서비스 역할과 그 정책을 확인합니다.

   서비스 역할이 표시되지 않으면 콘솔에게 사용자를 대신해 역할을 생성 또는 구성하도록 할 수 있습니다. 자세한 내용은 Greengrass 서비스 역할 생성 섹션을 참조하세요.

1. AWS IoT 콘솔의 탐색 창에서 설정을 선택합니다.

2. Greengrass 서비스 역할에서 역할 선택을 선택합니다.

   Greengrass 서비스 역할 업데이트 대화 상자가 열리고 AWS IoT Greengrass을(를) 신뢰할 수 있는 엔터티로 정의하는 AWS 계정의 IAM 역할이 표시됩니다.

3. 연결할 Greengrass 서비스 역할을 선택합니다.

4. 역할 연결을 선택합니다.

1. AWS IoT 콘솔의 탐색 창에서 설정을 선택합니다.

2. Greengrass 서비스 역할에서 분리를 선택합니다.

3. 확인 대화 상자에서 분리(Detach)를 선택합니다.

• 서비스 역할을 가져옵니다. 을 해당 AWS 리전 리전(예: us-west-2)으로 바꿉니다.

  aws Greengrass get-service-role-for-account --region region

  Greengrass 서비스 역할이 계정과 이미 연결되어 있는 경우 다음 역할 메타데이터가 반환됩니다.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  역할 메타데이터가 반환되지 않는 경우 서비스 역할을 생성하고(없는 경우) 해당 역할을 AWS 리전의 계정과 연결해야 합니다.

IAM을 사용하여 서비스 역할을 생성하려면

1. AWS IoT Greengrass이 역할을 수임하도록 허용하는 신뢰 정책이 있는 역할을 생성합니다. 이 예제에서는 Greengrass_ServiceRole라는 역할을 생성하지만, 다른 이름을 사용할 수 있습니다. 혼동된 대리자 보안 문제를 방지하려면 신뢰 정책에 aws:SourceArn 및 aws:SourceAccount 글로벌 조건 컨텍스트 키도 포함하는 것이 좋습니다. 조건 컨텍스트 키는 지정된 계정 및 Greengrass 작업 영역에서 들어오는 요청만 허용하도록 액세스를 제한합니다. 혼동된 대리자 문제에 대한 자세한 내용은, 교차 서비스 혼동된 대리자 예방를 참조하세요.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. 출력의 역할 메타데이터에서 역할 ARN을 복사합니다. ARN을 사용하여 역할을 계정과 연결합니다.

3. AWSGreengrassResourceAccessRolePolicy 정책을 역할에 연결합니다.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

계정에 AWS 계정 서비스 역할을 연결하려면 다음을 수행합니다.

• 역할을 계정과 연결합니다. role-arn을 서비스 역할 ARN과 바꾸고 AWS 리전을 리전(예: us-west-2)과 바꿉니다.

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  성공하면 다음 응답이 반환됩니다.

  {
    "AssociatedAt": "timestamp"
  }

• 계정에서 서비스 역할의 연결을 해제합니다. AWS 리전을 해당 리전(예: us-west-2)으로 바꿉니다.

  aws greengrass disassociate-service-role-from-account --region region

  성공하면 다음 응답이 반환됩니다.

  {
    "DisassociatedAt": "timestamp"
  }

  참고

  AWS 리전에서 사용하지 않을 경우 서비스를 삭제해야 합니다. 먼저 delete-role-policy를 사용하여 역할에서 AWSGreengrassResourceAccessRolePolicy 관리형 정책을 연결 해제하고, delete-role을 사용하여 역할을 삭제합니다. 자세한 내용은 IAM 사용 설명서에서 역할 또는 인스턴스 프로필 삭제를 참조하세요.