Perfil de serviço do Greengrass

1. No painel de navegação do console do AWS IoT, selecione Configurações.

2. Role até a seção Perfil de serviço do Greengrass para ver o perfil de serviço e as políticas dela.

   Se não for exibida um perfil de serviço, deixe que o console crie ou configure uma para você. Para obter mais informações, consulte Criar o perfil de serviço do Greengrass.

1. No painel de navegação do console do AWS IoT, selecione Configurações.

2. Em Perfil de serviço do Greengrass, selecione Change role (Mudar perfil).

   A caixa de diálogo Atualizar perfil de serviço do Greengrass é aberta e mostra as funções do IAM em sua Conta da AWS que definem AWS IoT Greengrass como uma entidade confiável.

3. Selecione o perfil de serviço do Greengrass a ser anexado.

4. Selecione Anexar função.

1. No painel de navegação do console do AWS IoT, selecione Configurações.

2. Em Perfil de serviço do Greengrass, selecione Detach role (Desanexar função).

3. Na caixa de diálogo de confirmação, selecione Detach (Desvincular).

• Obtenha o perfil de serviço. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws Greengrass get-service-role-for-account --region region

  Se um perfil de serviço do Greengrass já estiver associado à sua conta, os metadados de função serão retornados.

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Se nenhum metadado de função for retornado, você deverá criar o perfil de serviço (se ele não existir) e associá-la á sua conta na Região da AWS.

Como criar o perfil de serviço usando o IAM

1. Crie a função com uma política de confiança que permita que o AWS IoT Greengrass assuma a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema substituto confuso, consulte Prevenção do problema do substituto confuso entre serviços.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Para associar o perfil de serviço à sua conta da Conta da AWS

• Associe a função à sua conta. Substitua role-arn pelo ARN do perfil de serviço e região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  Se houver êxito, a resposta a seguir será retornada.

  {
    "AssociatedAt": "timestamp"
  }

• Desassocie a perfil de serviço da conta. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrass disassociate-service-role-from-account --region region

  Se houver êxito, a resposta a seguir será retornada.

  {
    "DisassociatedAt": "timestamp"
  }

  nota

  Você deverá excluir o perfil de serviço se não o estiver usando em nenhuma Região da AWS. Primeiro, use delete-role-policy para desanexar a política gerenciada AWSGreengrassResourceAccessRolePolicy da função e, depois, use delete-role para excluir a função. Para obter mais informações sobre como excluir uma função, consulte Excluir funções ou perfis de instância no Manual do usuário do IAM.