Conecte dispositivos cliente aos dispositivos principais

Verifique se a função de serviço do Greengrass está associada AWS IoT Greengrass à sua Conta da AWS nesta região. Faça o seguinte:

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Na seção Função de serviço do Greengrass, encontre Função de serviço atual para ver se uma função de serviço do Greengrass está associada.

   Se você tiver uma função de serviço do Greengrass associada, você atende a esse requisito para usar o componente detector de IP. Vá para Configure a política da AWS IoT coisa.

Se a função de serviço do Greengrass não estiver associada AWS IoT Greengrass à sua Conta da AWS nesta região, crie uma função de serviço do Greengrass e associe-a. Faça o seguinte:

1. Navegue até o console do IAM.

2. Escolha Roles.

3. Selecione Criar perfil.

4. Na página Criar função, faça o seguinte:

   1. Em Tipo de entidade confiável, escolha AWS service (Serviço da AWS).

   2. Em Caso de uso, Casos de uso para outros Serviços da AWS, escolha Greengrass, selecione Greengrass. Essa opção especifica a adição AWS IoT Greengrass como uma entidade confiável que pode assumir essa função.

   3. Escolha Próximo.

   4. Em Políticas de permissões, selecione a AWSGreengrassResourceAccessRolePolicypara anexar à função.

   5. Escolha Próximo.

   6. Em Nome da função, insira um nome para a função, comoGreengrass_ServiceRole.

   7. Selecione Criar perfil.

5. Navegue até o console do AWS IoT.

6. No painel de navegação, selecione Configurações.

7. Na seção Função de serviço do Greengrass, escolha Anexar função.

8. No modal Atualizar função de serviço do Greengrass, selecione a função do IAM que você criou e, em seguida, escolha Anexar função.

Verifique se a função de serviço do Greengrass está associada AWS IoT Greengrass à sua Conta da AWS nesta região.

aws greengrassv2 get-service-role-for-account

Se a função de serviço do Greengrass estiver associada, a operação retornará uma resposta que contém informações sobre a função.

Se você tiver uma função de serviço do Greengrass associada, você atende a esse requisito para usar o componente detector de IP. Vá para Configure a política da AWS IoT coisa.

Se a função de serviço do Greengrass não estiver associada AWS IoT Greengrass à sua Conta da AWS nesta região, crie uma função de serviço do Greengrass e associe-a. Faça o seguinte:

1. Crie uma função com uma política de confiança que permita que o AWS IoT Greengrass assuma a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema confused deputy, consulte Prevenção do problema do substituto confuso entre serviços.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Associe a função de serviço do Greengrass com AWS IoT Greengrass for your. Conta da AWS Substitua role-arn pelo ARN da função de serviço.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   A operação retornará a seguinte resposta se for bem-sucedida.

   {
     "associatedAt": "timestamp"
   }

No menu de navegação AWS IoT Greengrassdo console, escolha Dispositivos principais.

Na página Dispositivos principais, escolha o dispositivo principal a ser atualizado.

Na página de detalhes do dispositivo principal, escolha o link para o item do dispositivo principal. Esse link abre a página de detalhes do item no AWS IoT console.

Na página de detalhes do item, escolha Certificados.

Na guia Certificados, escolha o certificado ativo do item.

Na página de detalhes do certificado, escolha Políticas.

Na guia Políticas, escolha a AWS IoT política a ser revisada e atualizada. Você pode adicionar as permissões necessárias a qualquer política anexada ao certificado ativo do dispositivo principal.

Na visão geral da política, escolha Editar versão ativa.

Revise a política para obter as permissões necessárias e adicione as permissões necessárias que estejam faltando.

(Opcional) Para permitir que o dispositivo principal sincronize sombras comAWS IoT Core, adicione a seguinte declaração à política. Se você planeja interagir com as sombras do dispositivo cliente, mas não sincronizá-las com elasAWS IoT Core, pule esta etapa. Substitua a região e o ID da conta pela região que você usa e pelo seu Conta da AWS número.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Depois de adicionar essa declaração, o documento de política pode ser semelhante ao exemplo a seguir.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para definir uma nova versão da política como a versão ativa, em Status da versão da política, selecione Definir a versão editada como a versão ativa desta política.

Selecione Salvar como nova versão.

Liste os princípios básicos do AWS IoT dispositivo principal. Os principais podem ser certificados de dispositivos X.509 ou outros identificadores. Execute o comando a seguir e MyGreengrassCoresubstitua pelo nome do dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

A operação retorna uma resposta que lista os princípios básicos do dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique o certificado ativo do dispositivo principal. Execute o comando a seguir e substitua o CertificateID pelo ID de cada certificado da etapa anterior até encontrar o certificado ativo. O ID do certificado é a string hexadecimal no final do ARN do certificado. O --query argumento especifica a saída somente do status do certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

A operação retorna o status do certificado como uma string. Por exemplo, se o certificado estiver ativo, essa operação será exibida. "ACTIVE"

Liste as AWS IoT políticas anexadas ao certificado. Execute o comando a seguir e substitua o ARN do certificado pelo ARN do certificado.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

A operação retorna uma resposta que lista as AWS IoT políticas anexadas ao certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Escolha a política a ser visualizada e atualizada.

Obtenha o documento da política. Execute o comando a seguir e substitua GreengrassV2IoT ThingPolicy pelo nome da política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

A operação retorna uma resposta que contém o documento da política e outras informações sobre a política. O documento de política é um objeto JSON serializado como uma string.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Use um conversor on-line ou outra ferramenta para converter a string do documento de política em um objeto JSON e, em seguida, salve-a em um arquivo chamadoiot-policy.json.

Por exemplo, se você tiver a ferramenta jq instalada, poderá executar o comando a seguir para obter o documento de política, convertê-lo em um objeto JSON e salvá-lo como um objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise a política para obter as permissões necessárias e adicione as permissões necessárias que estejam faltando.

Por exemplo, em um sistema baseado em Linux, você pode executar o seguinte comando para usar o GNU nano para abrir o arquivo.

nano iot-policy.json

Salve as alterações como uma nova versão da política. Execute o comando a seguir e substitua GreengrassV2IoT ThingPolicy pelo nome da política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

Se for bem-sucedida, a operação retornará uma resposta semelhante à do exemplo a seguir.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}