Perfil de serviço do Greengrass

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Role até a seção Perfil de serviço do Greengrass para ver o perfil de serviço e as políticas dela.

   Se você não vê uma função de serviço, o console pode criar ou configurar uma para você. Para ter mais informações, consulte Criar o perfil de serviço do Greengrass.

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Em Perfil de serviço do Greengrass, selecione Change role (Mudar perfil).

   A caixa de diálogo Atualizar perfil de serviço do Greengrass é aberta e mostra as funções do IAM em sua Conta da AWS que definem AWS IoT Greengrass como uma entidade confiável.

4. Selecione o perfil de serviço do Greengrass a ser anexado.

5. Selecione Anexar função.

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Em Perfil de serviço do Greengrass, selecione Detach role (Desanexar função).

4. Na caixa de diálogo de confirmação, selecione Detach (Desvincular).

• Obtenha o perfil de serviço. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 get-service-role-for-account --region region

  Se uma função de serviço do Greengrass já estiver associada à sua conta, a solicitação retornará os seguintes metadados da função.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Se a solicitação não retornar metadados da função, você deverá criar a função de serviço (se ela não existir) e associá-la à sua conta noRegião da AWS.

Como criar o perfil de serviço usando o IAM

1. Crie uma função com uma política de confiança que permita que o AWS IoT Greengrass assuma a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema confused deputy, consulte Prevenção do problema do substituto confuso entre serviços.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Para associar o perfil de serviço à sua conta da Conta da AWS

• Associe a função à sua conta. Substitua role-arn pelo ARN do perfil de serviço e região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  Se for bem-sucedida, a solicitação retornará a seguinte resposta.

  {
    "associatedAt": "timestamp"
  }

• Desassocie a perfil de serviço da conta. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 disassociate-service-role-from-account --region region

  Se houver êxito, a resposta a seguir será retornada.

  {
    "disassociatedAt": "timestamp"
  }

  nota

  Você deverá excluir o perfil de serviço se não o estiver usando em nenhuma Região da AWS. Primeiro, use delete-role-policy para desanexar a política gerenciada AWSGreengrassResourceAccessRolePolicy da função e, depois, use delete-role para excluir a função. Para obter mais informações sobre como excluir uma função, consulte Excluir funções ou perfis de instância no Manual do usuário do IAM.