Greengrass 服务角色

1. 从AWS IoT 控制台导航窗格中，选择设置。

2. 滚动到 Greengrass 服务角色部分以查看您的服务角色及其策略。

   如果没有看到服务角色，可以让控制台为您创建或配置一个。有关更多信息，请参阅 创建 Greengrass 服务角色。

1. 从AWS IoT 控制台导航窗格中，选择设置。

2. 在 Greengrass 服务角色下，选择 更改角色。

   “更新 Greengrass 服务角色” 对话框打开，其中显示了 AWS 账户 您中定义为可信实体的 IAM 角色。 AWS IoT Greengrass

3. 选择要附加的 Greengrass 服务角色。

4. 选择附加角色。

1. 从AWS IoT 控制台导航窗格中，选择设置。

2. 在 Greengrass 服务角色 下，选择 移除角色。

3. 在确认对话框中，选择 Detach (分离)。

• 获取服务角色。region替换为你的 AWS 区域 （例如，us-west-2）。

  aws Greengrass get-service-role-for-account --region region

  如果 Greengrass 服务角色已与您的账户关联，则将返回以下角色元数据。

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  如果未返回任何角色元数据，则您必须创建服务角色（如果该角色不存在）并将其与您在 AWS 区域中的账户关联。

使用 IAM 创建服务角色

1. 使用允许代入该角色 AWS IoT Greengrass 的信任策略创建角色。此示例将创建一个名为 Greengrass_ServiceRole 的角色，但您也可以使用其他名称。我们建议您在信任策略中加入 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，以帮助防止出现混淆代理人安全问题。条件上下文键可限制访问权限，仅允许来自指定账户和 Greengrass 工作空间的请求。有关混淆代理人问题的更多信息，请参阅 防止跨服务混淆代理。

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   anchoranchor
   • Linux, macOS, or Unix
   • Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

2. 从输出中的角色元数据复制角色 ARN。使用该 ARN 将角色与您的账户关联。

3. 将 AWSGreengrassResourceAccessRolePolicy 策略附加到该角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

将服务角色与您的关联 AWS 账户

• 将角色与您的账户关联。role-arn替换为服务角色 ARN 和您region的 AWS 区域 （例如）。us-west-2

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  如果成功，将返回以下响应。

  {
    "AssociatedAt": "timestamp"
  }

• 取消服务角色与您的账户的关联。region替换为你的 AWS 区域 （例如，us-west-2）。

  aws greengrass disassociate-service-role-from-account --region region

  如果成功，将返回以下响应。

  {
    "DisassociatedAt": "timestamp"
  }

  注意

  如果您未在任何服务角色中使用该角色，则应将其删除 AWS 区域。先使用 delete-role-policy 从角色中移除 AWSGreengrassResourceAccessRolePolicy 托管策略，然后使用 delete-role 删除角色。有关更多信息，请参阅《IAM 用户指南》中的删除角色或实例配置文件。