Greengrass 服務角色

1. 來自AWS IoT安慰導覽窗格中，選擇設定。

2. 捲動至 Greengrass service role (Greengrass 服務角色) 區段，查看您的服務角色及其政策。

   如果您沒有看到服務角色，您可以讓主控台為您建立或設定服務角色。如需詳細資訊，請參閱 建立 Greengrass 服務角色。

1. 來自AWS IoT安慰導覽窗格中，選擇設定。

2. UnderGreengrass 服務角色，選擇變更角色。

   所以此更新 Greengrass 服務角色對話方塊隨即開啟，並顯示您的 IAM 角色AWS 帳戶定義AWS IoT Greengrass作為受信任的實體。

3. 選擇 Greengrass 服務角色以連接。

4. 選擇連接角色。

1. 來自AWS IoT安慰導覽窗格中，選擇設定。

2. UnderGreengrass 服務角色，選擇分離角色。

3. 在確認對話方塊中，選擇 Detach (分離)。

• 取得服務角色。Replace區域與您的AWS 區域(例如，us-west-2。

  aws Greengrass get-service-role-for-account --region region

  如果 Greengrass 服務角色已與您的帳戶關聯，會傳回下列的角色中繼資料。

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  如果沒有傳回角色中繼資料，則您必須建立服務角色 (如果角色不存在)，並將該角色與您在的帳戶相關聯AWS 區域。

使用 IAM 建立服務角色

1. 建立包含信任政策，可讓 AWS IoT Greengrass 擔任角色之角色。此範例會建立名為 Greengrass_ServiceRole 的角色，但您可以使用不同的名稱。我們推薦您也包含aws:SourceArn和aws:SourceAccount信任策略中的全局條件上下文鍵，以幫助防止混淆代理人安全問題。條件內容索引鍵會限制存取權，只允許來自指定帳戶和 Greengrass 工作區的要求。如需混淆代理人問題的詳細資訊，請參閱預防跨服務混淆代理人。

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。

3. 將 AWSGreengrassResourceAccessRolePolicy 政策連接到角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

將服務角色與您的AWS 帳戶

• 將角色與您的帳戶相關聯。Replace角色 arn具有服務角色 ARN區域與您的AWS 區域(例如，us-west-2。

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  如果成功，會傳回下列回應。

  {
    "AssociatedAt": "timestamp"
  }

• 將服務角色與您的帳戶取消關聯。Replace區域與您的AWS 區域(例如，us-west-2。

  aws greengrass disassociate-service-role-from-account --region region

  如果成功，會傳回下列回應。

  {
    "DisassociatedAt": "timestamp"
  }

  注意

  如果您不使用服務角色，則應該刪除服務角色AWS 區域。首先，使用 delete-role-policy 將 AWSGreengrassResourceAccessRolePolicy 受管政策從角色中分離，然後使用 delete-role 來刪除角色。如需詳細資訊，請參閱 IAM 使用者指南中的刪除角色或執行個體描述檔。