授權核心裝置與 AWS 服務互動 - AWS IoT Greengrass

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

授權核心裝置與 AWS 服務互動

AWS IoT Greengrass 核心裝置會使用 AWS IoT Core 憑證提供者來授權對 AWS 服務的呼叫。 AWS IoT Core 憑證提供者可讓裝置使用其 X.509 憑證作為唯一裝置身分識別來驗證 AWS 要求。這樣就不需要在 AWS IoT Greengrass 核心設備上 AWS 存儲訪問密鑰 ID 和秘密訪問密鑰。如需詳細資訊,請參閱AWS IoT Core 開發人員指南的授權直接呼叫 AWS 服務

執行 AWS IoT Greengrass Core 軟體時,您可以選擇佈建核心裝置所需的 AWS 資源。這包括核心裝置透過 AWS IoT Core 登入資料提供者承擔的 AWS Identity and Access Management (IAM) 角色。使用--provision true引數來設定允許核心裝置取得暫時 AWS 認證的角色和原則。此引數也會設定指向此 IAM AWS IoT 角色的角色別名。您可以指定要使用的 IAM 角色和 AWS IoT 角色別名的名稱。如果--provision true不指定這些其他名稱參數,Greengrass 核心裝置會建立並使用下列預設資源:

  • IAM 角色:GreengrassV2TokenExchangeRole

    此角色具有名為的原則,以GreengrassV2TokenExchangeRoleAccess及允credentials.iot.amazonaws.com許擔任角色的信任關係。此原則包含核心裝置的最低權限。

    重要

    此政策不包括對 S3 儲存貯體中檔案的存取。您必須向角色新增許可,才能允許核心裝置從 S3 儲存貯體擷取元件成品。如需詳細資訊,請參閱 允許存取元件成品的 S3 儲存貯體

  • AWS IoT 角色別名:GreengrassV2TokenExchangeRoleAlias

    此角色別名指的是 IAM 角色。

如需詳細資訊,請參閱 步驟 3:安裝AWS IoT Greengrass核心軟體

您也可以為現有核心裝置設定角色別名。為此,請iotRoleAlias配置 Greengrass 核組件的配置參數。

您可以取得此 IAM 角色的臨時 AWS 登入資料,以便在自訂元件中執行 AWS 作業。如需詳細資訊,請參閱 與AWS服務互動

核心裝置的服務角色權限

此角色可讓下列服務擔任該角色:

  • credentials.iot.amazonaws.com

如果您使用 AWS IoT Greengrass Core 軟體建立此角色,它會使用下列權限原則來允許核心裝置連線並將記錄檔傳送至 AWS。政策的名稱預設為 IAM 角色的名稱Access。例如,如果您使用預設的 IAM 角色名稱,則此政策的名稱為GreengrassV2TokenExchangeRoleAccess

Greengrass nucleus v2.5.0 and later
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams", "s3:GetBucketLocation" ], "Resource": "*" } ] }
v2.4.x
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:DescribeCertificate", "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams", "s3:GetBucketLocation" ], "Resource": "*" } ] }
Earlier than v2.4.0
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:DescribeCertificate", "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:DescribeLogStreams", "iot:Connect", "iot:Publish", "iot:Subscribe", "iot:Receive", "s3:GetBucketLocation" ], "Resource": "*" } ] }

允許存取元件成品的 S3 儲存貯體

預設的核心裝置角色不允許核心裝置存取 S3 儲存貯體。若要部署 S3 儲存貯體中包含成品的元件,您必須新增允s3:GetObject許核心裝置下載元件成品的權限。您可以將新策略添加到核心設備角色以授予此權限。

新增允許存取 Amazon S3 中元件成品的政策
  1. 創建一個名為的文件,component-artifact-policy.json並將以下 JSON 複製到該文件中。此政策允許存取 S3 儲存貯體中的所有檔案。以 S3 儲存貯體的名稱取代 DOC-EXAMPLE 儲存貯體,以允許核心裝置存取。

    { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject" ], "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*" } ] }
  2. 執行下列命令,從中的策略文件建立策略component-artifact-policy.json

    Linux or Unix
    aws iam create-policy \ --policy-name MyGreengrassV2ComponentArtifactPolicy \ --policy-document file://component-artifact-policy.json
    Windows Command Prompt (CMD)
    aws iam create-policy ^ --policy-name MyGreengrassV2ComponentArtifactPolicy ^ --policy-document file://component-artifact-policy.json
    PowerShell
    aws iam create-policy ` --policy-name MyGreengrassV2ComponentArtifactPolicy ` --policy-document file://component-artifact-policy.json

    從輸出中的政策中繼資料複製政策 Amazon 資源名稱 (ARN)。您可以使用此 ARN 將此原則附加至下一個步驟中的核心裝置角色。

  3. 執行下列命令,將原則附加至核心裝置角色。將 GreenRassv2 TokenExchangeRole 取代為您在執行核心軟體時指定的角色名稱。 AWS IoT Greengrass 然後,將原則 ARN 取代為上一個步驟的 ARN。

    Linux or Unix
    aws iam attach-role-policy \ --role-name GreengrassV2TokenExchangeRole \ --policy-arn arn:aws:iam::123456789012:policy/MyGreengrassV2ComponentArtifactPolicy
    Windows Command Prompt (CMD)
    aws iam attach-role-policy ^ --role-name GreengrassV2TokenExchangeRole ^ --policy-arn arn:aws:iam::123456789012:policy/MyGreengrassV2ComponentArtifactPolicy
    PowerShell
    aws iam attach-role-policy ` --role-name GreengrassV2TokenExchangeRole ` --policy-arn arn:aws:iam::123456789012:policy/MyGreengrassV2ComponentArtifactPolicy

    如果命令沒有輸出,表示它成功,並且您的核心裝置可以存取您上傳到此 S3 儲存貯體的成品。