Greengrass 服務角色

1. 導覽至 AWS IoT主控台。

2. 在導覽窗格中，選擇設定。

3. 捲動至 Greengrass service role (Greengrass 服務角色) 區段，查看您的服務角色及其政策。

   如果您看不到服務角色，主控台可以為您建立或設定服務角色。如需詳細資訊，請參閱 建立 Greengrass 服務角色。

1. 導覽至 AWS IoT主控台。

2. 在導覽窗格中，選擇設定。

3. 在「服務角色」下，選擇「變更角色」。

   [更新 Greengrass 服務角色] 對話方塊隨即開啟，並顯示您在定義AWS IoT Greengrass為受信任實體AWS 帳戶的 IAM 角色。

4. 選擇要附加的 Greengrass 色服務角色。

5. 選擇 [附加角色]。

1. 導覽至 AWS IoT主控台。

2. 在導覽窗格中，選擇設定。

3. 在 [Greengrass 服務角色] 下，選擇 [卸離角色]。

4. 在確認對話方塊中，選擇 Detach (分離)。

• 取得服務角色。將區域取代為您的 AWS 區域 (例如，us-west-2)。

  aws greengrassv2 get-service-role-for-account --region region

  如果 Greengrass 服務角色已與您的帳戶相關聯，則要求會傳回下列角色中繼資料。

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  如果請求未傳回角色中繼資料，則您必須建立服務角色 (如果該角色不存在)，並將其與AWS 區域.

使用 IAM 建立服務角色

1. 使用允許 AWS IoT Greengrass 擔任角色之信任政策的角色。此範例會建立名為 Greengrass_ServiceRole 的角色，但您可以使用不同的名稱。我們建議您也在信任原則中加入aws:SourceArn和aws:SourceAccount全域條件內容金鑰，以協助避免混淆的副安全性問題。條件內容索引鍵會限制存取權，只允許來自指定帳戶和 Greengrass 工作區的要求。如需有關混淆代理人問題的詳細資訊，請參閱 預防跨服務混淆代理人。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。

3. 將 AWSGreengrassResourceAccessRolePolicy 政策連接到角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

若要將服務角色與您的 AWS 帳戶

• 將角色與您的帳戶相關聯。將角色 arn 替換為服務角色 ARN 和區域為您的AWS 區域（例如，）。us-west-2

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  如果成功，請求會傳回下列回應。

  {
    "associatedAt": "timestamp"
  }

• 將服務角色與您的帳戶取消關聯。將區域取代為您的 AWS 區域 (例如，us-west-2)。

  aws greengrassv2 disassociate-service-role-from-account --region region

  如果成功，會傳回下列回應。

  {
    "disassociatedAt": "timestamp"
  }

  注意

  如果您沒有在任何服務角色中使用，則應刪除該服務角色AWS 區域。首先，使用 delete-role-policy 將 AWSGreengrassResourceAccessRolePolicy 受管政策從角色中分離，然後使用 delete-role 來刪除角色。如需詳細資訊，請參閱 IAM 使用者指南中的刪除角色或執行個體描述檔。