Rol de servicio de Greengrass

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. Desplácese hasta la sección Greengrass service role (Rol de servicio de Greengrass) para ver el rol de servicio y sus políticas.

   Si no ve ningún rol de servicio, la consola puede crear o configurar uno por usted. Para obtener más información, consulte Creación del rol de servicio de Greengrass.

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. En Rol de servicio de Greengrass, seleccione Elegir un rol diferente.

   Se abre el cuadro de diálogo Actualizar el rol de servicio de Greengrass y muestra los roles de IAM en su Cuenta de AWS que definen AWS IoT Greengrass como una entidad de confianza.

4. Elija el rol de servicio de Greengrass que desee asignar.

5. Elija Adjuntar rol.

1. Vaya a la consola de AWS IoT.

2. En el panel de navegación, seleccione Configuración.

3. En Rol de servicio de Greengras, seleccione Desasociar rol.

4. En el cuadro de diálogo de confirmación, elija Desconectar.

• Obtenga el rol de servicio. Sustituya región por su Región de AWS (por ejemplo, us-west-2).

  aws greengrassv2 get-service-role-for-account --region region

  Si ya hay un rol de servicio de Greengrass asociado a su cuenta, la solicitud devuelve los siguientes metadatos de rol.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Si la solicitud no devuelve ningún metadato de rol, entonces debe crear el rol de servicio (si no existe) y asociarlo a su cuenta en la Región de AWS.

Para crear el rol de servicio mediante IAM

1. Cree el rol con una política de confianza que permita a AWS IoT Greengrass asumir el rol. Este ejemplo crea un rol denominado Greengrass_ServiceRole, pero puede utilizar un nombre distinto. Le recomendamos que incluya también las claves de contexto de condición global aws:SourceArn y aws:SourceAccount en su política de confianza para ayudar a prevenir el problema de seguridad del suplente confuso. Las claves de contexto de condición restringen el acceso para permitir solo las solicitudes que provienen de la cuenta especificada y del espacio de trabajo de Greengrass. Para obtener más información sobre el problema del suplente confuso, consulte Prevención de la sustitución confusa entre servicios.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",		 	 	 \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie el ARN del rol de los metadatos del rol en la salida. Puede utilizar el ARN para asociar el rol a su cuenta.

3. Asocie la política de AWSGreengrassResourceAccessRolePolicy al rol.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Para asociar el rol de servicio con su Cuenta de AWS

• Asocie el rol a su cuenta. Reemplace arn-rol por el ARN del rol de servicio y región por su Región de AWS (por ejemplo, us-west-2).

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  Si se realiza correctamente, la solicitud devuelve la siguiente respuesta.

  {
    "associatedAt": "timestamp"
  }

• Desasocie el rol de servicio de su cuenta. Sustituya región por su Región de AWS (por ejemplo, us-west-2).

  aws greengrassv2 disassociate-service-role-from-account --region region

  Si se ejecuta correctamente, se devuelve la siguiente respuesta.

  {
    "disassociatedAt": "timestamp"
  }

  nota

  Debe eliminar el rol de servicio si no lo está utilizando en ninguna Región de AWS. Use primero delete-role-policy para desasociar la política administrada AWSGreengrassResourceAccessRolePolicy del rol y, a continuación, utilice delete-role para eliminar el rol. Para obtener más información, consulte Eliminación de roles o perfiles de instancia en la Guía del usuario de IAM.