Come AWS IoT Greengrass funziona con IAM - AWS IoT Greengrass
Policy basate sull’identità Policy basate sulle risorseElenchi di controllo degli accessi () ACLsAutorizzazione basata su tag ruoli IAM per AWS IoT Greengrass

Avviso di fine del supporto: il 7 ottobre 2026, AWS il supporto per. AWS IoT Greengrass Version 1 Dopo il 7 ottobre 2026, non potrai più accedere alle risorse. AWS IoT Greengrass V1 Per ulteriori informazioni, visita Migrate from. AWS IoT Greengrass Version 1

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Come AWS IoT Greengrass funziona con IAM

Prima di utilizzare IAM per gestire l'accesso AWS IoT Greengrass, è necessario comprendere le funzionalità IAM con cui è possibile utilizzare AWS IoT Greengrass.

Funzionalità IAM

Supportata da Greengrass?

Policy basate sull'identità con autorizzazioni a livello di risorse

 Sì

Policy basate su risorse

 No

Liste di controllo degli accessi (ACLs)

 No

Autorizzazione basata su tag

No

Credenziali temporanee

 Sì

Ruoli collegati al servizio

 No

Ruoli di servizio

 Sì

Per una panoramica di alto livello su come gli altri AWS servizi funzionano con IAM, consulta AWS i servizi che funzionano con IAM nella IAM User Guide.

Politiche basate sull'identità per AWS IoT Greengrass

Con le policy basate sull'identità IAM, puoi specificare azioni e risorse consentite o negate e le condizioni in base alle quali le azioni sono consentite o negate. AWS IoT Greengrass supporta azioni, risorse e chiavi di condizione specifiche. Per conoscere tutti gli elementi utilizzati in una policy, consulta il riferimento agli elementi della policy IAM JSON nella IAM User Guide.

Operazioni

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento Action di una policy JSON descrive le operazioni che è possibile utilizzare per consentire o negare l’accesso a un criterio. Includere le operazioni in una policy per concedere le autorizzazioni a eseguire l’operazione associata.

Azioni politiche per AWS IoT Greengrass utilizzare il greengrass: prefisso prima dell'azione. Ad esempio, per consentire a qualcuno di utilizzare l'operazione ListGroups API per elencare i gruppi che lo compongono Account AWS, includi l'greengrass:ListGroupsazione nella sua politica. Le istruzioni delle policy devono includere un elemento Action o NotAction. AWS IoT Greengrass definisce un proprio set di operazioni che descrivono le attività che è possibile eseguire con questo servizio.

Per specificare più azioni in una singola istruzione, elencale tra parentesi ([]) e separale con virgole, come segue:

"Action": [
    "greengrass:action1",
    "greengrass:action2",
    "greengrass:action3"
]

È possibile utilizzare i caratteri jolly (*) per specificare più operazioni. Ad esempio, per specificare tutte le azioni che iniziano con la parola List, includi la seguente azione:

"Action": "greengrass:List*"
Nota

Si consiglia di evitare l'uso di caratteri jolly per specificare tutte le operazioni disponibili per un servizio. Come procedura consigliata, è necessario concedere privilegi minimi e autorizzazioni di ambito ristretto in una policy. Per ulteriori informazioni, consulta Concedere autorizzazioni minime possibili.

Per l'elenco completo delle AWS IoT Greengrass azioni, consulta Actions Defined by AWS IoT Greengrass nella IAM User Guide.

Risorse

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L’elemento JSON Resource della policy specifica l’oggetto o gli oggetti ai quali si applica l’operazione. Come best practice, specificare una risorsa utilizzando il suo nome della risorsa Amazon (ARN). Per le azioni che non supportano le autorizzazioni a livello di risorsa, usa un carattere jolly (*) per indicare che l'istruzione si applica a tutte le risorse.

"Resource": "*"

La tabella seguente contiene la AWS IoT Greengrass risorsa ARNs che può essere utilizzata nell'elemento di una dichiarazione politica. Resource Per una mappatura delle autorizzazioni a livello di risorsa supportate per le AWS IoT Greengrass azioni, consulta Actions Defined by AWS IoT Greengrass nella IAM User Guide.

Risorsa ARN
Group arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}
GroupVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/versions/${VersionId}
CertificateAuthority arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/certificateauthorities/${CertificateAuthorityId}
Deployment arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/deployments/${DeploymentId}
BulkDeployment arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/bulk/deployments/${BulkDeploymentId}
ConnectorDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}
ConnectorDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}/versions/${VersionId}
CoreDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}
CoreDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}/versions/${VersionId}
DeviceDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}
DeviceDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}/versions/${VersionId}
FunctionDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}
FunctionDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}/versions/${VersionId}
LoggerDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}
LoggerDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}/versions/${VersionId}
ResourceDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}
ResourceDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}/versions/${VersionId}
SubscriptionDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}
SubscriptionDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}/versions/${VersionId}
ConnectivityInfo arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/things/${ThingName}/connectivityInfo

L'Resourceelemento di esempio seguente specifica l'ARN di un gruppo nella regione Stati Uniti occidentali (Oregon) in: Account AWS 123456789012

"Resource": "arn:aws:greengrass:us-west-2:123456789012:/greengrass/groups/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111

Oppure, per specificare tutti i gruppi che appartengono Account AWS a un gruppo specifico Regione AWS, utilizzate il carattere jolly al posto dell'ID del gruppo:

"Resource": "arn:aws:greengrass:us-west-2:123456789012:/greengrass/groups/*"

Alcune AWS IoT Greengrass azioni (ad esempio, alcune operazioni sugli elenchi) non possono essere eseguite su una risorsa specifica. In questi casi, è necessario utilizzare solo il carattere jolly.

"Resource": "*"

Per specificare più risorse ARNs in un'istruzione, elencale tra parentesi ([]) e separale con virgole, come segue:

"Resource": [
    "resource-arn1",
    "resource-arn2",
    "resource-arn3"
]

Per ulteriori informazioni sui formati ARN, consulta Amazon Resource Names (ARNs) e i namespace dei AWS servizi nel. Riferimenti generali di Amazon Web Services

Chiavi di condizione

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale entità principale può eseguire operazioni su quali risorse e in quali condizioni.

L'Conditionelemento specifica quando le istruzioni vengono eseguite in base a criteri definiti. È possibile compilare espressioni condizionali che utilizzano operatori di condizione, ad esempio uguale a o minore di, per soddisfare la condizione nella policy con i valori nella richiesta. Per visualizzare tutte le chiavi di condizione AWS globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

AWS IoT Greengrass supporta le seguenti chiavi di condizione globali.

Chiave Descrizione
aws:CurrentTime Filtra l'accesso controllando date/time le condizioni per la data e l'ora correnti.
aws:EpochTime Filtra l'accesso controllando date/time le condizioni per la data e l'ora correnti in Epoch o Unix.
aws:MultiFactorAuthAge Filtra l'accesso controllando quanto tempo fa (in secondi) le credenziali di sicurezza convalidate dalla Multi-Factor Authentication (MFA) che hanno effettuato la richiesta sono state create utilizzando l'MFA.
aws:MultiFactorAuthPresent Filtra l'accesso verificando se la Multi-Factor Authentication (MFA) è stata utilizzata per convalidare le credenziali di sicurezza provvisorie che hanno effettuato la richiesta attuale.
aws:RequestTag/${TagKey} Filtra le richieste di creazione in base alla serie di valori consentita per ciascuno dei tag obbligatori.
aws:ResourceTag/${TagKey} Filtra le operazioni in base al valore del tag associato alla risorsa.
aws:SecureTransport Filtra l'accesso controllando se la richiesta è stata inviata tramite SSL.
aws:TagKeys Filtra le richieste di creazione in base alla presenza di tag obbligatori nella richiesta.
aws:UserAgent Filtra l'accesso dall'applicazione client del richiedente.

Per ulteriori informazioni, consultare Chiavi di contesto delle condizioni globali AWS nella Guida per l'utente IAM.

Esempi

Per visualizzare esempi di politiche basate sull' AWS IoT Greengrass identità, vedere. Esempi di policy basate su identità per AWS IoT Greengrass

Politiche basate sulle risorse per AWS IoT Greengrass

AWS IoT Greengrass non supporta politiche basate sulle risorse.

Elenchi di controllo degli accessi () ACLs

AWS IoT Greengrass non supporta ACLs.

Autorizzazione basata su tag AWS IoT Greengrass

AWS IoT Greengrass non supporta l'autorizzazione basata su tag.

ruoli IAM per AWS IoT Greengrass

Un ruolo IAM è un'entità interna all'utente Account AWS che dispone di autorizzazioni specifiche.

Utilizzo di credenziali temporanee con AWS IoT Greengrass

Le credenziali temporanee vengono utilizzate per accedere con la federazione, assumere un ruolo IAM o assumere un ruolo tra account. È possibile ottenere credenziali di sicurezza temporanee chiamando operazioni AWS STS API come o. AssumeRoleGetFederationToken

Sul core di Greengrass, le credenziali temporanee per il ruolo di gruppo sono rese disponibili per le funzioni e i connettori Lambda definiti dall'utente. Se le funzioni Lambda utilizzano l' AWS SDK, non è necessario aggiungere logica per ottenere le credenziali perché l' AWS SDK lo fa per te.

Ruoli collegati ai servizi

AWS IoT Greengrass non supporta i ruoli collegati ai servizi.

Ruoli dei servizi

Questa caratteristica consente a un servizio di assumere un ruolo di servizio per conto dell'utente. Questo ruolo consente al servizio di accedere alle risorse in altri servizi per completare un'azione per conto dell'utente. I ruoli dei servizi sono visualizzati nell'account IAM e sono di proprietà dell'account. Ciò significa che un amministratore IAM può modificare le autorizzazioni per questo ruolo. Tuttavia, questo potrebbe pregiudicare la funzionalità del servizio.

AWS IoT Greengrass utilizza un ruolo di servizio per accedere ad alcune delle tue AWS risorse per tuo conto. Per ulteriori informazioni, consulta Ruolo del servizio Greengrass.

Scelta di un ruolo IAM nella AWS IoT Greengrass console

Nella AWS IoT Greengrass console, potresti dover scegliere un ruolo di servizio Greengrass o un ruolo di gruppo Greengrass da un elenco di ruoli IAM nel tuo account.

  • Il ruolo di servizio Greengrass consente di accedere AWS IoT Greengrass alle tue AWS risorse in altri servizi per tuo conto. In genere, non è necessario scegliere il ruolo del servizio perché la console può crearlo e configurarlo per l'utente. Per ulteriori informazioni, consulta Ruolo del servizio Greengrass.

  • Il ruolo del gruppo Greengrass viene utilizzato per consentire alle funzioni e ai connettori Greengrass Lambda del gruppo di accedere alle risorse dell'utente. AWS Può anche concedere AWS IoT Greengrass le autorizzazioni per esportare flussi verso i servizi e scrivere AWS registri. CloudWatch Per ulteriori informazioni, consulta Ruolo del gruppo Greengrass.