Accesso alle risorse tra più account utilizzando AWS IoT rules

Configura AWS CLI utilizzando l’account IAM dell'utente A.

Crea un ruolo IAM che si fidi del motore AWS IoT delle regole e allega una policy che consenta l'accesso alla coda Amazon SQS dell'account B. Consulta i comandi di esempio e i documenti relativi alle policy in Granting the required access. AWS IoT

Per creare una regola collegata a un argomento, esegui il comando create-topic-rule.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nella coda Amazon SQS specificata. L'istruzione SQL filtra i messaggi e l'ARN del ruolo concede ad AWS IoT l'autorizzazione per aggiungere il messaggio alla cosa di Amazon SQS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sqs": {
				"queueUrl": "https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role",
				"useBase64": false
			}
		}
	]
}

Per ulteriori informazioni su come definire un'azione Amazon SQS in una AWS IoT regola, consulta AWS IoT Rule actions - Amazon SQS.

Configura AWS CLI utilizzando l'account IAM dell’utente B.

Per concedere le autorizzazioni per la risorsa della coda Amazon SQS per l'account A, esegui il comando add-permission.

aws sqs add-permission --queue-url https://sqs.region.amazonaws.com/2222-2222-2222/ExampleQueue --label SendMessagesToMyQueue --aws-account-ids 1111-1111-1111 --actions SendMessage

Configura AWS CLI utilizzando l'account IAM dell’utente A.

Crea un ruolo IAM che si fidi del motore AWS IoT delle regole e allega una policy che consenta l'accesso all'argomento Amazon SNS dell'account B. Ad esempio, comandi e documenti relativi alle policy, consulta Concessione AWS IoT dell'accesso richiesto.

Per creare una regola collegata a un argomento, esegui il comando create-topic-rule.

aws iot create-topic-rule --rule-name myRule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nell’argomento Amazon SNS specificato. L'istruzione SQL filtra i messaggi e l'ARN del ruolo concede ad AWS IoT l'autorizzazione per inviare il messaggio all’argomento Amazon SNS.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"sns": {
				"targetArn": "arn:aws:sns:region:2222-2222-2222:ExampleTopic",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Per ulteriori informazioni su come definire un'azione Amazon SNS in una AWS IoT regola, consulta AWS IoT Rule actions - Amazon SNS.

Configura AWS CLI utilizzando l’account IAM dell'utente B.

Per concedere l'autorizzazione alla risorsa dell’argomento Amazon SNS all'account A, esegui il comando add-permission.

aws sns add-permission --topic-arn arn:aws:sns:region:2222-2222-2222:ExampleTopic --label Publish-Permission --aws-account-id 1111-1111-1111 --action-name Publish

Configura AWS CLI utilizzando l’account IAM dell'utente A.

Crea un ruolo IAM che si fidi del motore AWS IoT delle regole e alleghi una policy che consenta l'accesso al bucket Amazon S3 dell'account B. Ad esempio, comandi e documenti relativi alle policy, vedi Concessione AWS IoT dell'accesso richiesto.

Per creare una regola collegata al bucket S3 di destinazione, esegui il comando create-topic-rule.

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nel bucket Amazon S3 specificato. L'istruzione SQL filtra i messaggi e l'ARN del ruolo concede ad AWS IoT l'autorizzazione per aggiungere il messaggio nel bucket Amazon S3.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"s3": {
				"bucketName": "amzn-s3-demo-bucket",
				"key": "${topic()}/${timestamp()}",
				"roleArn": "arn:aws:iam::1111-1111-1111:role/my-iot-role"
			}
		}
	]
}

Per ulteriori informazioni su come definire un'azione Amazon S3 in una AWS IoT regola, consulta AWS IoT Rule actions - Amazon S3.

Configura AWS CLI utilizzando l’account IAM dell'utente B.

Crea una policy bucket che consideri attendibile l'entità dell'account A principale.

Di seguito è riportato un esempio di file di payload che definisce una policy di bucket che considera attendibile l'entità di un altro account.

Per ulteriori informazioni, consulta Esempi di policy bucket.

Per collegare la policy di bucket al bucket specificato, esegui il comando put-bucket-policy.

aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://./amzn-s3-demo-bucket-policy.json

Per far sì che l'accesso tra account funzioni, assicurati di avere l’impostazione corretta Blocca tutti gli accessi pubblici. Per ulteriori informazioni, consulta Best practice relative alla sicurezza per Amazon S3.

Configura AWS CLI utilizzando l’account IAM dell'utente A.

Esegui il comando create-topic-rule per creare una regola che definisca l'accesso tra account alla funzione Lambda dell'account B.

aws iot create-topic-rule --rule-name my-rule --topic-rule-payload file://./my-rule.json

Di seguito è riportato un esempio di file di payload con una regola che inserisce tutti i messaggi inviati all'argomento iot/test nella funzione Lambda specificata. L'istruzione SQL filtra i messaggi e l'ARN del ruolo concede ad AWS IoT l'autorizzazione per il passaggio dei dati alla funzione Lambda.

{
	"sql": "SELECT * FROM 'iot/test'",
	"ruleDisabled": false,
	"awsIotSqlVersion": "2016-03-23",
	"actions": [
		{
			"lambda": {
				"functionArn": "arn:aws:lambda:region:2222-2222-2222:function:example-function"
			}
		}
	]
}

Per ulteriori informazioni su come definire un' AWS Lambda azione in una AWS IoT regola, leggi le azioni delle regole - AWS IoT Lambda.

Configura AWS CLI utilizzando l'account IAM dell’utente B.

Esegui il comando add-permission di Lambda per autorizzare AWS IoT le regole ad attivare la funzione Lambda. Per eseguire il seguente comando, l'utente IAM dovrebbe avere l'autorizzazione per l’operazione lambda:AddPermission.

aws lambda add-permission --function-name example-function --region us-east-1 --principal iot.amazonaws.com --source-arn arn:aws:iot:region:1111-1111-1111:rule/example-rule --source-account 1111-1111-1111 --statement-id "unique_id" --action "lambda:InvokeFunction"

Opzioni:

--principal

Questo campo dà il permesso AWS IoT (rappresentato daiot.amazonaws.com) di chiamare la funzione Lambda.

--source-arn

Questo campo conferma che solo arn:aws:iot:region:1111-1111-1111:rule/example-rule in AWS IoT  attiva questa funzione Lambda e che nessun'altra regola nello stesso o in un altro account può attivare questa funzione Lambda.

--source-account

Questo campo conferma che AWS IoT attiva questa funzione Lambda solo per conto dell'account. 1111-1111-1111