Conecte dispositivos cliente aos dispositivos principais

Verifique se a função de serviço do Greengrass está associada AWS IoT Greengrass à sua Conta da AWS nesta região. Faça o seguinte:

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Na seção Perfil de serviço do Greengrass, encontre Perfil de serviço atual para ver se um perfil de serviço do Greengrass está associado.

   Se você tiver um perfil de serviço do Greengrass associado, você atende a esse requisito para usar o componente detector de IP. Vá para Configure a política da AWS IoT coisa.

Se a função de serviço do Greengrass não estiver associada AWS IoT Greengrass à sua Conta da AWS nesta região, crie uma função de serviço do Greengrass e associe-a. Faça o seguinte:

1. Navegue até o console do IAM.

2. Escolha Roles.

3. Selecione Criar perfil.

4. Na página Criar perfil, faça o seguinte:

   1. Em Tipo de entidade confiável, escolha AWS service (Serviço da AWS).

   2. Em Caso de uso, Casos de uso para outros Serviços da AWS, escolha Greengrass, selecione Greengrass. Essa opção especifica a adição AWS IoT Greengrass como uma entidade confiável que pode assumir essa função.

   3. Escolha Próximo.

   4. Em Políticas de permissões, selecione AWSGreengrassResourceAccessRolePolicypara anexar à função.

   5. Escolha Próximo.

   6. Em Nome do perfil, insira um nome exclusivo para o perfil, como Greengrass_ServiceRole.

   7. Selecione Criar perfil.

5. Navegue até o console do AWS IoT.

6. No painel de navegação, selecione Configurações.

7. Na seção Perfil de serviço do Greengrass, escolha Anexar perfil.

8. No modal Atualizar perfil de serviço do Greengrass, selecione o perfil do IAM que você criou e escolha Anexar perfil.

Verifique se a função de serviço do Greengrass está associada AWS IoT Greengrass à sua Conta da AWS nesta região.

aws greengrassv2 get-service-role-for-account

Se o perfil de serviço do Greengrass estiver associado, a operação retornará uma resposta que contém informações sobre o perfil.

Se você tiver um perfil de serviço do Greengrass associado, você atende a esse requisito para usar o componente detector de IP. Vá para Configure a política da AWS IoT coisa.

Se a função de serviço do Greengrass não estiver associada AWS IoT Greengrass à sua Conta da AWS nesta região, crie uma função de serviço do Greengrass e associe-a. Faça o seguinte:

1. Crie uma função com uma política de confiança que AWS IoT Greengrass permita assumir a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema confused deputy, consulte Prevenção do problema do substituto confuso entre serviços.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. Associe a função de serviço do Greengrass com AWS IoT Greengrass for your. Conta da AWSrole-arnSubstitua pelo ARN da função de serviço.

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   Se for bem-sucedida, a operação retornará um resultado semelhante ao seguinte exemplo.

   {
     "associatedAt": "timestamp"
   }

No menu de navegação do console do AWS IoT Greengrass, selecione Dispositivos principais.

Na página Dispositivos principais, escolha o dispositivo principal a ser atualizado.

Na página de detalhes do dispositivo principal, escolha o link para o Objeto do dispositivo principal. Esse link abre a página de detalhes do objeto no console da AWS IoT .

Na página de detalhes do objeto, escolha Certificados.

Na guia Certificados, escolha o certificado ativo do objeto.

Na página de detalhes do certificado, escolha Políticas.

Na guia Políticas, escolha a AWS IoT política a ser revisada e atualizada. É possível adicionar as permissões necessárias a toda política anexada ao certificado ativo do dispositivo principal.

Na visão geral da política, escolha Editar versão ativa.

Revise a política quanto às permissões necessárias e adicione as permissões necessárias que estiverem faltando.

(Opcional) Para permitir que o dispositivo principal sincronize sombras com AWS IoT Core, adicione a seguinte declaração à política. Se você planeja interagir com as sombras do dispositivo cliente, mas não sincronizá-las com elas AWS IoT Core, pule esta etapa. account-idSubstitua region e pela região que você usa e seu Conta da AWS número.

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

Depois de adicionar essa declaração, o documento de política será semelhante ao exemplo a seguir.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

Para definir uma nova versão da política como a versão ativa, em Status da versão da política, selecione Definir a versão editada como a versão ativa desta política.

Selecione Salvar como nova versão.

Liste os princípios básicos do AWS IoT dispositivo principal. As entidades principais do objeto podem ser certificados de dispositivos X.509 ou outros identificadores. Execute o comando a seguir e MyGreengrassCore substitua pelo nome do dispositivo principal.

aws iot list-thing-principals --thing-name MyGreengrassCore

A operação retorna uma resposta que lista os princípios básicos do dispositivo principal.

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

Identifique o certificado ativo do dispositivo principal. Execute o comando a seguir e certificateId substitua pelo ID de cada certificado da etapa anterior até encontrar o certificado ativo. O ID do certificado é a string hexadecimal no final do ARN do certificado. O argumento --query especifica a saída somente do status do certificado.

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

A operação retorna o status do certificado como uma string. Por exemplo, se o certificado estiver ativo, essa operação resulta "ACTIVE".

Liste as AWS IoT políticas anexadas ao certificado. Execute o comando a seguir e substitua o ARN do certificado pelo outro.

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

A operação retorna uma resposta que lista as AWS IoT políticas anexadas ao certificado.

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

Escolha a política a ser visualizada e atualizada.

Obtenha o documento da política. Execute o comando a seguir e GreengrassV2IoTThingPolicy substitua pelo nome da política.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

A operação retorna uma resposta contendo o documento da política e outras informações sobre a política. O documento de política é um objeto JSON serializado como uma string.

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

Use um conversor on-line ou outra ferramenta para converter a string do documento de política em um objeto JSON e, em seguida, salve-a em um arquivo chamado iot-policy.json.

Por exemplo, se você tiver a ferramenta jq instalada, poderá executar o comando a seguir para ter o documento de política, convertê-lo em um objeto JSON e salvá-lo como um objeto JSON.

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

Revise a política quanto às permissões necessárias e adicione as que estiverem faltando.

Por exemplo, em um sistema baseado em Linux, você pode executar o comando a seguir para usar o GNU nano para abrir o arquivo.

nano iot-policy.json

Salve as alterações como uma nova versão da política. Execute o comando a seguir e GreengrassV2IoTThingPolicy substitua pelo nome da política.

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

A operação retornará uma resposta semelhante ao seguinte exemplo, se for bem-sucedida.

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}