Função de serviço do Greengrass

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Role até a seção Função de serviço do Greengrass para ver a função de serviço e as políticas dela.

   Se não for exibido um perfil de serviço, o console pode criar ou configurar um para você. Para obter mais informações, consulte Criar a função de serviço do Greengrass.

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Em Função de serviço do Greengrass, selecione Change role (Mudar perfil).

   A caixa de diálogo Atualizar função de serviço do Greengrass é aberta e mostra os perfis do IAM em sua Conta da AWS que definem o AWS IoT Greengrass como uma entidade confiável.

4. Selecione a função de serviço do Greengrass a ser anexado.

5. Selecione Anexar função.

1. Navegue até o console do AWS IoT.

2. No painel de navegação, selecione Configurações.

3. Em Função de serviço do Greengrass, selecione Detach role (Desanexar função).

4. Na caixa de diálogo de confirmação, selecione Detach (Desvincular).

• Obtenha a função de serviço. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 get-service-role-for-account --region region

  Se um perfil de serviço do Greengrass já estiver associado à sua conta, a solicitação retorna os metadados do perfil a seguir.

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  Se a solicitação não retornar metadados de função, será necessário criar o perfil de serviço (se ele não existir) e associá-lo à sua conta na Região da AWS.

Como criar a função de serviço usando o IAM

1. Crie uma função com uma política de confiança que permita que o AWS IoT Greengrass assuma a função. Este exemplo cria uma função chamada Greengrass_ServiceRole, mas você pode usar um nome diferente. Recomendamos que você também inclua as chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua política de confiança para ajudar a evitar o problema de segurança confused deputy. As chaves de contexto de condição restringem o acesso para permitir somente as solicitações provenientes da conta especificada e do espaço de trabalho do Greengrass. Para obter mais informações sobre o problema confused deputy, consulte Prevenção contra o ataque do “substituto confuso” em todos os serviços.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",		 	 	 \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. Copie o ARN da função dos metadados da função na saída. Você usará o ARN para associar a função à sua conta.

3. Anexe a política do AWSGreengrassResourceAccessRolePolicy à função.

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

Para associar o perfil de serviço à sua conta da Conta da AWS

• Associe a função à sua conta. Substitua role-arn pelo ARN do perfil de serviço e região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  Se a solicitação for bem-sucedida, ela retornará a resposta a seguir.

  {
    "associatedAt": "timestamp"
  }

• Desassocie a função de serviço da conta. Substitua região por sua Região da AWS (por exemplo, us-west-2).

  aws greengrassv2 disassociate-service-role-from-account --region region

  Se houver êxito, a resposta a seguir será retornada.

  {
    "disassociatedAt": "timestamp"
  }

  nota

  Será necessário excluir o perfil de serviço se não o estiver usando em nenhuma Região da AWS. Primeiro, use delete-role-policy para desvincular a política gerenciada AWSGreengrassResourceAccessRolePolicy do perfil, depois use delete-role para excluir o perfil. Para obter mais informações sobre como excluir uma função, consulte Excluir funções ou perfis de instância no Manual do usuário do IAM.