AWS IoT Greengrass e endpoint da VPC de interface (AWS PrivateLink) - AWS IoT Greengrass
Considerações sobre endpoints da VPC do AWS IoT GreengrassCriar um endpoint da VPC de interface para operações AWS IoT Greengrass do ambiente de gerenciamentoCriar uma política de endpoint da VPC para o AWS IoT GreengrassOperar um dispositivo principal do AWS IoT Greengrass na VPC

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS IoT Greengrass e endpoint da VPC de interface (AWS PrivateLink)

É possível estabelecer uma conexão privada entre a VPC e o ambiente de gerenciamento AWS IoT Greengrass criando um endpoint da VPC de interface. Você pode usar esse endpoint para gerenciar componentes, implantações e dispositivos principais no serviço AWS IoT Greengrass. Os endpoints de interface são habilitados por AWS PrivateLink, uma tecnologia que permite acessar as APIs do AWS IoT Greengrass de forma privada sem um gateway da Internet, um dispositivo NAT, uma conexão VPN ou uma conexão do AWS Direct Connect. As instâncias AWS IoT Greengrass na sua VPC não precisam de endereços IP públicos para a comunicação com APIs . O tráfego de rede entre a VPC e o AWS IoT Greengrass não deixa a rede da Amazon.

Cada endpoint de interface é representado por uma ou mais Interfaces de Rede Elástica nas sub-redes.

Para obter mais informações, consulte Endpoints da VPC da interface (AWS PrivateLink) no Manual do Usuário do Amazon VPC.

Considerações sobre endpoints da VPC do AWS IoT Greengrass

Antes de configurar um endpoint da VPC de interface para o AWS IoT Greengrass, analise as Propriedades e limitações de endpoints de interface no Manual do usuário da Amazon VPC. Além disso, esteja ciente das seguintes considerações:

  • O AWS IoT Greengrass oferece suporte a chamadas para todas as ações de API de ambiente de gerenciamento da VPC. O ambiente de gerenciamento inclui operações como CreateDeployment e ListEffectiveDeployments. O ambiente de gerenciamento não inclui operações como ResolveComponentCandidates e Discover, que são do plano de dados.

  • Não há suporte para endpoints da VPC para AWS IoT Greengrass nas Regiões da China AWS.

Criar um endpoint da VPC de interface para operações AWS IoT Greengrass do ambiente de gerenciamento

É possível criar um endpoint da VPC para o ambiente de gerenciamento AWS IoT Greengrass usando o console da Amazon VPC ou a AWS Command Line Interface (AWS CLI). Para obter mais informações, consulte Criar um endpoint de interface no Guia do Usuário do Amazon VPC.

Crie um endpoint da VPC para o AWS IoT Greengrass usando o seguinte nome de serviço:

  • com.amazonaws.region.greengrass

Se você habilitar o DNS privado para o endpoint, poderá fazer solicitações de API para o AWS IoT Greengrass usando seu nome DNS padrão para a região, por exemplo, greengrass.us-east-1.amazonaws.com. O DNS privado é habilitado por padrão.

Para obter mais informações, consulte Acessar um serviço por um endpoint de interface no Manual do Usuário do Amazon VPC.

Criar uma política de endpoint da VPC para o AWS IoT Greengrass

É possível anexar uma política de endpoint ao endpoint da VPC que controla o acesso às operações de ambiente de gerenciamento AWS IoT Greengrass. Essa política especifica as seguintes informações:

  • A entidade principal que pode realizar ações.

  • As ações que o principal pode executar.

  • Os recursos nos quais a entidade principal pode executar ações.

Para obter mais informações, consulte Controlar o acesso a serviços com endpoint da VPC no Guia do usuário da Amazon VPC.

exemplo Exemplo: política de endpoint da VPC para ações do AWS IoT Greengrass

Veja a seguir um exemplo de uma política de endpoint para o AWS IoT Greengrass. Quando anexada a um endpoint, essa política concede acesso às ações indicadas do AWS IoT Greengrass para todos os principais em todos os recursos.

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": [
                "greengrass:CreateDeployment",
                "greengrass:ListEffectiveDeployments"
            ],
            "Resource": "*"
        }
    ]
}

Operar um dispositivo principal do AWS IoT Greengrass na VPC

Você pode operar um dispositivo principal do Greengrass e fazer implantações na VPC sem acesso público à Internet. No mínimo, você deve configurar os endpoints da VPC abaixo com os aliases de DNS correspondentes. Para obter mais informações sobre como criar e usar endpoints da VPC, consulte Criar um endpoint da VPC no Guia do usuário da Amazon VPC.

nota

O recurso da VPC para criar automaticamente um registro DNS está desabilitado para as credenciais dos AWS IoT data e do AWS IoT. Para conectar esses endpoints, é necessário criar manualmente um registro DNS privado. Para obter mais informações, consulte DNS privado para endpoints de interface. Para obter mais informações sobre limitações de VPC no AWS IoT Core, consulte Limitações dos endpoints da VPC.

Pré-requisitos

Limitações

  • Não há suporte para operação de um dispositivo principal do Greengrass na VPC nas regiões da China e nas AWS GovCloud (US) Regions.

  • Para obter mais informações sobre as limitações de endpoints da VPC do provedor de credenciais dos AWS IoT data e do AWS IoT, consulte Limitações.

Configurar o dispositivo principal do Greengrass para operar na VPC

  1. Obtenha os endpoints da AWS IoT para sua Conta da AWS e salve-os para usar mais tarde. Seu dispositivo usa esses endpoints para se conectar à AWS IoT. Faça o seguinte:

    1. Obtenha o endpoint de dados do AWS IoT para sua Conta da AWS.

      aws iot describe-endpoint --endpoint-type iot:Data-ATS

      Se a solicitação for bem-sucedida, a resposta será semelhante ao exemplo a seguir.

      {
  "endpointAddress": "device-data-prefix-ats.iot.us-west-2.amazonaws.com"
}

    2. Obtenha o endpoint de credenciais do AWS IoT para sua Conta da AWS.

      aws iot describe-endpoint --endpoint-type iot:CredentialProvider

      Se a solicitação for bem-sucedida, a resposta será semelhante ao exemplo a seguir.

      {
  "endpointAddress": "device-credentials-prefix.credentials.iot.us-west-2.amazonaws.com"
}

  2. Crie uma interface da Amazon VPC para endpoints de credencias dos AWS IoT data e do AWS IoT:

    1. Navegue até o console VPC Endpoints, em Nuvem privada virtual no menu à esquerda, escolha Endpoints e, em seguida, Criar endpoint.

    2. Na página Criar endpoint, especifique as seguintes informações.

      • Escolha AWS service (Serviço da AWS)s para a Categoria de serviço.

      • Para Nome do serviço, pesquise inserindo a palavra-chave iot. Na lista de serviços do iot exibida, escolha o endpoint.

        Se você criar um endpoint da VPC para o plano de dados do AWS IoT Core, escolha o endpoint da API do plano de dados do AWS IoT Core para sua região. O endpoint será do formato com.amazonaws.region.iot.data.

        Se você criar um endpoint da VPC para o provedor de credenciais do AWS IoT Core, escolha o endpoint do provedor de credenciais do AWS IoT Core para sua região. O endpoint será do formato com.amazonaws.region.iot.credentials.

        nota

        O nome do serviço para o plano de dados do AWS IoT Core na região da China terá o formato cn.com.amazonaws.region.iot.data. A criação de endpoints da VPC para o provedor de credenciais do AWS IoT Core não é compatível na região da China.

      • Para VPC e sub-redes, escolha a VPC em que deseja criar o endpoint e as zonas de disponibilidade (AZs) nas quais deseja criar a rede do endpoint.

      • Em Ativar nome DNS, certifique-se de que a opção Ativar para este endpoint não esteja selecionada. Nem o plano de dados do AWS IoT Core nem o provedor de credenciais do AWS IoT Core são compatíveis com nomes DNS privados ainda.

      • Em Grupo de segurança, selecione os grupos de segurança a serem associados às interfaces de rede do endpoint.

      • Se quiser, adicione ou remova tags. As tags são pares de nome-valor usados para associar ao seu endpoint.

    3. Para criar um endpoint da VPC, selecione Criar endpoint.

  3. Depois de criar o endpoint AWS PrivateLink, na guia Detalhes do endpoint, você verá uma lista de nomes DNS. Você pode usar um desses nomes DNS criados nesta seção para configurar a zona hospedada privada.

  4. Crie um endpoint do Amazon S3. Para obter mais informações, consulte Criar um endpoint da VPC para o Amazon S3.

  5. Se você usa componentes do Greengrass fornecidos pela AWS, endpoints e configurações adicionais podem ser necessários. Para visualizar os requisitos de endpoints, selecione o componente na lista de componentes fornecidos pela AWS e consulte a seção Requisitos. Por exemplo, a recomendação dos requisitos do componente Gerenciador de logs é de que ele possa realizar solicitações de saída para o endpoint logs.region.amazonaws.com.

    Se você usa um componente próprio, talvez seja necessário revisar as dependências e realizar outros testes para determinar se há necessidade de endpoint adicional.

  6. Na configuração do núcleo do Greengrass, greengrassDataPlaneEndpoint deve ser definido como iotdata. Para obter mais informações, consulte Configuração do núcleo do Greengrass.

  7. Se você está na região us-east-1, defina o parâmetro de configuração s3EndpointType como REGIONAL na configuração do núcleo do Greengrass. Esse atributo está disponível para o núcleo do Greengrass versão 2.11.3 ou mais recente.

exemplo Exemplo: configuração do componente
{
"aws.greengrass.Nucleus": {
   "configuration": {
      "awsRegion": "us-east-1",
      "iotCredEndpoint": "xxxxxx.credentials.iot.region.amazonaws.com",
      "iotDataEndpoint": "xxxxxx-ats.iot.region.amazonaws.com",
      "greengrassDataPlaneEndpoint": "iotdata",
      "s3EndpointType": "REGIONAL"
      ...
     }
   }
}

A tabela a seguir mostra informações sobre os aliases de DNS privado personalizados correspondentes.

Serviço Nome do serviço de endpoint da VPC Tipo de endpoint da VPC Alias de DNS privado personalizado Observações

AWS IoT data

com.amazonaws.region.iot.data

Interface

prefix-ats.iot.region.amazonaws.com

O registro DNS privado deve corresponder ao endpoint dos AWS IoT data da sua conta: aws iot describe–endpoint ––endpoint–type iot:Data-ATS

AWS IoTCredenciais da

com.amazonaws.region.iot.credentials

Interface

prefix.credentials.iot.region.amazonaws.com

O registro DNS privado deve corresponder ao endpoint de credencias do AWS IoT da sua conta: aws iot describe–endpoint ––endpoint–type iot:CredentialProvider

Amazon S3

com.amazonaws.region.s3

Interface

O registro DNS é criado automaticamente.