As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criando um AWS IoT TwinMaker política de reprodutor de vídeo

A seguir está um modelo de política com todas as permissões de vídeo necessárias para o complemento AWS IoT TwinMaker do Grafana:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iottwinmaker:Get*",
                "iottwinmaker:List*"
            ],
            "Resource": [
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId",
                "arn:aws:iottwinmaker:us-east-1:111122223333:workspace/workspaceId/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iottwinmaker:ListWorkspaces",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:GetHLSStreamingSessionURL"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetInterpolatedAssetPropertyValues"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:BatchPutAssetPropertyValue"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
                }
            }
        }
    ]
}

Para obter mais informações sobre a política completa, consulte o modelo de política de permissões para todos os vídeos no tópico Criar uma política do IAM..

Diminua o acesso aos seus recursos

O painel Video Player no Grafana chama diretamente o Kinesis Video Streams e o IoT SiteWise para fornecer uma experiência completa de reprodução de vídeo. Para evitar o acesso não autorizado a recursos que não estão associados ao seu AWS IoT TwinMaker espaço de trabalho, adicione condições à política do IAM para sua função no painel do espaço de trabalho.

Diminua o escopo das permissões GET

Você pode reduzir o acesso aos seus streams e AWS IoT SiteWise ativos de vídeo do Amazon Kinesis marcando recursos. Talvez você já tenha marcado seu ativo de AWS IoT SiteWise câmera com base no AWS IoT TwinMaker WorkspaceID para ativar o recurso de solicitação de upload de vídeo, consulte o tópico Carregar vídeo do edge. Você pode usar o mesmo par de valores-chave de tags para limitar o acesso GET aos AWS IoT SiteWise ativos e também para marcar seus Kinesis Video Streams da mesma forma.

Em seguida, você pode adicionar essa condição às declarações kinesisvideo e iotsitewise em YourWorkspaceIdDashboardPolicy:

"Condition": {
  "StringLike": {
    "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
  } 
}

Real-life caso de uso: agrupamento de câmeras

Neste cenário, você tem uma grande variedade de câmeras monitorando o processo de assar cookies em uma fábrica. Lotes de massa de cookie são feitos na sala de massa, a massa é congelada na sala do freezer e os cookies são assados na sala de cozimento. Há câmeras em cada uma dessas salas com diferentes equipes de operadores monitorando separadamente cada processo. Você quer que cada grupo de operadores seja autorizado para sua respectiva sala. Ao criar um gêmeo digital para a fábrica de cookies, um único espaço de trabalho é usado, mas as permissões da câmera precisam ser definidas por sala.

Você pode conseguir essa separação de permissões marcando grupos de câmeras com base em seu groupingID. Nesse cenário, os groupingIDs são BatterRoom, e. FreezerRoom BakingRoom A câmera em cada sala está conectada ao Kinesis Video Streams e deve ter uma tag com: chave =EdgeConnectorForKVS, valor = BatterRoom. O valor pode ser uma lista de agrupamentos delimitados por um destes caracteres: . : + = @ _ / -

Para alterar o YourWorkspaceIdDashboardPolicy, use as seguintes declarações de política:

...,
{
  "Effect": "Allow",
  "Action": [
    "kinesisvideo:GetDataEndpoint",
    "kinesisvideo:GetHLSStreamingSessionURL"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:ResourceTag/EdgeConnectorForKVS": "*groupingId*"
    } 
  }
},
{
  "Effect": "Allow",
  "Action": [
    "iotsitewise:GetAssetPropertyValue",
    "iotsitewise:GetInterpolatedAssetPropertyValues"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:ResourceTag/EdgeConnectorForKVS": "*groupingId*"
    } 
  }
},
...

Essas declarações restringem a reprodução de streaming de vídeo e o acesso ao histórico de AWS IoT SiteWise propriedades a recursos específicos em um agrupamento. O groupingId é definido pelo seu caso de uso. No nosso cenário, seria o RoomID.

Diminua o escopo AWS IoT SiteWise BatchPutAssetPropertyValue permissão

Fornecer essa permissão ativa o atributo de solicitação de carregamento de vídeo no reprodutor de vídeo. Ao enviar um vídeo, você pode especificar um intervalo de tempo e enviar a solicitação escolhendo Enviar no painel do Grafana.

Para conceder BatchPutAssetPropertyValue permissões ao iotsitewise:, use a política padrão:

...,
{
  "Effect": "Allow",
  "Action": [
    "iotsitewise:BatchPutAssetPropertyValue"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
    } 
  }
},
...

Ao usar essa política, os usuários podem ligar BatchPutAssetPropertyValue para qualquer propriedade no ativo da AWS IoT SiteWise câmera. Você pode restringir a autorização para um PropertyID específico especificando-o na condição da declaração.

{
  ...
  "Condition": {
    "StringEquals": {
      "iotsitewise:propertyId": "propertyId"
    } 
  }
  ...
}

O painel Video Player no Grafana ingere dados na propriedade de medição, chamada VideoUploadRequest, para iniciar o upload do vídeo do cache de borda para o Kinesis Video Streams. Encontre o propertyID dessa propriedade no AWS IoT SiteWise console. Para alterar o YourWorkspaceIdDashboardPolicy, use a seguinte declaração de política:

...,
{
  "Effect": "Allow",
  "Action": [
    "iotsitewise:BatchPutAssetPropertyValue"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:ResourceTag/EdgeConnectorForKVS": "*workspaceId*"
    },
    "StringEquals": {
      "iotsitewise:propertyId": "VideoUploadRequestPropertyId"
    }
  }
},
...

Essa declaração restringe a ingestão de dados a uma propriedade específica do seu ativo AWS IoT SiteWise de câmera marcado. Para obter mais informações, consulte Como AWS IoT SiteWise funciona com IAM.