支援終止通知：2026 年 10 月 7 日 AWS 將停止 的支援 AWS IoT Greengrass Version 1。2026 年 10 月 7 日之後，您將無法再存取 AWS IoT Greengrass V1 資源。如需詳細資訊，請造訪[從 遷移 AWS IoT Greengrass Version 1](https://docs.aws.amazon.com/greengrass/v2/developerguide/migrate-from-v1.html)。 本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 的身分和存取管理 AWS IoT Greengrass AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 AWS IoT Greengrass 資源。IAM 是您可以免費使用 AWS 服務 的 。 **注意** 本主題說明 IAM 概念和功能。如需 支援的 IAM 功能的相關資訊 AWS IoT Greengrass，請參閱 [AWS IoT Greengrass 如何使用 IAM](security_iam_service-with-iam.md)。 ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 的身分和存取問題進行故障診斷 AWS IoT Greengrass](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS IoT Greengrass 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS IoT Greengrass](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 的形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 存取控制清單 (ACL) 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 Amazon S3 AWS WAF和 Amazon VPC 是支援 ACLs的服務範例。如需進一步了解 ACL，請參閱《Amazon Simple Storage Service 開發人員指南》**中的[存取控制清單 (ACL) 概觀](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策套用到請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 ## 另請參閱 + [AWS IoT Greengrass 如何使用 IAM](security_iam_service-with-iam.md) + [的身分型政策範例 AWS IoT Greengrass](security_iam_id-based-policy-examples.md) + [對 的身分和存取問題進行故障診斷 AWS IoT Greengrass](security_iam_troubleshoot.md) # AWS IoT Greengrass 如何使用 IAM 在您使用 IAM 管理對 的存取之前 AWS IoT Greengrass，您應該了解可與 搭配使用的 IAM 功能 AWS IoT Greengrass。 | IAM 功能 | 受到 Greengrass 支援？ | | --- | --- | | [具有資源層級許可的身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [存取控制清單 (ACL)](#security_iam_service-with-iam-acls) | 否 | | [標籤型授權](#security_iam_service-with-iam-tags) | 否 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 否 | | [服務角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 如需其他 AWS 服務如何與 IAM 搭配使用的高階檢視，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## 的身分型政策 AWS IoT Greengrass 透過 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及允許或拒絕動作的條件。 AWS IoT Greengrass 支援特定動作、資源和條件索引鍵。若要了解您在政策中使用的所有元素，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ** ### 動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 的政策動作會在動作之前 AWS IoT Greengrass 使用 `greengrass:`字首。例如，若要允許某人使用 `ListGroups` API 操作來列出群組中的群組 AWS 帳戶，請在其政策中包含 `greengrass:ListGroups`動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。 AWS IoT Greengrass 會定義一組自己的動作，來描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個動作，請在括號 (`[` `]`) 之間列出它們，並以逗號分隔，如下所示： ``` "Action": [ "greengrass:action1", "greengrass:action2", "greengrass:action3" ] ``` 您可以使用萬用字元 (`*`) 來指定多個動作。例如，若要指定開頭是 `List` 文字的所有動作，請包含以下動作： ``` "Action": "greengrass:List*" ``` **注意** 建議您避免使用萬用字元來指定服務的所有可用動作。最佳實務是，您應該在政策中授予最低權限和範圍較窄的許可。如需詳細資訊，請參閱[盡可能授予最低的許可](security-best-practices.md#least-privilege)。 如需 AWS IoT Greengrass 動作的完整清單，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS IoT Greengrass](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsiotgreengrass.html#awsiotgreengrass-actions-as-permissions)。 ### Resources 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 下表包含可在政策陳述式 `Resource`元素中使用的 AWS IoT Greengrass 資源 ARNs。如需 AWS IoT Greengrass 動作支援的資源層級許可映射，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS IoT Greengrass](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsiotgreengrass.html#awsiotgreengrass-actions-as-permissions)。 | 資源 | ARN | | --- | --- | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listgroups-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listgroups-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/groups/\$1\$1GroupId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listgroupversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listgroupversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/groups/\$1\$1GroupId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listgroupcertificateauthorities-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listgroupcertificateauthorities-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/groups/\$1\$1GroupId\$1/certificateauthorities/\$1\$1CertificateAuthorityId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listdeployments-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listdeployments-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/groups/\$1\$1GroupId\$1/deployments/\$1\$1DeploymentId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listbulkdeployments-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listbulkdeployments-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/bulk/deployments/\$1\$1BulkDeploymentId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listconnectordefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listconnectordefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/connectors/\$1\$1ConnectorDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listconnectordefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listconnectordefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/connectors/\$1\$1ConnectorDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listcoredefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listcoredefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/cores/\$1\$1CoreDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listcoredefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listcoredefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/cores/\$1\$1CoreDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listdevicedefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listdevicedefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/devices/\$1\$1DeviceDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listdevicedefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listdevicedefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/devices/\$1\$1DeviceDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listfunctiondefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listfunctiondefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/functions/\$1\$1FunctionDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listfunctiondefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listfunctiondefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/functions/\$1\$1FunctionDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listloggerdefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listloggerdefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/loggers/\$1\$1LoggerDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listloggerdefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listloggerdefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/loggers/\$1\$1LoggerDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listresourcedefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listresourcedefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/resources/\$1\$1ResourceDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listresourcedefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listresourcedefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/resources/\$1\$1ResourceDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listsubscriptiondefinitions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listsubscriptiondefinitions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/subscriptions/\$1\$1SubscriptionDefinitionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/listsubscriptiondefinitionversions-get.html](https://docs.aws.amazon.com/greengrass/v1/apireference/listsubscriptiondefinitionversions-get.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/definition/subscriptions/\$1\$1SubscriptionDefinitionId\$1/versions/\$1\$1VersionId\$1 | | [https://docs.aws.amazon.com/greengrass/v1/apireference/definitions-connectivityinfo.html](https://docs.aws.amazon.com/greengrass/v1/apireference/definitions-connectivityinfo.html) | arn:\$1\$1Partition\$1:greengrass:\$1\$1Region\$1:\$1\$1Account\$1:/greengrass/things/\$1\$1ThingName\$1/connectivityInfo | 下列範例`Resource`元素指定 中美國西部 （奧勒岡） 區域中群組的 ARN AWS 帳戶 `123456789012`： ``` "Resource": "arn:aws:greengrass:us-west-2:123456789012:/greengrass/groups/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 ``` 或者，若要指定屬於特定 AWS 帳戶 的所有群組 AWS 區域，請使用 萬用字元取代群組 ID： ``` "Resource": "arn:aws:greengrass:us-west-2:123456789012:/greengrass/groups/*" ``` 某些 AWS IoT Greengrass 動作 （例如，某些清單操作） 無法對特定資源執行。在這些情況下，您必須使用萬用字元 (\$1)。 ``` "Resource": "*" ``` 若要在陳述式中指定多個資源 ARNs，請在括號 (`[` `]`) 之間列出它們，並以逗號分隔，如下所示： ``` "Resource": [ "resource-arn1", "resource-arn2", "resource-arn3" ] ``` 如需 ARN 格式的詳細資訊，請參閱 中的 [Amazon Resource Name (ARNs) AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)*Amazon Web Services 一般參考*。 ### 條件索引鍵 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 AWS IoT Greengrass 支援下列全域條件金鑰。 | 金錀 | Description | | --- | --- | | aws:CurrentTime | 在日期/時間條件中檢查目前日期和時間，以篩選存取權。 | | aws:EpochTime | 在日期/時間條件中檢查以 epoch 或 Unix 時間表示的目前日期和時間，以篩選存取權。 | | aws:MultiFactorAuthAge | 檢查多久以前 (以秒為單位) 在請求中使用 MFA 發出由多重驗證 (MFA) 來驗證的安全登入資料，以篩選存取權。 | | aws:MultiFactorAuthPresent | 檢查是否使用多重驗證 (MFA) 來驗證發出目前請求的臨時安全登入資料，以篩選存取權。 | | aws:RequestTag/\$1\$1TagKey\$1 | 根據每個強制標籤的允許值集來篩選建立請求。 | | aws:ResourceTag/\$1\$1TagKey\$1 | 根據與資源相關聯的標籤值來篩選動作。 | | aws:SecureTransport | 檢查是否使用 SSL 傳送請求，以篩選存取權。 | | aws:TagKeys | 根據請求中是否存在強制標籤來篩選建立請求。 | | aws:UserAgent | 依請求者的用戶端應用程式來篩選存取權。 | 如需詳細資訊，請參閱《IAM 使用者指南》**中的[AWS 全域條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 ### 範例 若要檢視 AWS IoT Greengrass 身分型政策的範例，請參閱 [的身分型政策範例 AWS IoT Greengrass](security_iam_id-based-policy-examples.md)。 ## 的資源型政策 AWS IoT Greengrass AWS IoT Greengrass 不支援[以資源為基礎的政策](security-iam.md#security_iam_access-manage-resource-based-policies)。 ## 存取控制清單 (ACL) AWS IoT Greengrass 不支援 [ACLs](security-iam.md#security_iam_access-manage-acl)。 ## 以 AWS IoT Greengrass 標籤為基礎的授權 AWS IoT Greengrass 不支援標籤型授權。 ## 的 IAM 角色 AWS IoT Greengrass [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是 中具有特定許可 AWS 帳戶 的實體。 ### 搭配 使用臨時登入資料 AWS IoT Greengrass 臨時登入資料用於使用聯合身分登入、擔任 IAM 角色，或擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 在 Greengrass 核心上， [群組角色](group-role.md)的臨時登入資料可供使用者定義的 Lambda 函數和連接器使用。如果您的 Lambda 函數使用 AWS SDK，您不需要新增邏輯來取得登入資料，因為 AWS SDK 會為您執行此操作。 ### 服務連結角色 AWS IoT Greengrass 不支援[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。 ### 服務角色 此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 AWS IoT Greengrass 使用服務角色代表您存取您的部分 AWS 資源。如需詳細資訊，請參閱[Greengrass 服務角色](service-role.md)。 ### 在 AWS IoT Greengrass 主控台中選擇 IAM 角色 在 AWS IoT Greengrass 主控台中，您可能需要從帳戶中的 IAM 角色清單中選擇 Greengrass 服務角色或 Greengrass 群組角色。 + Greengrass 服務角色允許 代表您 AWS IoT Greengrass 存取其他 服務中的 AWS 資源。一般而言，您不需要選擇服務角色，因為主控台可以為您建立和設定服務角色。如需詳細資訊，請參閱[Greengrass 服務角色](service-role.md)。 + Greengrass 群組角色用於允許群組中的 Greengrass Lambda 函數和連接器存取您的 AWS 資源。它也可以授予 AWS IoT Greengrass 許可，將串流匯出至 AWS 服務並寫入 CloudWatch 日誌。如需詳細資訊，請參閱[Greengrass 群組角色](group-role.md)。 # Greengrass 服務角色 Greengrass 服務角色是 AWS Identity and Access Management (IAM) 服務角色，授權 代表您 AWS IoT Greengrass 存取來自 AWS 服務的資源。這可讓 AWS IoT Greengrass 執行基本任務，例如擷取 AWS Lambda 函數和管理 AWS IoT 陰影。 若要允許 AWS IoT Greengrass 存取您的 資源，Greengrass 服務角色必須與 相關聯， AWS 帳戶 並指定 AWS IoT Greengrass 為信任的實體。此角色必須包含 [ AWSGreengrassResourceAccessRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy) 受管政策或自訂政策，以定義您所使用的 AWS IoT Greengrass 功能的同等許可。此政策由 AWS 維護，並定義 AWS IoT Greengrass 用於存取 AWS 資源的一組許可。 您可以在 之間重複使用相同的 Greengrass AWS 區域服務角色，但您必須在您使用的每個 AWS 區域 中將其與您的帳戶建立關聯 AWS IoT Greengrass。如果目前 AWS 帳戶 和 區域中不存在服務角色，則群組部署會失敗。 下列各節說明如何在 AWS 管理主控台 或 中建立和管理 Greengrass 服務角色 AWS CLI。 + [管理服務角色 (主控台)](#manage-service-role-console) + [管理服務角色 (CLI)](#manage-service-role-cli) **注意** 除了授權服務層級存取的服務角色之外，您還可以將*群組角色*指派給 AWS IoT Greengrass 群組。群組角色是獨立的 IAM 角色，可控制群組中的 Greengrass Lambda 函數和連接器如何存取 AWS 服務。 ## 管理 Greengrass 服務角色 (主控台) AWS IoT 主控台可讓您輕鬆管理您的 Greengrass 服務角色。例如，當您建立或部署 Greengrass 群組時，主控台會檢查 是否 AWS 帳戶 連接到主控台中目前選取的 中的 Greengrass AWS 區域 服務角色。如果未連接，主控台可以為您建立和設定服務角色。如需詳細資訊，請參閱[建立 Greengrass 服務角色 (主控台)](#create-service-role-console)。 您可以使用 AWS IoT 主控台執行下列角色管理任務： + [尋找您的 Greengrass 服務角色](#get-service-role-console) + [建立 Greengrass 服務角色](#create-service-role-console) + [變更 Greengrass 服務角色](#update-service-role-console) + [分離 Greengrass 服務角色](#remove-service-role-console) **注意** 登入主控台的使用者必須擁有可檢視、建立或變更服務角色的許可。   ### 尋找您的 Greengrass 服務角色 (主控台) 使用下列步驟來尋找 AWS IoT Greengrass 目前 中使用的服務角色 AWS 區域。 1. 從[AWS IoT 主控台](https://console.aws.amazon.com/iot/)導覽窗格中，選擇**設定**。 1. 捲動至 **Greengrass service role (Greengrass 服務角色)** 區段，查看您的服務角色及其政策。 如果您沒有看到服務角色，您可以讓主控台為您建立或設定服務角色。如需詳細資訊，請參閱[建立 Greengrass 服務角色](#create-service-role-console)。   ### 建立 Greengrass 服務角色 (主控台) 主控台可以為您建立和設定預設的 Greengrass 服務角色。這個角色具有以下屬性： | 屬性 | Value | | --- | --- | | 名稱 | Greengrass\$1ServiceRole | | 信任實體 | AWS service: greengrass | | 政策 | [AWSGreengrassResourceAccessRolePolicy (AWSGreengrassResourceAccessRolePolicy)](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy) | **注意** 如果 [Greengrass 裝置安裝程式](quick-start.md)建立了服務角色，則角色名稱為 `GreengrassServiceRole_random-string`。 當您從 AWS IoT 主控台建立或部署 Greengrass 群組時，主控台會在目前在主控台中選取的 AWS 帳戶 AWS 區域 中，檢查 Greengrass 服務角色是否與 相關聯。如果沒有，主控台會提示您允許 代表您 AWS IoT Greengrass 讀取和寫入 AWS 服務。 如果您授予許可，主控台會檢查 `Greengrass_ServiceRole`中是否存在名為 的角色 AWS 帳戶。 + 如果角色存在，主控台會將服務角色連接到目前 AWS 帳戶 中的 AWS 區域。 + 如果角色不存在，主控台會建立預設 Greengrass 服務角色，並將其連接到目前 AWS 帳戶 中的 AWS 區域。 **注意** 如果您想要使用自訂角色政策建立服務角色，請使用 IAM 主控台來建立或修改角色。如需詳細資訊，請參閱[《IAM 使用者指南》中的建立角色以將許可委派給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)[或修改角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_modify.html)。 **請確定角色會授與與您所使用功能和資源之 `AWSGreengrassResourceAccessRolePolicy` 受管政策相同的許可。我們建議您也在信任政策中包含 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰，以協助防止*混淆代理人*安全問題。條件內容索引鍵會限制存取，只允許來自指定帳戶和 Greengrass 工作區的這些請求。如需有關混淆代理人問題的詳細資訊，請參閱 [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)。 如果您建立服務角色，請返回 AWS IoT 主控台並將角色連接到 群組。您可以在群組**的設定**頁面上的 **Greengrass 服務角色**下執行此操作。   ### 變更 Greengrass 服務角色 (主控台) 使用下列程序選擇不同的 Greengrass 服務角色，以在主控台 AWS 區域 目前選取的 AWS 帳戶 中連接至您的 。 1. 從[AWS IoT 主控台](https://console.aws.amazon.com/iot/)導覽窗格中，選擇**設定**。 1. 在 **Greengrass 服務角色**下，選擇**變更角色**。 **更新 Greengrass 服務角色**對話方塊隨即開啟，並顯示 中定義為 AWS IoT Greengrass 信任實體 AWS 帳戶 的 IAM 角色。 1. 選擇要連接的 Greengrass 服務角色。 1. 選擇**連接角色**。 **注意** 若要允許主控台為您建立預設的 Greengrass 服務角色， 請選擇 **Create role for me (為我建立角色)**，而不要從清單中選擇角色。如果名為 **的角色位於您的 中，則不會顯示為我建立**角色連結 AWS 帳戶。 `Greengrass_ServiceRole`   ### 分離 Greengrass 服務角色 (主控台) 使用下列程序，在主控台 AWS 區域 目前選取的 AWS 帳戶 中，從 分離 Greengrass 服務角色。這會撤銷 AWS IoT Greengrass 存取目前 AWS 服務的權限 AWS 區域。 **重要** 分離服務角色可能會中斷作用中的操作。 1. 從[AWS IoT 主控台](https://console.aws.amazon.com/iot/)導覽窗格中，選擇**設定**。 1. 在 **Greengrass 服務角色**下，選擇**分離角色**。 1. 在確認對話方塊中，選擇 **Detach** (分離)。 **注意** 如果您不再需要該角色，您可以在 IAM 主控台中刪除該角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[刪除角色或執行個體描述檔](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)。 其他角色可能允許 AWS IoT Greengrass 存取您的 資源。若要尋找允許 代表您 AWS IoT Greengrass 擔任許可的所有角色，請在 IAM 主控台的角色****頁面上，尋找包含**AWS 服務的角色：信任實體欄中的 greengrass**。 **** ## 管理 Greengrass 服務角色 (CLI) 在下列程序中，我們假設 AWS CLI 已安裝並設定為使用您的 AWS 帳戶 ID。如需詳細資訊，請參閱*AWS Command Line Interface 《 使用者指南*》中的[安裝 AWS 命令列界面](https://docs.aws.amazon.com/cli/latest/userguide/installing.html)和[設定 AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-getting-started.html)。 您可以使用 AWS CLI 執行下列角色管理任務： + [取得您的 Greengrass 服務角色](#get-service-role) + [建立 Greengrass 服務角色](#create-service-role) + [移除 Greengrass 服務角色](#remove-service-role)   ### 取得 Greengrass 服務角色 (CLI) 使用下列程序來了解 Greengrass 服務角色是否與 AWS 帳戶 中的 相關聯 AWS 區域。 + 取得服務角色。將*區域*取代為您的 AWS 區域 （例如，`us-west-2`)。 ``` aws Greengrass get-service-role-for-account --region region ``` 如果 Greengrass 服務角色已與您的帳戶關聯，會傳回下列的角色中繼資料。 ``` { "AssociatedAt": "timestamp", "RoleArn": "arn:aws:iam::account-id:role/path/role-name" } ``` 如果未傳回任何角色中繼資料，則必須建立服務角色 （如果不存在），並將其與 中的帳戶建立關聯 AWS 區域。   ### 建立 Greengrass 服務角色 (CLI) 使用下列步驟來建立角色，並將其與您的 建立關聯 AWS 帳戶。 **使用 IAM 建立服務角色** 1. 使用允許 AWS IoT Greengrass 擔任角色的信任政策來建立角色。此範例會建立名為 `Greengrass_ServiceRole` 的角色，但您可以使用不同的名稱。我們建議您也在信任政策中包含 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰，以協助防止*混淆代理人*安全問題。條件內容索引鍵會限制存取，只允許來自指定帳戶和 Greengrass 工作區的這些請求。如需有關混淆代理人問題的詳細資訊，請參閱 [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)。 ------ #### [ Linux, macOS, or Unix ] ``` aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "greengrass.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:greengrass:region:account-id:*" } } } ] }' ``` ------ #### [ Windows command prompt ] ``` aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\", \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}" ``` ------ 1. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。 1. 將 `AWSGreengrassResourceAccessRolePolicy` 政策連接到角色。 ``` aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy ``` **將服務角色與 建立關聯 AWS 帳戶** + 將角色與您的帳戶相關聯。將 *role-arn* 取代為服務角色 ARN，並將 *region* 取代為 your AWS 區域 （例如，`us-west-2`)。 ``` aws greengrass associate-service-role-to-account --role-arn role-arn --region region ``` 如果成功，會傳回下列回應。 ``` { "AssociatedAt": "timestamp" } ```   ### 移除 Greengrass 服務角色 (CLI) 使用下列步驟取消 Greengrass 服務角色與 的關聯 AWS 帳戶。 + 將服務角色與您的帳戶取消關聯。將*區域*取代為您的 AWS 區域 （例如，`us-west-2`)。 ``` aws greengrass disassociate-service-role-from-account --region region ``` 如果成功，會傳回下列回應。 ``` { "DisassociatedAt": "timestamp" } ``` **注意** 如果您未在任何 中使用服務角色，您應該將其刪除 AWS 區域。首先，使用 [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html) 將 `AWSGreengrassResourceAccessRolePolicy` 受管政策從角色中分離，然後使用 [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html) 來刪除角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[刪除角色或執行個體描述檔](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)。 ## 另請參閱 + 《*IAM 使用者指南*》中的[建立角色以將許可委派給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) + *IAM 使用者指南*中的[修改角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_modify.html) + 《*IAM 使用者指南*》中的[刪除角色或執行個體描述](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)檔 + AWS IoT Greengrass 命令*AWS CLI 參考中的 命令* + [associate-service-role-to-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/associate-service-role-to-account.html) + [disassociate-service-role-from-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/disassociate-service-role-from-account.html) + [get-service-role-for-account](https://docs.aws.amazon.com/cli/latest/reference/greengrass/get-service-role-for-account.html) + 《 命令*AWS CLI 參考》中的 IAM 命令* + [attach-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/attach-role-policy.html) + [create-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-role.html) + [delete-role](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html) + [delete-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html) # Greengrass 群組角色 Greengrass 群組角色是一種 IAM 角色，可授權在 Greengrass 核心上執行的程式碼存取您的 AWS 資源。您可以在 AWS Identity and Access Management (IAM) 中建立角色和管理許可，並將角色連接到 Greengrass 群組。Greengrass 群組有一個群組角色。若要新增或變更許可，您可以連接不同的角色或變更連接到角色的 IAM 政策。 角色必須 AWS IoT Greengrass 定義為信任的實體。根據您的業務案例，群組角色可能包含定義下列項目的 IAM 政策： + 使用者定義 [Lambda 函數](lambda-functions.md)存取 AWS 服務的許可。 + [連接器](connectors.md)存取 AWS 服務的許可。 + [串流管理員](stream-manager.md)將串流匯出至 AWS IoT Analytics 和 Kinesis Data Streams 的許可。 + 允許 [CloudWatch 記錄](greengrass-logs-overview.md)的許可。 下列各節說明如何在 AWS 管理主控台 或 中連接或分離 Greengrass 群組角色 AWS CLI。 + [管理群組角色 (主控台)](#manage-group-role-console) + [管理群組角色 (CLI)](#manage-group-role-cli) **注意** 除了授權從 Greengrass 核心存取的群組角色之外，您還可以指派允許 代表您 AWS IoT Greengrass 存取 AWS 資源的 [Greengrass 服務角色](service-role.md)。 ## 管理 Greengrass 群組角色 (主控台) 您可以使用 AWS IoT 主控台執行下列角色管理任務： + [尋找您的 Greengrass 群組角色](#get-group-role-console) + [新增或變更 Greengrass 群組角色](#add-or-change-group-role-console) + [移除 Greengrass 群組角色](#remove-group-role-console) **注意** 登入主控台的使用者必須具有管理角色的許可。   ### 尋找您的 Greengrass 群組角色 (主控台) 請依照下列步驟尋找連接到 Greengrass 群組的角色。 1. 在 AWS IoT 主控台導覽窗格的**管理**下，展開 **Greengrass 裝置**，然後選擇**群組 (V1)**。 1. 選擇目標群組。 1. 在群組組態頁面上，選擇**檢視設定**。 如果角色已連接至群組，則會顯示在**群組角色**下。   ### 新增或變更 Greengrass 群組角色 (主控台) 請依照下列步驟，從 中選擇 AWS 帳戶 要新增至 Greengrass 群組的 IAM 角色。 群組角色具有下列需求： + AWS IoT Greengrass 定義為信任的實體。 + 連接到角色的許可政策必須將許可授予群組中 Lambda 函數和連接器以及 Greengrass 系統元件所需的 AWS 資源。 **注意** 我們建議您也在信任政策中包含 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰，以協助防止*混淆代理人*安全問題。條件內容索引鍵會限制存取，只允許來自指定帳戶和 Greengrass 工作區的請求。如需有關混淆代理人問題的詳細資訊，請參閱 [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)。 使用 IAM 主控台來建立和設定角色及其許可。如需建立允許存取 Amazon DynamoDB 資料表的範例角色的步驟，請參閱 [設定群組角色](config-iam-roles.md)。如需一般步驟，請參閱《*IAM 使用者指南*》中的[為 AWS 服務建立角色 （主控台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html#roles-creatingrole-service-console)。   設定角色之後，請使用 AWS IoT 主控台將角色新增至群組。 **注意** 只有為群組選擇角色時，才需要此程序。變更目前選取之群組角色的許可後，不需要此程序。 1. 在 AWS IoT 主控台導覽窗格的**管理**下，展開 **Greengrass 裝置**，然後選擇**群組 (V1)**。 1. 選擇目標群組。 1. 在群組組態頁面上，選擇**檢視設定**。 1. 在**群組角色**下，選擇新增或變更角色： + 若要新增角色，請選擇**關聯角色**，然後從角色清單中選擇您的角色。這些是您 中 AWS IoT Greengrass 將 AWS 帳戶 定義為信任實體的角色。 + 若要選擇不同的角色，請選擇**編輯角色**，然後從角色清單中選擇您的角色。 1. 選擇**儲存**。   ### 移除 Greengrass 群組角色 (主控台) 請依照下列步驟來分開 Greengrass 群組的角色。 1. 在 AWS IoT 主控台導覽窗格的**管理**下，展開 **Greengrass 裝置**，然後選擇**群組 (V1)**。 1. 選擇目標群組。 1. 在群組組態頁面上，選擇**檢視設定**。 1. 在**群組角色**下，選擇**取消關聯角色**。 1. 在確認對話方塊中，選擇**取消關聯角色**。此步驟會從群組移除角色，但不會刪除角色。如果您想要刪除角色，請使用 IAM 主控台。 ## 管理 Greengrass 群組角色 (CLI) 您可以使用 AWS CLI 執行下列角色管理任務： + [取得您的 Greengrass 群組角色](#get-group-role) + [建立 Greengrass 群組角色](#create-group-role) + [移除 Greengrass 群組角色](#remove-group-role)   ### 取得 Greengrass 群組角色 (CLI) 請依照下列步驟來了解 Greengrass 群組是否具有相關聯的角色。 1. 從群組清單中取得目標群組的 ID。 ``` aws greengrass list-groups ``` 以下是 `list-groups` 回應範例。回應中的每個群組都包含 `Id` 屬性。當中包含群組 ID。 ``` { "Groups": [ { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE/versions/4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "Name": "MyFirstGroup", "LastUpdatedTimestamp": "2019-11-11T05:47:31.435Z", "LatestVersion": "4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "CreationTimestamp": "2019-11-11T05:47:31.435Z", "Id": "00dedaaa-ac16-484d-ad77-c3eedEXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE" }, { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE/versions/8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "Name": "GreenhouseSensors", "LastUpdatedTimestamp": "2020-01-07T19:58:36.774Z", "LatestVersion": "8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "CreationTimestamp": "2020-01-07T19:58:36.774Z", "Id": "036ceaf9-9319-4716-ba2a-237f9EXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE" }, ... ] } ``` 如需詳細資訊，包括使用 `query` 選項篩選結果的範例，請參閱[取得群組 ID](deployments.md#api-get-group-id)。 1. 從輸出複製目標群組的 `Id`。 1. 取得群組角色。以目標群組的 ID 取代 *group-id*。 ``` aws greengrass get-associated-role --group-id group-id ``` 如果角色與您的 Greengrass 群組相關聯，則會傳回下列角色中繼資料。 ``` { "AssociatedAt": "timestamp", "RoleArn": "arn:aws:iam::account-id:role/path/role-name" } ``` 如果您的群組沒有相關聯的角色，則會傳回下列錯誤。 ``` An error occurred (404) when calling the GetAssociatedRole operation: You need to attach an IAM role to this deployment group. ```   ### 建立 Greengrass 群組角色 (CLI) 請依照下列步驟建立角色，並將其與 Greengrass 群組產生關聯。 **使用 IAM 建立群組角色** 1. 使用允許 AWS IoT Greengrass 擔任角色的信任政策來建立角色。此範例會建立名為 `MyGreengrassGroupRole` 的角色，但您可以使用不同的名稱。我們建議您也在信任政策中包含 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰，以協助防止*混淆代理人*安全問題。條件內容索引鍵會限制存取，只允許來自指定帳戶和 Greengrass 工作區的請求。如需有關混淆代理人問題的詳細資訊，請參閱 [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)。 ------ #### [ Linux, macOS, or Unix ] ``` aws iam create-role --role-name MyGreengrassGroupRole --assume-role-policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "greengrass.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "account-id" }, "ArnLike": { "aws:SourceArn": "arn:aws:greengrass:region:account-id:/greengrass/groups/group-id" } } } ] }' ``` ------ #### [ Windows command prompt ] ``` aws iam create-role --role-name MyGreengrassGroupRole --assume-role-policy-document "{\"Version\":\"2012-10-17\", \"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:/greengrass/groups/group-id\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}" ``` ------ 1. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。 1. 將受管或內嵌政策連接至角色，以支援您的商業案例。例如，如果使用者定義的 Lambda 函數從 Amazon S3 讀取，您可以將 `AmazonS3ReadOnlyAccess`受管政策連接至角色。 ``` aws iam attach-role-policy --role-name MyGreengrassGroupRole --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess ``` 如果成功，則不會傳回任何回應。   **將角色與您的 Greengrass 群組建立關聯** 1. 從群組清單中取得目標群組的 ID。 ``` aws greengrass list-groups ``` 以下是 `list-groups` 回應範例。回應中的每個群組都包含 `Id` 屬性。當中包含群組 ID。 ``` { "Groups": [ { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE/versions/4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "Name": "MyFirstGroup", "LastUpdatedTimestamp": "2019-11-11T05:47:31.435Z", "LatestVersion": "4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "CreationTimestamp": "2019-11-11T05:47:31.435Z", "Id": "00dedaaa-ac16-484d-ad77-c3eedEXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE" }, { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE/versions/8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "Name": "GreenhouseSensors", "LastUpdatedTimestamp": "2020-01-07T19:58:36.774Z", "LatestVersion": "8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "CreationTimestamp": "2020-01-07T19:58:36.774Z", "Id": "036ceaf9-9319-4716-ba2a-237f9EXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE" }, ... ] } ``` 如需詳細資訊，包括使用 `query` 選項篩選結果的範例，請參閱[取得群組 ID](deployments.md#api-get-group-id)。 1. 從輸出複製目標群組的 `Id`。 1. 將角色與叢集相關聯。以目標群組的 ID 取代 *group-id* 並以群組角色的 ARN 取代 *role-arn* 。 ``` aws greengrass associate-role-to-group --group-id group-id --role-arn role-arn ``` 如果成功，會傳回下列回應。 ``` { "AssociatedAt": "timestamp" } ```   ### 移除 Greengrass 群組角色 (CLI) 請依照下列步驟來取消群組角色與 Greengrass 群組的關聯。 1. 從群組清單中取得目標群組的 ID。 ``` aws greengrass list-groups ``` 以下是 `list-groups` 回應範例。回應中的每個群組都包含 `Id` 屬性。當中包含群組 ID。 ``` { "Groups": [ { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE/versions/4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "Name": "MyFirstGroup", "LastUpdatedTimestamp": "2019-11-11T05:47:31.435Z", "LatestVersion": "4cbc3f07-fc5e-48c4-a50e-7d356EXAMPLE", "CreationTimestamp": "2019-11-11T05:47:31.435Z", "Id": "00dedaaa-ac16-484d-ad77-c3eedEXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/00dedaaa-ac16-484d-ad77-c3eedEXAMPLE" }, { "LatestVersionArn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE/versions/8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "Name": "GreenhouseSensors", "LastUpdatedTimestamp": "2020-01-07T19:58:36.774Z", "LatestVersion": "8fe9e8ec-64d1-4647-b0b0-01dc8EXAMPLE", "CreationTimestamp": "2020-01-07T19:58:36.774Z", "Id": "036ceaf9-9319-4716-ba2a-237f9EXAMPLE", "Arn": "arn:aws:us-west-2:123456789012:/greengrass/groups/036ceaf9-9319-4716-ba2a-237f9EXAMPLE" }, ... ] } ``` 如需詳細資訊，包括使用 `query` 選項篩選結果的範例，請參閱[取得群組 ID](deployments.md#api-get-group-id)。 1. 從輸出複製目標群組的 `Id`。 1. 取消角色與群組的關聯。以目標群組的 ID 取代 *group-id*。 ``` aws greengrass disassociate-role-from-group --group-id group-id ``` 如果成功，會傳回下列回應。 ``` { "DisassociatedAt": "timestamp" } ``` **注意** 如果您不使用群組角色，可以將其刪除。首先，使用 [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html) 將每個受管政策從角色中分開，然後使用 [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html) 來刪除角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[刪除角色或執行個體描述檔](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html)。 ## 另請參閱 + *IAM 使用者指南*中的相關主題 + [建立角色以將許可委派給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) + [修改角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_modify.html) + [新增和移除 IAM 身分許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html) + [刪除角色或執行個體描述檔](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) + AWS IoT Greengrass 命令*AWS CLI 參考中的 命令* + [list-groups](https://docs.aws.amazon.com/cli/latest/reference/greengrass/list-groups.html) + [associate-role-to-group](https://docs.aws.amazon.com/cli/latest/reference/greengrass/associate-role-to-group.html) + [disassociate-role-from-group](https://docs.aws.amazon.com/cli/latest/reference/greengrass/disassociate-role-from-group.html) + [get-associated-role](https://docs.aws.amazon.com/cli/latest/reference/greengrass/get-associated-role.html) + 《 命令*AWS CLI 參考》中的 IAM 命令* + [attach-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/attach-role-policy.html) + [create-role](https://docs.aws.amazon.com/cli/latest/reference/iam/create-role.html) + [delete-role](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role.html) + [delete-role-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-role-policy.html) # 預防跨服務混淆代理人 混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容索引鍵，以限制將另一個 服務 AWS IoT Greengrass 提供給資源的許可。如果同時使用全域條件內容金鑰，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。 的值`aws:SourceArn`必須是與`sts:AssumeRole`請求相關聯的 Greengrass 客戶資源。 防範混淆代理人問題最有效的方法，是使用 `aws:SourceArn` 全域條件內容金鑰，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 `aws:SourceArn` 全域條件內容金鑰，同時使用萬用字元 (`*`) 表示 ARN 的未知部分。例如 `arn:aws:greengrass:region:account-id:*`。 如需使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容索引鍵的政策範例，請參閱下列主題： + [建立 Greengrass 服務角色](service-role.md#create-service-role) + [建立 Greengrass 群組角色](group-role.md#create-group-role) + [為大量部署建立和設定 IAM 執行角色](bulk-deploy-cli.md#bulk-deploy-cli-create-role) # 的身分型政策範例 AWS IoT Greengrass 根據預設，IAM 使用者和角色不具備建立或修改 AWS IoT Greengrass 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 作業的所需許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。 ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS IoT Greengrass 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## AWS 的 受管政策 AWS IoT Greengrass AWS IoT Greengrass 會維護下列 AWS 受管政策，您可以使用這些政策將許可授予 IAM 使用者和角色。 | 政策 | Description | | --- | --- | | [AWSGreengrassFullAccess (AWSGreengrassFullAccess)](https://console.aws.amazon.com/iam/home?region=us-west-2#/policies/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2FAWSGreengrassFullAccess) | 允許所有 AWS 資源的所有 AWS IoT Greengrass 動作。建議將此政策用於 AWS IoT Greengrass [服務管理員](security-iam.md#security_iam_audience)或測試用途。 | | [ AWSGreengrassReadOnlyAccess](https://console.aws.amazon.com/iam/home?region=us-west-2#/policies/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2FAWSGreengrassReadOnlyAccess) | 允許所有 AWS 資源的 `List`和 `Get` AWS IoT Greengrass 動作。 | | [AWSGreengrassResourceAccessRolePolicy (AWSGreengrassResourceAccessRolePolicy)](https://console.aws.amazon.com/iam/home?region=us-west-2#/policies/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2Fservice-role%2FAWSGreengrassResourceAccessRolePolicy) | 允許從 AWS 服務存取 資源，包括 AWS Lambda 和 AWS IoT Device Shadow。這是用於 [Greengrass 服務角色](service-role.md)的預設政策。這項政策是為了方便存取而設計。您可以定義更嚴格的自訂政策。 | | [GreengrassOTAUpdateArtifactAccess](https://console.aws.amazon.com/iam/home?region=us-west-2#/policies/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2Fservice-role%2FGreengrassOTAUpdateArtifactAccess) | 允許唯讀存取所有 中 AWS IoT Greengrass Core 軟體的over-the-air (OTA) AWS 區域更新成品。 | ## 政策範例 下列客戶定義的政策範例會授予常見案例的許可。 **Topics** + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 ### 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # 對 的身分和存取問題進行故障診斷 AWS IoT Greengrass 使用以下資訊來協助您診斷和修正使用 AWS IoT Greengrass 和 IAM 時可能遇到的常見問題。 **Topics** + [我未獲授權在 中執行動作 AWS IoT Greengrass](#security_iam_troubleshoot-no-permissions) + [錯誤：Greengrass 未獲授權，無法擔任與此帳戶關聯的服務角色，或錯誤：失敗：TES 服務角色並未與此帳戶關聯。](#troubleshoot-assume-service-role) + [錯誤：嘗試使用角色 arn：aws：iam：：：role/ 存取 s3 url https://-greengrass-updates.s3..amazonaws.com/core//greengrass-core-.tar.gz 時，許可遭拒。](#troubleshoot-ota-region-access) + [裝置陰影與雲端不同步。](#troubleshoot-shadow-sync) + [我未獲授權執行 iam:PassRole](#security_iam_troubleshoot-passrole) + [我是管理員，想要允許其他人存取 AWS IoT Greengrass](#security_iam_troubleshoot-admin-delegate) + [我想要允許 以外的人員 AWS 帳戶 存取我的 AWS IoT Greengrass 資源](#security_iam_troubleshoot-cross-account-access) 如需一般的故障診斷協助，請參閱 [故障診斷 AWS IoT Greengrass](gg-troubleshooting.md)。 ## 我未獲授權在 中執行動作 AWS IoT Greengrass 若您收到指出您未獲授權執行動作的錯誤，您必須聯絡管理員以取得協助。您的管理員是提供您使用者名稱和密碼的人員。 當 IAM `mateojackson` 使用者嘗試檢視核心定義版本的詳細資訊，但沒有`greengrass:GetCoreDefinitionVersion`許可時，會發生下列範例錯誤。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: greengrass:GetCoreDefinitionVersion on resource: resource: arn:aws:greengrass:us-west-2:123456789012:/greengrass/definition/cores/78cd17f3-bc68-ee18-47bd-5bda5EXAMPLE/versions/368e9ffa-4939-6c75-859c-0bd4cEXAMPLE ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `arn:aws:greengrass:us-west-2:123456789012:/greengrass/definition/cores/78cd17f3-bc68-ee18-47bd-5bda5EXAMPLE/versions/368e9ffa-4939-6c75-859c-0bd4cEXAMPLE` 動作存取 `greengrass:GetCoreDefinitionVersion` 資源。 ## 錯誤：Greengrass 未獲授權，無法擔任與此帳戶關聯的服務角色，或錯誤：失敗：TES 服務角色並未與此帳戶關聯。 **解決方案：**部署失敗時，您可能會看到此錯誤。檢查 Greengrass 服務角色是否與目前 AWS 帳戶 中的 相關聯 AWS 區域。如需詳細資訊，請參閱 [管理 Greengrass 服務角色 (CLI)](service-role.md#manage-service-role-cli) 或 [管理 Greengrass 服務角色 (主控台)](service-role.md#manage-service-role-console) 。 ## 錯誤：嘗試使用角色 arn：aws：iam：：：role/ 存取 s3 url https://-greengrass-updates.s3..amazonaws.com/core//greengrass-core-.tar.gz 時，許可遭拒。 **解決方案：**您可以在無線 (OTA) 更新失敗時查看此錯誤。在簽署者角色政策中，將目標新增 AWS 區域 為 `Resource`。此簽署者角色用於預先簽署 S3 URL 以進行 AWS IoT Greengrass 軟體更新。如需詳細資訊，請參閱 [S3 URL 簽署者角色](core-ota-update.md#s3-url-signer-role)。 ## 裝置陰影與雲端不同步。 **解決方案：**確定 AWS IoT Greengrass 具有 [Greengrass 服務角色](service-role.md)中 `iot:UpdateThingShadow`和 `iot:GetThingShadow`動作的許可。如果服務角色使用 `AWSGreengrassResourceAccessRolePolicy` 受管政策，預設會包含這些權限。 請參閱 [陰影同步逾時問題故障診斷](gg-troubleshooting.md#troubleshooting-shadow-sync)。 以下是使用 時可能遇到的一般 IAM 問題 AWS IoT Greengrass。 ## 我未獲授權執行 iam:PassRole 如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS IoT Greengrass。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS IoT Greengrass中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我是管理員，想要允許其他人存取 AWS IoT Greengrass 若要允許其他人存取 AWS IoT Greengrass，您必須將許可授予需要存取的人員或應用程式。如果您使用 AWS IAM Identity Center 管理人員和應用程式，您可以將許可集指派給使用者或群組，以定義其存取層級。許可集會自動建立 IAM 政策，並將其指派給與該人員或應用程式相關聯的 IAM 角色。如需詳細資訊，請參閱*AWS IAM Identity Center 《 使用者指南*》中的[許可集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。 如果您不是使用 IAM Identity Center，則必須為需要存取的人員或應用程式建立 IAM 實體 （使用者或角色）。您接著必須將政策連接到實體，在 AWS IoT Greengrass中授予他們正確的許可。授予許可後，請將登入資料提供給使用者或應用程式開發人員。他們將使用這些登入資料來存取 AWS。若要進一步了解如何建立 IAM 使用者、群組、政策和許可，請參閱《IAM **[使用者指南》中的 IAM 身分](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)[和政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 AWS IoT Greengrass 資源 您可以建立 IAM 角色，讓其他帳戶中的使用者或您組織外部的人員可用來存取您的 AWS 資源。您可以指定要允許哪些信任對象擔任該角色。如需詳細資訊，請參閱《[IAM 使用者指南》中的提供存取權給您擁有 AWS 帳戶 的另一個 中的 IAM 使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)，以及[提供存取權給第三方擁有的 Amazon Web Services 帳戶](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 ** AWS IoT Greengrass 不支援以資源型政策或存取控制清單 (ACLs) 為基礎的跨帳戶存取。