將用戶端裝置連接至核心裝置

檢查 Greengrass 服務角色是否 AWS 帳戶 與此區域中 AWS IoT Greengrass 的 相關聯。請執行下列操作：

1. 導覽至 AWS IoT 主控台。

2. 在導覽窗格中，選擇設定。

3. 在 Greengrass 服務角色區段中，尋找目前的服務角色，以查看 Greengrass 服務角色是否相關聯。

   如果您有相關聯的 Greengrass 服務角色，則需符合此要求才能使用 IP 偵測器元件。跳至 設定 AWS IoT 物件政策。

如果 Greengrass 服務角色與此 AWS 帳戶 區域中 AWS IoT Greengrass 的 沒有關聯，請建立 Greengrass 服務角色並將其關聯。請執行下列操作：

1. 導覽至 IAM 主控台。

2. 選擇角色。

3. 選擇建立角色。

4. 在建立角色頁面上，執行下列動作：

   1. 在信任的實體類型下，選擇 AWS 服務。

   2. 在使用案例、其他 的使用案例 AWS 服務下，選擇 Greengrass，選取 Greengrass。此選項指定 將 新增 AWS IoT Greengrass 為可擔任此角色的信任實體。

   3. 選擇下一步。

   4. 在許可政策下，選取要AWSGreengrassResourceAccessRolePolicy連接至角色的 。

   5. 選擇下一步。

   6. 在角色名稱中，輸入角色的名稱，例如 Greengrass_ServiceRole。

   7. 選擇建立角色。

5. 導覽至 AWS IoT 主控台。

6. 在導覽窗格中，選擇設定。

7. 在 Greengrass 服務角色區段中，選擇連接角色。

8. 在更新 Greengrass 服務角色模態中，選取您建立的 IAM 角色，然後選擇連接角色。

檢查 Greengrass 服務角色是否 AWS 帳戶 與此區域中 AWS IoT Greengrass 的 相關聯。

aws greengrassv2 get-service-role-for-account

如果 Greengrass 服務角色相關聯，操作會傳回包含角色相關資訊的回應。

如果您有相關聯的 Greengrass 服務角色，則需符合此要求才能使用 IP 偵測器元件。跳至 設定 AWS IoT 物件政策。

如果 Greengrass 服務角色與此 AWS 帳戶 區域中 AWS IoT Greengrass 的 沒有關聯，請建立 Greengrass 服務角色並將其關聯。請執行下列操作：

1. 建立具有信任政策的角色， AWS IoT Greengrass 允許 擔任該角色。此範例會建立名為 Greengrass_ServiceRole 的角色，但您可以使用不同的名稱。我們建議您也在信任政策中包含 aws:SourceArn和 aws:SourceAccount全域條件內容金鑰，以協助防止混淆代理人安全問題。條件內容索引鍵會限制存取，只允許來自指定帳戶和 Greengrass 工作區的請求。如需有關混淆代理人問題的詳細資訊，請參閱 預防跨服務混淆代理人。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\\"Version\\":\\"2012-10-17\\",\\"Statement\\":[{\\"Effect\\":\\"Allow\\",\\"Principal\\":{\\"Service\\":\\"greengrass.amazonaws.com\\"},\\"Action\\":\\"sts:AssumeRole\\",\\"Condition\\":{\\"ArnLike\\":{\\"aws:SourceArn\\":\\"arn:aws:greengrass:region:account-id:*\\"},\\"StringEquals\\":{\\"aws:SourceAccount\\":\\"account-id\\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 從輸出中的角色中繼資料，複製角色 ARN。您使用 ARN 將角色與您的帳戶相關聯。

3. 將 AWSGreengrassResourceAccessRolePolicy 政策連接到角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. 將 Greengrass 服務角色與 AWS IoT Greengrass 建立關聯 AWS 帳戶。將 role-arn 取代為服務角色的 ARN。

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   如果成功， 操作會傳回下列回應。

   {
     "associatedAt": "timestamp"
   }

在AWS IoT Greengrass 主控台導覽功能表中，選擇核心裝置。

在核心裝置頁面上，選擇要更新的核心裝置。

在核心裝置詳細資訊頁面上，選擇核心裝置物件的連結。此連結會在 主控台中 AWS IoT 開啟物件詳細資訊頁面。

在物件詳細資訊頁面上，選擇憑證。

在憑證索引標籤中，選擇物件的作用中憑證。

在憑證詳細資訊頁面上，選擇政策。

在政策索引標籤中，選擇要檢閱和更新 AWS IoT 的政策。您可以將必要的許可新增至連接到核心裝置作用中憑證的任何政策。

在政策概觀中，選擇編輯作用中版本。

檢閱必要許可的政策，並新增任何缺少的必要許可。

（選用） 若要允許核心裝置與 同步陰影 AWS IoT Core，請將下列陳述式新增至政策。如果您計劃與用戶端裝置影子互動，但未與之同步 AWS IoT Core，請略過此步驟。將 region 和 account-id 取代為您使用的區域和您的 AWS 帳戶 號碼。

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

新增此陳述式後，政策文件看起來可能會類似下列範例。

若要將新的政策版本設定為作用中版本，請在政策版本狀態下，選取將編輯的版本設定為此政策的作用中版本。

選擇儲存為新版本。

列出核心裝置 AWS IoT 物件的主體。物件主體可以是 X.509 裝置憑證或其他識別符。執行下列命令，並以核心裝置的名稱取代 MyGreengrassCore。

aws iot list-thing-principals --thing-name MyGreengrassCore

操作會傳回回應，列出核心裝置的物件主體。

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

識別核心裝置的作用中憑證。執行下列命令，並將 certificateId 取代為上一個步驟中每個憑證的 ID，直到您找到作用中憑證為止。憑證 ID 是憑證 ARN 結尾的十六進位字串。--query 引數指定 僅輸出憑證的狀態。

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

操作會以字串的形式傳回憑證狀態。例如，如果憑證處於作用中狀態，此操作會輸出 "ACTIVE"。

列出連接到憑證 AWS IoT 的政策。執行下列命令，並以憑證的 ARN 取代憑證 ARN。

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

操作會傳回回應，列出連接到憑證 AWS IoT 的政策。

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

選擇要檢視和更新的政策。

取得政策的文件。執行下列命令，並以政策的名稱取代 GreengrassV2IoTThingPolicy。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

操作會傳回回應，其中包含政策的文件和政策的其他資訊。政策文件是序列化為字串的 JSON 物件。

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
                \\"iot:Connect\\",\
                \\"iot:Publish\\",\
                \\"iot:Subscribe\\",\
                \\"iot:Receive\\",\
                \\"greengrass:*\\"\
],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

使用線上轉換器或其他工具將政策文件字串轉換為 JSON 物件，然後將其儲存至名為 的檔案iot-policy.json。

例如，如果您已安裝 jq 工具，您可以執行下列命令來取得政策文件、將其轉換為 JSON 物件，並將政策文件儲存為 JSON 物件。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

檢閱必要許可的政策，並新增任何缺少的必要許可。

例如，在以 Linux 為基礎的系統上，您可以執行下列命令來使用 GNU nano 來開啟檔案。

nano iot-policy.json

將變更儲存為政策的新版本。執行下列命令，並以政策的名稱取代 GreengrassV2IoTThingPolicy。

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

如果成功， 操作會傳回類似下列範例的回應。

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\
  \\"Version\\": \\"2012-10-17\\",\
  \\"Statement\\": [\
    {\
      \\"Effect\\": \\"Allow\\",\
      \\"Action\\": [\
\\t\\t\\"iot:Connect\\",\
\\t\\t\\"iot:Publish\\",\
\\t\\t\\"iot:Subscribe\\",\
\\t\\t\\"iot:Receive\\",\
\\t\\t\\"greengrass:*\\"\
      ],\
      \\"Resource\\": \\"*\\"\
    }\
  ]\
}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}