Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

Amazon IoT Greengrass Version 12023 年 6 月 30 日进入延长寿命阶段。有关更多信息，请参阅Amazon IoT Greengrass V1维护政策。在此日期之后，Amazon IoT Greengrass V1不会发布提供功能、增强功能、错误修复或安全补丁的更新。在上运行的设备Amazon IoT Greengrass V1不会受到干扰，将继续运行并连接到云端。我们强烈建议你迁移到Amazon IoT Greengrass Version 2，它补充说重要的新功能和支持其他平台。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon IoT Greengrass Core 软件的 OTA 更新

Amazon IoT GreengrassCore 软件包包含可以执行Amazon IoT Greengrass软件更新 over-the-air (OTA) 的更新代理。您可以使用 OTA 更新在一个或多个内核上安装最新版本的Amazon IoT Greengrass核心软件或 OTA 更新代理软件。通过 OTA 更新，您的核心设备无需物理连接。

我们建议您尽可能使用 OTA 更新。这提供了一种可用于跟踪更新状态和更新历史记录的机制。如果更新失败，OTA 更新代理会回滚到以前的软件版本。

OTA 更新可以更高效地执行以下操作：

此功能与 Amazon IoT 作业集成。

要求

以下要求适用于 Amazon IoT Greengrass 软件的 OTA 更新。

OTA 更新的 IAM 权限

Amazon IoT Greengrass发布新版本的Amazon IoT Greengrass核心软件时，会Amazon IoT Greengrass更新存储在 Amazon S3 中用于 OTA 更新的软件构件。

您Amazon Web Services 账户必须包含可用于访问这些构件的 Amazon S3 网址签名者角色。该角色必须具有允许对目标 Amazon Web Services 区域 s 中的存储桶s3:GetObject执行操作的权限策略。该角色还必须具有信任策略，允许 iot.amazonaws.com 作为可信实体代入角色。

此外，启动 OTA 更新的用户必须具有使用 greengrass:CreateSoftwareUpdateJob 和 iot:CreateJob 的权限，并可以使用 iam:PassRole 来传递签署人角色的权限。以下是 IAM 策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "greengrass:CreateSoftwareUpdateJob"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iot:CreateJob"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn-of-s3-url-signer-role"
        }
    ]
}

注意事项

在对 Greengrass 核心软件启动 OTA 更新之前，要注意该操作对 Greengrass 组中设备的影响，不仅影响核心设备，还会影响在本地连接至该核心的客户端设备：

OTA 更新期间保留以下状态信息：

Greengrass OTA 更新代理

Greengrass OTA 更新代理是设备上的软件组件，用于处理在云中创建和部署的更新作业。OTA 更新代理与 Amazon IoT Greengrass Core 软件在同一个软件包中分发。代理位于 /greengrass-root/ota/ota_agent/ggc-ota。它将日志写入到 /var/log/greengrass/ota/ggc_ota.txt。

您可以通过手动执行二进制文件或将其集成为初始脚本（例如 systemd 服务文件）的一部分来启动 OTA 更新代理。如果您手动执行二进制文件，则应以 root 身份运行。启动时，OTA 更新代理会监听来自的Amazon IoT Greengrass软件更新任务Amazon IoT Core并按顺序执行这些任务。OTA 更新代理会忽略所有其他Amazon IoT作业类型。

以下摘录显示了用于启动、停止和重新启动 OTA 更新代理的 systemd 服务文件示例：

[Unit]
Description=Greengrass OTA Daemon

[Service]
Type=forking
Restart=on-failure
ExecStart=/greengrass/ota/ota_agent/ggc-ota

[Install]
WantedBy=multi-user.target

作为更新目标的核心不得运行两个 OTA 更新代理实例。这样做会导致两个代理处理相同的任务，因此产生冲突。

与初始化系统集成

在 OTA 更新期间，OTA 更新代理在核心设备上重新启动二进制文件。如果二进制文件正在运行，在更新期间，当 init 系统监控 Amazon IoT Greengrass Core 软件或代理的状态时，这可能会导致冲突。为了帮助将 OTA 更新机制与您的 init 监控策略集成，您可以编写在更新前后运行的 shell 脚本。例如，您可以使用ggc_pre_update.sh脚本在设备关闭之前备份数据或停止进程。

要让 OTA 更新代理运行这些脚本，必须在 config.json 文件中包含"managedRespawn" : true标志。以下摘录显示了此设置：

{
   "coreThing": {                                                     
       …
   },
   "runtime": {                                                       
       …
   },
   "managedRespawn": true
       …
}

使用 OTA 更新的托管 Respawn

以下要求适用于managedRespawn设置为的 OTA 更新true：

OTA 更新代理从运行脚本/greengrass-root/usr/scripts。该目录树应如下所示：

<greengrass_root>
|-- certs
|-- config
|   |-- config.json
|-- ggc
|-- usr/scripts
|   |-- ggc_pre_update.sh
|   |-- ggc_post_update.sh
|   |-- ota_pre_update.sh
|   |-- ota_post_update.sh
|-- ota

当设置managedRespawn为时true，OTA 更新代理会在软件更新之前和之后检查/greengrass-root/usr/scripts目录中是否有这些脚本。如果脚本不存在，则更新将失败。 Amazon IoT Greengrass不验证这些脚本的内容。最佳做法是，验证您的脚本是否正常运行，并针对错误发出相应的退出代码。

创建 OTA 更新

按照以下步骤在一个或多个核心上执行 Amazon IoT Greengrass 软件的 OTA 更新：

CreateSoftwareUpdateJob API

您可以使用 CreateSoftwareUpdateJob API 更新核心设备上的Amazon IoT Greengrass核心软件或 OTA 更新代理软件。此 API 创建一个 Amazon IoT 快照作业，在更新可用时通知设备。调用 CreateSoftwareUpdateJob 后，您可以使用其他 Amazon IoT 作业命令来跟踪软件更新。有关更多信息，请参阅《Amazon IoT开发者指南》中的作业。

以下示例介绍如何使用 Amazon CLI 创建用于更新核心设备上的 Amazon IoT Greengrass Core 软件的作业：

aws greengrass create-software-update-job \
--update-targets-architecture x86_64 \
--update-targets [\"arn:aws:iot:region:123456789012:thing/myCoreDevice\"] \
--update-targets-operating-system ubuntu \
--software-to-update core \
--s3-url-signer-role arn:aws:iam::123456789012:role/myS3UrlSignerRole \
--update-agent-log-level WARN \
--amzn-client-token myClientToken1

create-software-update-job 命令会返回一个 JSON 响应，其中包含作业 ID、作业 ARN 和更新所安装的软件版本：

{
    "IotJobId": "GreengrassUpdateJob_c3bd7f36-ee80-4d42-8321-a1da0EXAMPLE",
    "IotJobArn": "arn:aws:iot:region:123456789012:job/GreengrassUpdateJob_c3bd7f36-ee80-4d42-8321-a1da0EXAMPLE",
    "PlatformSoftwareVersion": "1.9.2"
}

有关演示如何使用 create-software-update-job 更新核心设备的步骤，请参阅创建 OTA 更新。

create-software-update-job 命令包含以下参数：