Amazon IoT Greengrass Version 1 2023 年 6 月 30 日进入延长寿命阶段。有关更多信息，请参阅 Amazon IoT Greengrass V1 维护策略。在此日期之后，将 Amazon IoT Greengrass V1 不会发布提供功能、增强功能、错误修复或安全补丁的更新。在上面运行的设备 Amazon IoT Greengrass V1 不会中断，将继续运行并连接到云端。我们强烈建议您迁移到 Amazon IoT Greengrass Version 2，这样可以添加重要的新功能并支持其他平台。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Docker 应用程序部署连接器
Greengrass Docker 应用程序部署连接器可以更轻松地在 Amazon IoT Greengrass Core 上运行 Docker 映像。连接器使用 Docker Compose 从 docker-compose.yml 文件启动多容器 Docker 应用程序。具体而言，连接器运行 docker-compose 命令来管理单个核心设备上的 Docker 容器。有关详细信息，请参阅 Docker 文档中的 Docker Compose 概述
在部署 Greengrass 组之后，连接器将提取最新的映像并启动 Docker 容器。它运行 docker-compose pull 和 docker-compose
up 命令。然后，连接器将命令的状态发布到输出 MQTT 主题。它还记录有关运行 Docker 容器的状态信息。这使您可以在 Amazon 中监控您的应用程序日志 CloudWatch。有关更多信息，请参阅 利用 Amazon IoT Greengrass 日志进行监控。连接器还会在每次 Greengrass 守护程序重新启动时启动 Docker 容器。可以在内核上运行的 Docker 容器数量取决于您的硬件。
Docker 容器在核心设备上的 Greengrass 域之外运行，因此它们无法访问核心的进程间通信 (IPC)。但是，您可以使用 Greengrass 组件配置某些通信通道，例如本地 Lambda 函数。有关更多信息，请参阅 与 Docker 容器通信。
您可以将连接器用于在核心设备上托管 Web 服务器或 MySQL 服务器等此类方案。Docker 应用程序中的本地服务可以彼此、与本地环境中的其他进程以及云服务通信。例如，您可以在核心上运行 Web 服务器，将请求从 Lambda 函数发送到云中的 Web 服务。
此连接器在无容器隔离模式下运行，因此，您可以将其部署到在没有 Greengrass 容器化的情况下运行的 Greengrass 组。
此连接器具有以下版本。
版本 |
ARN |
|---|---|
7 |
|
6 |
|
5 |
|
4 |
|
3 |
|
2 |
|
1 |
|
有关版本更改的信息，请参阅更改日志。
要求
此连接器具有以下要求：
-
Amazon IoT Greengrass Core 软件 v1.10 版或更高版本。
注意
OpenWrt 发行版不支持此连接器。
-
Python
版本 3.7 或 3.8 已安装在核心设备上，并已添加到 PATH 环境变量中。 注意
要使用 Python 3.8，请运行以下命令来创建从默认 Python 3.7 安装文件夹到已安装的 Python 3.8 二进制文件的符号链接。
sudo ln -spath-to-python-3.8/python3.8 /usr/bin/python3.7这会将设备配置为满足 Amazon IoT Greengrass 的 Python 要求。
-
Greengrass 内核上至少有 36 MB RAM，供连接器监控正在运行的 Docker 容器。总内存需求取决于在内核上运行的 Docker 容器的数量。
-
Greengrass 核心上安装的 Docker Engine
1.9.1 或更高版本。版本 19.0.3 是经验证可与连接器一起使用的最新版本。 docker可执行文件必须位于/usr/bin或/usr/local/bin目录中。重要
我们建议您安装凭证存储以保护 Docker 凭证的本地副本。有关更多信息，请参阅 安全说明。
有关在 Amazon Linux 发行版上安装 Docker 的信息，请参阅《Amazon Elastic Container Service 开发人员指南》中的 Amazon ECS 的 Docker 基础知识。
-
Greengrass 核心上安装的 Docker Compose
。 docker-compose可执行文件必须位于/usr/bin或/usr/local/bin目录中。以下 Docker Compose 版本经验证可与此连接器一起使用。
连接器版本
经验证的 Docker Compose 版本
7
1.25.4
6
1.25.4
5
1.25.4
4
1.25.4
3
1.25.4
2
1.25.1
1
1.24.1
-
一个 Docker Compose 文件（例如，
docker-compose.yml），存储在 Amazon Simple Storage Service (Amazon S3) 中。格式必须与安装在核心上的 Docker Compose 版本兼容。在核心上使用文件之前，应先对其进行测试。如果在部署 Greengrass 组后编辑该文件，则必须重新部署该组以更新核心上的本地副本。 -
有权调用本地 Docker 守护程序并写入存储 Compose 文件的本地副本的目录的 Linux 用户。有关更多信息，请参阅 在核心上设置 Docker 用户。
-
Greengrass 组角色，配置为允许对包含 Compose 文件的 S3 存储桶执行
s3:GetObject操作。此权限显示在以下示例 IAM 策略中。{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAccessToComposeFileS3Bucket", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Effect": "Allow", "Resource": "arn:aws:s3:::bucket-name/*" } ] }注意
如果您的 S3 桶已启用版本控制，则必须将角色配置为也允许执行
s3:GetObjectVersion操作。有关更多信息，请参阅 Amazon Simple Storage Service 用户指南中的使用版本控制。对于组角色要求，您必须将角色配置为授予所需权限，并确保角色已添加到组中。有关更多信息，请参阅管理 Greengrass 组角色（控制台）或管理 Greengrass 组角色 (CLI)。
-
如果您的 Docker Compose 文件引用 Amazon ECR 中存储的 Docker 映像，则为配置为允许执行以下操作的 Greengrass 组角色：
-
对包含 Docker 镜像的 Amazon ECR 存储库执行的
ecr:GetDownloadUrlForLayer和ecr:BatchGetImage操作。 -
对您的资源执行的
ecr:GetAuthorizationToken操作。
存储库必须与连接器位于同一 Amazon Web Services 账户 和 Amazon Web Services 区域 中。
重要
组角色中的权限可由 Greengrass 组中的所有 Lambda 函数和连接器代入。有关更多信息，请参阅 安全说明。
以下示例策略中显示了这些权限。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowGetEcrRepositories", "Effect": "Allow", "Action": [ "ecr:GetDownloadUrlForLayer", "ecr:BatchGetImage" ], "Resource": [ "arn:aws:ecr:region:account-id:repository/repository-name" ] }, { "Sid": "AllowGetEcrAuthToken", "Effect": "Allow", "Action": "ecr:GetAuthorizationToken", "Resource": "*" } ] }有关更多信息，请参阅 Amazon ECR 用户指南中的 Amazon ECR 存储库策略示例。
对于组角色要求，您必须将角色配置为授予所需权限，并确保角色已添加到组中。有关更多信息，请参阅管理 Greengrass 组角色（控制台）或管理 Greengrass 组角色 (CLI)。
-
-
如果您的 Docker Compose 文件引用来自 Amazon Web Services Marketplace
的 Docker 镜像，则连接器还具有以下要求： -
您必须订阅 Amazon Web Services Marketplace 容器产品。有关更多信息，请参阅《Amazon Web Services Marketplace 订阅者指南》中的查找和订阅容器产品。
-
Amazon IoT Greengrass 必须配置为支持本地密钥，如密钥要求中所述。连接器仅使用此功能从 Amazon Secrets Manager 中检索您的密钥，而不存储它们。
-
您必须在 Secrets Manager 中为用于存储在 Compose 文件中引用的 Docker 镜像的每个 Amazon Web Services Marketplace 镜像仓库创建一个密钥。有关更多信息，请参阅 从私有存储库访问 Docker 镜像。
-
-
如果您的 Docker Compose 文件从 Amazon ECR（如 Docker Hub）之外的镜像仓库中的私有存储库引用 Docker 镜像，则连接器还具有以下要求：
-
Amazon IoT Greengrass 必须配置为支持本地密钥，如密钥要求中所述。连接器仅使用此功能从 Amazon Secrets Manager 中检索您的密钥，而不存储它们。
-
您必须在 Secrets Manager 中为用于存储在 Compose 文件中引用的 Docker 镜像的每个私有存储库创建一个密钥。有关更多信息，请参阅 从私有存储库访问 Docker 镜像。
-
-
当您部署包含此连接器的 Greengrass 组时，Docker 守护程序必须正在运行。
从私有存储库访问 Docker 镜像
如果您使用凭证问 Docker 镜像，则必须允许连接器访问它们。您执行此操作的方式取决于 Docker 镜像的位置。
对于 Amazon ECR 中存储的 Docker 镜像，您可以授予在 Greengrass 组角色中获取授权令牌的权限。有关更多信息，请参阅 要求。
对于存储在其他私有存储库或镜像仓库中的 Docker 镜像，您必须在 Amazon Secrets Manager 中创建一个密钥来存储您的登录信息。这包括您在 Amazon Web Services Marketplace 中订阅的 Docker 镜像。为每个存储库创建一个密钥。如果您在 Secrets Manager 中更新您的密钥，则更改会在下次部署组时传播到核心。
注意
Secrets Manager 是一项可用于在 Amazon Web Services 云 中安全存储和管理您的凭证、键和其他密钥的服务。有关更多信息，请参阅Amazon Secrets Manager《用户指南》中的什么是Amazon Secrets Manager？。
每个密钥必须包含以下键：
键 |
值 |
|---|---|
|
用于访问存储库或镜像仓库的用户名。 |
|
用于访问存储库或镜像仓库的密码。 |
|
镜像仓库的终端节点。这必须与 Compose 文件中相应的镜像仓库 URL 匹配。 |
注意
要默认允许 Amazon IoT Greengrass 访问密钥，密钥的名称必须以 greengrass- 开头。否则，您的 Greengrass 服务角色必须授予访问权限。有关更多信息，请参阅 允许 Amazon IoT Greengrass 获取密钥值。
- 从 Amazon Web Services Marketplace 获取 Docker 镜像的登录信息
-
-
使用
aws ecr get-login-password命令从 Amazon Web Services Marketplace 中获取 Docker 映像的密码。有关更多信息，请参阅《Amazon CLI 命令参考》中的 get-login-password。aws ecr get-login-password -
检索 Docker 映像的注册表 URL。打开 Amazon Web Services Marketplace 网站，然后打开容器产品启动页面。在容器映像下，选择查看容器映像详细信息以找到用户名和注册表 URL。
使用检索到的用户名、密码和注册表 URL 为每个 Amazon Web Services Marketplace 注册表创建一个密钥，该注册表中存储了您的 Compose 文件中引用的 Docker 映像。
-
- 创建密钥（控制台）
-
在 Amazon Secrets Manager 控制台中，选择其他密钥类型。在 Specify the key-value pairs to be stored for this secret (指定要为此密钥存储的键值对) 下，添加针对
username、password和registryUrl的行。有关更多信息，请参阅 Amazon Secrets Manager 用户指南中的创建基本密钥。
- 创建密钥 (CLI)
-
在 Amazon CLI 中使用 Secrets Manager
create-secret命令，如下例所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 create-secret。aws secretsmanager create-secret --name greengrass-MySecret --secret-string [{"username":"Mary_Major"},{"password":"abc123xyz456"},{"registryUrl":"https://docker.io"}]
重要
您有责任保护用于存储 Docker Compose 文件的DockerComposeFileDestinationPath目录以及来自私有存储库的 Docker 镜像的凭证。有关更多信息，请参阅 安全说明。
参数
该连接器提供以下参数：
创建连接器示例 (Amazon CLI)
以下 CLI 命令创建一个 ConnectorDefinition，其初始版本包含 Greengrass Docker 应用程序部署连接器。
aws greengrass create-connector-definition --name MyGreengrassConnectors --initial-version '{ "Connectors": [ { "Id": "MyDockerAppplicationDeploymentConnector", "ConnectorArn": "arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/5", "Parameters": { "DockerComposeFileS3Bucket": "myS3Bucket", "DockerComposeFileS3Key": "production-docker-compose.yml", "DockerComposeFileS3Version": "123", "DockerComposeFileDestinationPath": "/home/username/myCompose", "DockerUserId": "1000", "AWSSecretsArnList": "[\"arn:aws:secretsmanager:region:account-id:secret:greengrass-secret1-hash\",\"arn:aws:secretsmanager:region:account-id:secret:greengrass-secret2-hash\"]", "DockerContainerStatusLogFrequency": "30", "ForceDeploy": "True", "DockerPullBeforeUp": "True" } } ] }'
注意
此连接器中的 Lambda 函数的生命周期很长。
输入数据
此连接器不需要或接受输入数据。
输出数据
此连接器将 docker-compose up 命令的状态发布为输出数据。
- 订阅中的主题筛选条件
-
dockerapplicationdeploymentconnector/message/status - 示例输出：成功
-
{ "status":"success", "GreengrassDockerApplicationDeploymentStatus":"Successfully triggered docker-compose up", "S3Bucket":"myS3Bucket", "ComposeFileName":"production-docker-compose.yml", "ComposeFileVersion":"123" } - 示例输出：失败
-
{ "status":"fail", "error_message":"description of error", "error":"InvalidParameter" }错误类型可以是
InvalidParameter或InternalError。
在 Amazon IoT Greengrass 核心上设置 Docker 用户
Greengrass Docker 应用程序部署连接器以您为 DockerUserId 参数指定的用户的身份运行。如果不指定值，则连接器将以 ggc_user 身份运行，这是默认的 Greengrass 访问标识。
要允许连接器与 Docker 守护程序交互，Docker 用户必须属于核心上的 docker Linux 组。Docker 用户还必须具有对 DockerComposeFileDestinationPath 目录的写入权限。这是连接器存储本地 docker-compose.yml 文件和 Docker 凭证的位置。
注意
-
我们建议您创建 Linux 用户，而不是使用默认
ggc_user。否则，Greengrass 组中的任何 Lambda 函数都可以访问 Compose 文件和 Docker 凭证。 -
除非绝对有必要，否则建议避免以根用户身份运行。如果您确实指定了 根用户，则必须允许 Lambda 函数以 root 身份在 Amazon IoT Greengrass 核心上运行。有关更多信息，请参阅 以根用户身份运行 Lambda 函数。
-
创建 用户。您可以运行
useradd命令并包含用于分配 UID 的可选-u选项。例如：sudo useradd -u1234user-name -
将用户添加到核心上的
docker组。例如：sudo usermod -aG dockeruser-name有关详细信息，包括如何创建
docker组，请参阅 Docker 文档中的以非 root 用户身份管理 Docker。 -
授予用户写入为
DockerComposeFileDestinationPath参数指定的目录的权限。例如：-
将用户设置为目录的所有者。此示例使用步骤 1 中的 UID。
chown1234docker-compose-file-destination-path -
为所有者授予读写权限。
chmod 700docker-compose-file-destination-path有关详细信息，请参阅 Linux Foundation 文档中的如何在 Linux 中管理文件和文件夹权限
。 -
如果您在创建用户时没有分配 UID，或者使用现有用户，请运行
id命令查找 UID。id -uuser-name您可以使用 UID 配置连接器的
DockerUserId参数。
-
使用情况信息
当您使用 Greengrass Docker 应用程序部署连接器时，您应该注意以下特定于实现的使用信息。
-
项目名称的固定前缀。连接器将
greengrassdockerapplicationdeployment前缀附加到其启动的 Docker 容器的名称前面。连接器在它所运行的docker-compose命令中使用此前缀作为项目名称。 -
日志记录行为。连接器将状态信息和疑难解答信息写入日志文件。您可以配置为将日志发送Amazon IoT Greengrass到 CloudWatch 日志并在本地写入日志。有关更多信息，请参阅 连接器的日志记录。这是连接器的本地日志的路径：
/greengrass-root/ggc/var/log/user/region/aws/DockerApplicationDeployment.log您必须具有 root 权限才能访问本地日志。
-
更新 Docker 映像。Docker 在核心设备上缓存镜像。如果您更新 Docker 镜像并希望将更改传播到核心设备，请确保更改 Compose 文件中镜像的标签。更改将在部署 Greengrass 组后生效。
-
清理操作的 10 分钟超时。当 Greengrass 守护程序（在重新启动期间）停止时，将启动该
docker-compose down命令。所有 Docker 容器在启动docker-compose down后最多具有 10 分钟以执行任何清理操作。如果清理在 10 分钟内未完成，则必须手动清理剩余的容器。有关更多信息，请参阅 Docker CLI 文档中的 docker rm。 -
运行 Docker 命令。要解决问题，您可以在核心设备上的终端窗口中运行 Docker 命令。例如，运行以下命令以查看由连接器启动的 Docker 容器：
docker ps --filter name="greengrassdockerapplicationdeployment" -
保留资源 ID。连接器使用它在 Greengrass 组中创建的 Greengrass 资源的
DOCKER_DEPLOYER_SECRET_RESOURCE_RESERVED_ID_ID。资源 ID 在组中必须是唯一的，因此不要分配可能与此保留资源 ID 冲突的资源 ID。index -
离线模式。将
DockerOfflineMode配置参数设置为True时，Docker 连接器就可以在离线模式下运行。如果 Greengrass 组部署在核心设备离线时重新启动，并且连接器无法建立到 Amazon S3 或 Amazon ECR 的连接以检索 Docker 合成文件，此时可能会发生这种情况。启用离线模式后，连接器将尝试下载合成文件，并像正常重新启动一样运行
docker login命令。如果这些尝试失败，则连接器会在使用DockerComposeFileDestinationPath参数指定的文件夹中查找本地存储的 Compose 文件。如果存在本地 Compose 文件，则连接器会遵循正常的docker-compose命令顺序并从本地映像中提取。如果 Compose 文件或本地映像不存在，则连接器将失败。在离线模式下，ForceDeploy和StopContainersOnNewDeployment参数的行为保持不变。
与 Docker 容器通信
Amazon IoT Greengrass 支持 Greengrass 组件和 Docker 容器之间的以下通信通道：
-
Greengrass Lambda 函数可以使用 REST API 与 Docker 容器中的进程进行通信。可以在打开端口的 Docker 容器中设置服务器。Lambda 函数可以使用该端口与容器通信。
-
Docker 容器中的进程可以通过本地 Greengrass 消息代理交换 MQTT 消息。您可以将 Docker 容器设置为 Greengrass 组中的客户端设备，然后创建订阅以允许容器与组中的 Greengrass Lambda 函数、客户端设备和其他连接器或与 Amazon IoT 本地影子服务进行通信。有关更多信息，请参阅 配置 MQTT 与 Docker 容器的通信。
-
Greengrass Lambda 函数可以更新共享文件以将信息传递给 Docker 容器。您可以使用 Compose 文件绑定装载 Docker 容器的共享文件路径。
配置 MQTT 与 Docker 容器的通信
您可以将 Docker 容器配置为客户端设备，并将其添加到 Greengrass 组中。然后，您可以创建允许在 Docker 容器和 Greengrass 组件或 Amazon IoT 之间进行 MQTT 通信的订阅。在以下过程中，您将创建允许 Docker 容器设备从本地影子服务接收影子更新消息的订阅。您可以按照此模式创建其他订阅。
注意
此过程假设您已经创建了 Greengrass 组和 Greengrass 核心 (v1.10 或更高版本)。有关创建 Greengrass 组和核心的信息，请参阅 入门 Amazon IoT Greengrass。
将 Docker 容器配置为客户端设备并将其添加到 Greengrass 组
-
在核心设备上创建一个文件夹，以存储用于对 Greengrass 设备进行身份验证的证书和密钥。
文件路径必须装载在要启动的 Docker 容器上。以下代码段显示如何在您的 Compose 文件中装载文件路径。在此示例中，
path-to-device-certs表示您在此步骤中创建的文件夹。version: '3.3' services: myService: image:user-name/repo:image-tagvolumes: - /path-to-device-certs/:/path-accessible-in-container 在 Amazon IoT 控制台导航窗格的管理下，展开 Greengrass 设备，然后选择组 (V1)。
选择目标组。
-
在组配置页面中，选择客户端设备，然后选择关联。
-
在将客户端设备与此组关联模态中，选择新建 Amazon IoT 事物。
此时将在新选项卡中打开创建事物页面。
-
在 创建事物页面上，选择 创建单个事物，然后选择 下一步。
-
在指定事物属性页面上，输入设备的名称，然后选择下一步。
-
在配置设备证书页面上，选择下一步。
-
在 将策略附加到证书 页面上，执行下列操作之一：
-
选择授予客户端设备所需权限的现有策略，然后选择创建事物。
这将打开一个模态，供您下载设备用于连接到 Amazon Web Services 云 和核心的证书和密钥。
-
创建并附加一个新策略，以授予客户端权限。执行以下操作：
-
选择创建策略。
此时将在新选项卡中打开创建策略页面。
-
在创建策略页面上，执行以下操作：
-
在策略名称中，输入一个名称来描述该策略，例如
GreengrassV1ClientDevicePolicy。 -
在策略语句选项卡的策略文档下，选择 JSON。
-
输入以下策略文档。此策略允许客户端设备发现 Greengrass 核心并就所有 MQTT 主题进行通信。有关如何限制此策略访问权限的信息，请参阅Amazon IoT Greengrass 的设备身份验证和授权。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:Publish", "iot:Subscribe", "iot:Connect", "iot:Receive" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:*" ], "Resource": [ "*" ] } ] } -
选择 Create（创建）以创建策略。
-
-
返回到打开了将策略附加到证书页面的浏览器标签页中。执行以下操作：
-
在策略列表中，选择您创建的策略，例如 GreengrassV1ClientDevicePolicy。
如果没有看到策略，请选择刷新按钮。
-
选择 Create thing（创建事物）。
这将打开一个模态，供您下载设备用于连接到 Amazon Web Services 云 和核心的证书和密钥。
-
-
-
-
在下载证书和密钥模态中，下载设备的证书。
重要
请先下载安全资源，然后再选择 完成。
执行以下操作：
-
在设备证书中，选择下载以下载该设备证书。
-
在公钥文件中，选择下载以下载该证书的公钥。
-
在私钥文件中，选择下载以下载该证书的私钥文件。
-
查看《Amazon IoT 开发人员指南》中的服务器身份验证，然后选择相应的根 CA 证书。我们建议您使用 Amazon Trust Services (ATS) 端点和 ATS 根 CA 证书。在根 CA 证书下，针对根 CA 证书选择下载。
-
选择完成。
记下设备证书和密钥文件名中常见的证书 ID。稍后您将需要用到它。
-
-
将证书和密钥复制到您在步骤 1 中创建的文件夹。
接下来，在组中创建订阅。对于此示例，您创建一个订阅，以允许 Docker 容器设备从本地影子服务接收 MQTT 消息。
注意
影子文档的最大大小为 8 KB。有关更多信息，请参阅《Amazon IoT 开发人员指南》中的 Amazon IoT 配额。
创建允许 Docker 容器设备从本地影子服务接收 MQTT 消息的订阅。
-
在选择您的源和目标页面，配置源和目标，如下所示：
-
对于选择源，选择服务，然后选择本地影子服务。
-
对于 Select a target (选择目标)，选择 Devices (设备)，然后选择您的设备。
-
请选择 Next（下一步）。
-
在 利用主题筛选您的数据 页面上，对于 主题筛选条件，选择
$aws/things/，然后选择下一步。MyDockerDevice/shadow/update/acceptedMyDockerDevice替换为您之前创建的设备的名称。 -
选择完成。
-
在您的 Compose 文件中引用的 Docker 镜像中包含以下代码段。这是 Greengrass 设备代码。此外，在 Docker 容器中添加代码，以启动容器内的 Greengrass 设备。它可以作为一个单独的进程在镜像或单独的线程中运行。
import os import sys import time import uuid from AWSIoTPythonSDK.core.greengrass.discovery.providers import DiscoveryInfoProvider from AWSIoTPythonSDK.exception.AWSIoTExceptions import DiscoveryInvalidRequestException from AWSIoTPythonSDK.MQTTLib import AWSIoTMQTTClient # Replace thingName with the name you registered for the Docker device. thingName = "MyDockerDevice" clientId = thingName # Replace host with the IoT endpoint for your &AWS-account;. host = "myPrefix.iot.region.amazonaws.com" # Replace topic with the topic where the Docker container subscribes. topic = "$aws/things/MyDockerDevice/shadow/update/accepted" # Replace these paths based on the download location of the certificates for the Docker container. rootCAPath = "/path-accessible-in-container/AmazonRootCA1.pem" certificatePath = "/path-accessible-in-container/certId-certificate.pem.crt" privateKeyPath = "/path-accessible-in-container/certId-private.pem.key" # Discover Greengrass cores. discoveryInfoProvider = DiscoveryInfoProvider() discoveryInfoProvider.configureEndpoint(host) discoveryInfoProvider.configureCredentials(rootCAPath, certificatePath, privateKeyPath) discoveryInfoProvider.configureTimeout(10) # 10 seconds. GROUP_CA_PATH = "./groupCA/" MQTT_QOS = 1 discovered = False groupCA = None coreInfo = None try: # Get discovery info from AWS IoT. discoveryInfo = discoveryInfoProvider.discover(thingName) caList = discoveryInfo.getAllCas() coreList = discoveryInfo.getAllCores() # Use first discovery result. groupId, ca = caList[0] coreInfo = coreList[0] # Save the group CA to a local file. groupCA = GROUP_CA_PATH + groupId + "_CA_" + str(uuid.uuid4()) + ".crt" if not os.path.exists(GROUP_CA_PATH): os.makedirs(GROUP_CA_PATH) groupCAFile = open(groupCA, "w") groupCAFile.write(ca) groupCAFile.close() discovered = True except DiscoveryInvalidRequestException as e: print("Invalid discovery request detected!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) print("Stopping...") except BaseException as e: print("Error in discovery!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) print("Stopping...") myAWSIoTMQTTClient = AWSIoTMQTTClient(clientId) myAWSIoTMQTTClient.configureCredentials(groupCA, privateKeyPath, certificatePath) # Try to connect to the Greengrass core. connected = False for connectivityInfo in coreInfo.connectivityInfoList: currentHost = connectivityInfo.host currentPort = connectivityInfo.port myAWSIoTMQTTClient.configureEndpoint(currentHost, currentPort) try: myAWSIoTMQTTClient.connect() connected = True except BaseException as e: print("Error in connect!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) if connected: break if not connected: print("Cannot connect to core %s. Exiting..." % coreInfo.coreThingArn) sys.exit(-2) # Handle the MQTT message received from GGShadowService. def customCallback(client, userdata, message): print("Received an MQTT message") print(message) # Subscribe to the MQTT topic. myAWSIoTMQTTClient.subscribe(topic, MQTT_QOS, customCallback) # Keep the process alive to listen for messages. while True: time.sleep(1)
安全说明
使用 Greengrass Docker 应用程序部署连接器时，请注意以下安全注意事项。
-
Docker Compose 文件的本地存储
连接器将 Compose 文件的副本存储在为
DockerComposeFileDestinationPath参数指定的目录中。您负责确保此目录安全。您应该使用文件系统权限来限制对目录的访问。
-
Docker 凭证的本地存储
如果 Docker 镜像存储在私有存储库中，则连接器将 Docker 凭证存储在为
DockerComposeFileDestinationPath参数指定的目录中。您负责保护这些证书。例如，在安装 Docker Engine 时，应在核心设备上使用 credential-helper
。 -
从可信来源安装 Docker Engine
您负责从可信来源安装 Docker Engine。此连接器使用核心设备上的 Docker 守护程序访问您的 Docker 资产并管理 Docker 容器。
-
Greengrass 组角色权限的范围
在 Greengrass 组角色中添加的权限可由 Greengrass 组中的所有 Lambda 函数和连接器代入。此连接器需要访问存储在 S3 存储桶中的 Docker Compose 文件。如果您的 Docker 镜像存储在 Amazon ECR 中的私有存储库中，它还需要访问您的 Amazon ECR 授权令牌。
许可证
Greengrass Docker 应用程序部署连接器包含以下第三方软件/许可：
-
Amazon SDK for Python (Boto3)
/Apache 许可证 2.0 -
botocore
/Apache 许可证 2.0 -
dateutil
/PSF 许可证 -
docutils
/BSD 许可证，GNU 通用公共许可证 (GPL)，Python 软件基金会许可证，公共领域 -
jmespath
/MIT 许可证 -
s3transfer
/Apache 许可证 2.0 -
urllib3
/MIT 许可证
此连接器在 Greengrass Core 软件许可协议
更改日志
下表介绍每个版本连接器的更改。
|
版本 |
更改 |
|---|---|
|
7 |
增加了 |
|
6 |
增加了 |
|
5 |
在运行 |
|
4 |
添加了更新 Docker 镜像的 pull-before-up 行为。 |
|
3 |
修复了查找环境变量的问题。 |
|
2 |
添加了 |
|
1 |
首次发布。 |
Greengrass 组在一个时间上只能包含一个版本的连接器。有关升级连接器版本的信息，请参阅升级连接器版本。