Docker 应用程序部署连接器 - Amazon IoT Greengrass
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

Amazon IoT Greengrass Version 1在 2023 年 6 月 30 日之前,不再接收功能更新,只会收到安全补丁和错误修复。有关更多信息,请参阅 。Amazon IoT Greengrass V1维护政策. 强烈建议您迁移到Amazon IoT Greengrass Version 2,它补充说重要新功能对其他平台的支持.

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Docker 应用程序部署连接器

Greengrass Docker 应用程序部署连接器使得在上运行 Docker 镜像更容易Amazon IoT Greengrass核心。连接器使用 Docker Compose 从 docker-compose.yml 文件启动多容器 Docker 应用程序。具体而言,连接器运行 docker-compose 命令来管理单个核心设备上的 Docker 容器。有关详细信息,请参阅 Docker 文档中的 Docker Compose 概述 。连接器可以访问存储在 Docker 容器镜像仓库中的 Docker 镜像,例如亚马逊弹性容器镜像 (Amazon ECR)、Docker Hub 和私有 Docker 信任的镜像仓库。

部署 Greengrass 组后,连接器将提取最新的镜像并启动 Docker 容器。它运行docker-compose pulldocker-compose up命令。然后,连接器将命令的状态发布到输出 MQT 主题. 它还记录有关运行 Docker 容器的状态信息。这使您可以监控在 Amazon 中的应用程序日志 CloudWatch. 有关更多信息,请参阅 利用 Amazon IoT Greengrass 日志进行监控。连接器还会在每次 Greengrass 守护程序重新启动时启动 Docker 容器。可以在内核上运行的 Docker 容器数量取决于您的硬件。

Docker 容器在核心设备上的 Greengrass 域之外运行,因此它们无法访问核心的进程间通信 (IPC)。但是,您可以使用 Greengrass 组件配置某些通信通道,例如本地 Lambda 函数。有关更多信息,请参阅 与 Docker 容器通信

您可以将连接器用于在核心设备上托管 Web 服务器或 MySQL 服务器等此类方案。Docker 应用程序中的本地服务可以彼此、与本地环境中的其他进程以及云服务通信。例如,您可以在核心上运行 Web 服务器,将请求从 Lambda 函数发送到云中的 Web 服务。

此连接器在无容器隔离模式下运行,因此,您可以将其部署到在没有 Greengrass 容器化的情况下运行的 Greengrass 组。

此连接器具有以下版本。

版本

ARN

7

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/7

6

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/6

5

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/5

4

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/4

3

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/3

2

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/2

1

arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/1

有关版本更改的信息,请参阅更改日志

要求

此连接器具有以下要求:

  • Amazon IoT Greengrass核心软件版本 v1.10 或更高版本。

    注意

    上不支持此连接器 OpenWrt 分配。

  • Python3.7 或 3.8 版安装在核心设备上并添加到 PATH 环境变量中。

    注意

    要使用 Python 3.8,请运行以下命令以创建从默认 Python 3.7 安装文件夹到已安装的 Python 3.8 二进制文件的符号链接。

    sudo ln -s path-to-python-3.8/python3.8 /usr/bin/python3.7

    这会将设备配置为满足 Amazon IoT Greengrass 的 Python 要求。

  • Greengrass 内核上至少有 36 MB RAM,供连接器监控正在运行的 Docker 容器。总内存需求取决于在内核上运行的 Docker 容器的数量。

  • Greengrass 核心上安装的 Docker Engine 1.9.1 或更高版本。版本 19.0.3 是经验证可与连接器一起使用的最新版本。

    docker 可执行文件必须位于 /usr/bin/usr/local/bin 目录中。

    重要

    我们建议您安装凭证存储以保护 Docker 凭证的本地副本。有关更多信息,请参阅 安全说明

    有关在亚马逊 Linux 发行版中安装 Docker 的信息,请参阅Amazon ECS 的 Docker 基本信息中的Amazon Elastan Elasta.

  • Greengrass 核心上安装的 Docker Composedocker-compose 可执行文件必须位于 /usr/bin/usr/local/bin 目录中。

    以下 Docker Compose 版本经验证可与此连接器一起使用。

    连接器版本

    经验证的 Docker Compose 版本

    7

    1.25.4

    6

    1.25.4

    5

    1.25.4

    4

    1.25.4

    3

    1.25.4

    2

    1.25.1

    1

    1.24.1

  • 单个 Docker Compose Compose Composedocker-compose.yml),存储在Amazon SSimple Storage Service (Amazon S3) 中。格式必须与安装在核心上的 Docker Compose 版本兼容。在核心上使用文件之前,应先对其进行测试。如果在部署 Greengrass 组后编辑该文件,则必须重新部署该组以更新核心上的本地副本。

  • 有权调用本地 Docker 守护程序并写入存储 Compose 文件的本地副本的目录的 Linux 用户。有关更多信息,请参阅 在 核心上设置 Docker 用户

  • Greengrass 组角色,配置为允许对包含 Compose 文件的 S3 存储桶执行 s3:GetObject 操作。此权限显示在以下 IAM Simple IAM 策略中。

    { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAccessToComposeFileS3Bucket", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Effect": "Allow", "Resource": "arn:aws:s3:::bucket-name/*" } ] }
    注意

    如果您的 S3 存储桶启用了版本控制,则必须将角色配置为允许s3:GetObjectVersion也可采取行动。有关更多信息,请参阅 。使用版本控制中的Amazon Simple Storage.

    对于组角色要求,您必须将角色配置为授予所需权限,并确保角色已添加到组中。有关更多信息,请参阅 管理 Greengrass 组角色(控制台)管理 Greengrass 组角色 (CLI)

  • 如果您的 Docker Compose 文件引用中存储在 Amazon ECR 中存储的 Docker 映像,则为此Greengrass 组角色配置为允许以下内容:

    • ecr:GetDownloadUrlForLayerecr:BatchGetImage对包含 Docker 镜像的 Amazon ECR 存储库执行的操作。

    • 对您的资源执行的 ecr:GetAuthorizationToken 操作。

    存储库必须位于同一存储库中Amazon Web Services 账户和Amazon Web Services 区域作为连接器。

    重要

    组角色中的权限可由 Greengrass 组中的所有 Lambda 函数和连接器代入。有关更多信息,请参阅 安全说明

    以下示例策略中显示了这些权限。

    { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowGetEcrRepositories", "Effect": "Allow", "Action": [ "ecr:GetDownloadUrlForLayer", "ecr:BatchGetImage" ], "Resource": [ "arn:aws:ecr:region:account-id:repository/repository-name" ] }, { "Sid": "AllowGetEcrAuthToken", "Effect": "Allow", "Action": "ecr:GetAuthorizationToken", "Resource": "*" } ] }

    有关更多信息,请参阅 。Amazon ECR 存储库策略中的Amazon ECR 用户指南.

    对于组角色要求,您必须将角色配置为授予所需权限,并确保角色已添加到组中。有关更多信息,请参阅 管理 Greengrass 组角色(控制台)管理 Greengrass 组角色 (CLI)

  • 如果您的 Docker Compose 文件引用来自 Amazon Web Services Marketplace 的 Docker 镜像,则连接器还具有以下要求:

    • 您必须订阅 Amazon Web Services Marketplace 容器产品。有关更多信息,请参阅 。查找和订阅容器产品中的Amazon Web Services MarketplaceSubscri.

    • Amazon IoT Greengrass必须配置为支持本地密钥,如所述密钥要求. 连接器仅使用此功能从中检索您的密钥Amazon Secrets Manager,而不是存储它们。

    • 您必须在 Secrets Manage 中为每个密钥Amazon Web Services Marketplace用于存储在 Compose 文件中引用的 Docker 镜像。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

  • 如果您的 Docker Compose 文件从 Amazon ECR 之外的镜像仓库中的私有存储库引用 Docker 镜像,则连接器还具有以下要求:

    • Amazon IoT Greengrass必须配置为支持本地密钥,如所述密钥要求. 连接器仅使用此功能从中检索您的密钥Amazon Secrets Manager,而不是存储它们。

    • 您必须在Secrets Manager 中为用于存储在 Compose 文件中引用的 Docker 镜像的每个私有存储库创建一个密钥。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

  • 当您部署包含此连接器的 Greengrass 组时,Docker 守护程序必须正在运行。

从私有存储库访问 Docker 镜像

如果您使用凭证问 Docker 镜像,则必须允许连接器访问它们。您执行此操作的方式取决于 Docker 镜像的位置。

对于中存储的 Amazon ECR 镜像,您可以授予在 Greengrass 组角色中获取授权令牌的权限。有关更多信息,请参阅 要求

对于存储在其他私有存储库或镜像仓库中的 Docker 镜像,您必须在 Amazon Secrets Manager 中创建一个密钥来存储您的登录信息。这包括您在 Amazon Web Services Marketplace 中订阅的 Docker 镜像。为每个存储库创建一个密钥。如果您在 Secrets Manager 中更新您的密钥,则更改会在下次部署组时传播到核心。

注意

Secrets Manager 是一项可用于在中安全存储和管理您的凭证、键和其他密钥的服务Amazon Web Services 云. 有关更多信息,请参阅 Amazon Secrets Manager 用户指南 什么是 Amazon Secrets Manager?

每个密钥必须包含以下键:

密钥

username

用于访问存储库或镜像仓库的用户名。

password

用于访问存储库或镜像仓库的密码。

registryUrl

镜像仓库的终端节点。这必须与 Compose 文件中相应的镜像仓库 URL 匹配。

注意

要默认允许 Amazon IoT Greengrass 访问密钥,密钥的名称必须以 greengrass- 开头。否则,您的 Greengrass 服务角色必须授予访问权限。有关更多信息,请参阅 允许 Amazon IoT Greengrass 获取密钥值

从 Amazon Web Services Marketplace 获取 Docker 镜像的登录信息
  1. 从获取 Docker Docker SimposeAmazon Web Services Marketplace通过使用aws ecr get-login-password命令。有关更多信息,请参阅《Amazon CLI 命令参考》中的 get-login-password

    aws ecr get-login-password
  2. 检索 Docker 镜像的注册表 URL。打开Amazon Web Services Marketplace网站,然后打开容器产品发布页面。UNDER容器镜像,选择查看容器镜像详细信息找到用户名和注册表 URL。

使用检索到的用户名、密码和镜像仓库 URL 为每个用户创建一个密钥Amazon Web Services Marketplace用于存储在 Compose 文件中引用的 Docker 镜像。

创建密钥(控制台)

在 Amazon Secrets Manager 控制台中,选择其他密钥类型。在 Specify the key-value pairs to be stored for this secret (指定要为此密钥存储的键值对) 下,添加针对 usernamepasswordregistryUrl 的行。有关更多信息,请参阅 。创建基本密钥中的Amazon Secrets Manager用户指南.


                                使用用户名、密码和镜像仓库 URL 键创建密钥。
创建密钥 (CLI)

在Amazon CLI,请使用Secrets Managercreate-secret命令,如以下示例所示。有关更多信息,请参阅 。创建密钥中的Amazon CLI命令参考.

aws secretsmanager create-secret --name greengrass-MySecret --secret-string [{"username":"Mary_Major"},{"password":"abc123xyz456"},{"registryUrl":"https://docker.io"}]
重要

您有责任保护用于存储 Docker Compose 文件的DockerComposeFileDestinationPath目录以及来自私有存储库的 Docker 镜像的凭证。有关更多信息,请参阅 安全说明

参数

该连接器提供以下参数:

Version 7
DockerComposeFileS3Bucket

包含您的 Docker Compose 文件的 S3 存储桶的名称。创建存储桶时,请确保遵循存储桶命名规则中介绍了Amazon Simple Storage.

显示名称Amazon IoT控制台:S3 中的 Docker pose 文件

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式[a-zA-Z0-9\\-\\.]{3,63}

DockerComposeFileS3Key

Amazon S3 Compose Compose Compose Compose 密钥。有关更多信息(包括对象键键键键命名规则),请参阅对象键和元数据中的Amazon Simple Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式.+

DockerComposeFileS3Version

Amazon S3 Compose Compose Compose Compose。有关更多信息(包括对象键命名指南),请参阅使用版本控制中的Amazon Simple Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:false

类型:string

有效模式.+

DockerComposeFileDestinationPath

用于存储 Docker Compose 文件副本的本地目录的绝对路径。这必须是现有目录。为 DockerUserId 指定的用户必须具有在此目录中创建文件的权限。有关更多信息,请参阅 在 Amazon IoT Greengrass 核心上设置 Docker 用户

重要

此目录存储 Docker Compose 文件以及来自私有存储库 的 Docker 映像的凭证。您有责任确保此目录安全。有关更多信息,请参阅 安全说明

显示名称Amazon IoT控制台:本地 Compose 文件的目录路径

必需:true

类型:string

有效模式\/.*\/?

示例:/home/username/myCompose

DockerUserId

连接器以其身份运行的 Linux 用户的 UID。此用户必须属于核心设备上的 docker Linux 组,并且具有对 DockerComposeFileDestinationPath 目录的写入权限。有关更多信息,请参阅 在 核心上设置 Docker 用户

注意

除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

显示名称Amazon IoT控制台:Docker 用户ID ID ID ID

必需:false

类型:string

有效模式:^[0-9]{1,5}$

AWSSecretsArnList

Amazon Secrets Manager 中的密钥的 Amazon 资源名称 (ARN),其中包含用于访问私有存储库中 Docker 映像的登录信息。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

显示名称Amazon IoT控制台:私有存储库的凭证

必需:false. 此参数是访问存储在私有存储库中的 Docker 映像所必需的。

类型:arraystring

有效模式:[( ?,? ?"(arn:(aws(-[a-z]+)):secretsmanager:[a-z0-9-]+:[0-9]{12}:secret:([a-zA-Z0-9\]+/)[a-zA-Z0-9/_+=,.@-]+-[a-zA-Z0-9]+)")]

DockerContainerStatusLogFrequency

连接器记录有关在核心上运行的 Docker 容器的状态信息的频率(以秒为单位)。默认值为 300 秒(5 分钟)。

显示名称Amazon IoT控制台:记录频率

必需:false

类型:string

有效模式:^[1-9]{1}[0-9]{0,3}$

ForceDeploy

指示如果 Docker 部署由于上次部署的清理不当而失败,是否强制执行此 Docker 部署。原设定值为 False

中的显示名称Amazon IoT控制台:Force 部

必需:false

类型:string

有效模式:^(true|false)$

DockerPullBeforeUp

指示部署程序是否应运行docker-compose pull在跑步之前docker-compose up换一个 pull-down-up 行为。原设定值为 True

中的显示名称Amazon IoT控制台:Docker 在向上之前拉动

必需:false

类型:string

有效模式:^(true|false)$

StopContainersOnNewDeployment

指示连接器是否应在 GGC 停止时停止 Docker Deployer 托管的 docker 容器(部署新组或内核关闭时 GGC 停止)。原设定值为 True

中的显示名称Amazon IoT控制台:Docker 停止新部署

注意

建议将此参数保持为默认值True值。to 的参数False导致你的 Docker 容器在终止后继续运行Amazon IoT Greengrasscore 或开始新的部署。如果将该参数设置为False,你必须确保你的 Docker 容器在必要时得到维护docker-compose服务名称更改或添加。

有关更多信息,请参阅 。docker-compose撰写文件文档。

必需:false

类型:string

有效模式:^(true|false)$

DockerOfflineMode

指明在以下情况下是否使用现有 Docker Compose ComposeAmazon IoT Greengrass离线启动。原设定值为 False

必需:false

类型:string

有效模式:^(true|false)$

Version 6
DockerComposeFileS3Bucket

包含您的 Docker Compose 文件的 S3 存储桶的名称。创建存储桶时,请确保遵循存储桶命名规则中介绍了Amazon Storage.

中的显示名称Amazon IoT控制台:S3 中的 Docker pose 文件

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式[a-zA-Z0-9\\-\\.]{3,63}

DockerComposeFileS3Key

Amazon S3 Compose Compose Compose Compose 密钥。有关更多信息(包括对象键键键键命名规则),请参阅对象键和元数据中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式.+

DockerComposeFileS3Version

Amazon S3 Compose Compose Compose Compose。有关更多信息(包括对象键键键键命名规则),请参阅使用版本控制中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:false

类型:string

有效模式.+

DockerComposeFileDestinationPath

用于存储 Docker Compose 文件副本的本地目录的绝对路径。这必须是现有目录。为 DockerUserId 指定的用户必须具有在此目录中创建文件的权限。有关更多信息,请参阅 在 Amazon IoT Greengrass 核心上设置 Docker 用户

重要

此目录存储 Docker Compose 文件以及来自私有存储库 的 Docker 映像的凭证。您有责任确保此目录安全。有关更多信息,请参阅 安全说明

中的显示名称Amazon IoT控制台:本地 Compose 文件的目录路径

必需:true

类型:string

有效模式\/.*\/?

示例:/home/username/myCompose

DockerUserId

连接器以其身份运行的 Linux 用户的 UID。此用户必须属于核心设备上的 docker Linux 组,并且具有对 DockerComposeFileDestinationPath 目录的写入权限。有关更多信息,请参阅 在 核心上设置 Docker 用户

注意

除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

中的显示名称Amazon IoT控制台:Docker 用户ID ID ID ID

必需:false

类型:string

有效模式:^[0-9]{1,5}$

AWSSecretsArnList

Amazon Secrets Manager 中的密钥的 Amazon 资源名称 (ARN),其中包含用于访问私有存储库中 Docker 映像的登录信息。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

中的显示名称Amazon IoT控制台:私有存储库的凭证

必需:false. 此参数是访问存储在私有存储库中的 Docker 映像所必需的。

类型:arraystring

有效模式:[( ?,? ?"(arn:(aws(-[a-z]+)):secretsmanager:[a-z0-9-]+:[0-9]{12}:secret:([a-zA-Z0-9\]+/)[a-zA-Z0-9/_+=,.@-]+-[a-zA-Z0-9]+)")]

DockerContainerStatusLogFrequency

连接器记录有关在核心上运行的 Docker 容器的状态信息的频率(以秒为单位)。默认值为 300 秒(5 分钟)。

中的显示名称Amazon IoT控制台:记录频率

必需:false

类型:string

有效模式:^[1-9]{1}[0-9]{0,3}$

ForceDeploy

指示如果 Docker 部署由于上次部署的清理不当而失败,是否强制执行此 Docker 部署。原设定值为 False

中的显示名称Amazon IoT控制台:Force 部

必需:false

类型:string

有效模式:^(true|false)$

DockerPullBeforeUp

指示部署程序是否应运行docker-compose pull在跑步之前docker-compose up换一个 pull-down-up 行为。原设定值为 True

中的显示名称Amazon IoT控制台:Docker 在向上之前拉动

必需:false

类型:string

有效模式:^(true|false)$

StopContainersOnNewDeployment

指示在 GGC 停止(进行新的组部署或内核关闭时)时,连接器是否应停止 Docker Deployer 托管的 docker 容器。原设定值为 True

中的显示名称Amazon IoT控制台:Docker 停止新部署

注意

建议将此参数保持为默认值True值。to 的参数False导致你的 Docker 容器在终止后继续运行Amazon IoT Greengrasscore 或开始新的部署。如果将该参数设置为False,你必须确保你的 Docker 容器在必要时得到维护docker-compose服务名称更改或添加。

有关更多信息,请参阅 。docker-compose撰写文件文档。

必需:false

类型:string

有效模式:^(true|false)$

Version 5
DockerComposeFileS3Bucket

包含您的 Docker Compose 文件的 S3 存储桶的名称。创建存储桶时,请确保遵循存储桶命名规则中介绍了Amazon Storage.

中的显示名称Amazon IoT控制台:S3 中的 Docker pose 文件

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式[a-zA-Z0-9\\-\\.]{3,63}

DockerComposeFileS3Key

Amazon S3 Compose Compose Compose Compose 密钥。有关更多信息(包括对象键键键键命名规则),请参阅对象键和元数据中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式.+

DockerComposeFileS3Version

Amazon S3 Compose Compose Compose Compose。有关更多信息(包括对象键键键键命名规则),请参阅使用版本控制中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:false

类型:string

有效模式.+

DockerComposeFileDestinationPath

用于存储 Docker Compose 文件副本的本地目录的绝对路径。这必须是现有目录。为 DockerUserId 指定的用户必须具有在此目录中创建文件的权限。有关更多信息,请参阅 在 Amazon IoT Greengrass 核心上设置 Docker 用户

重要

此目录存储 Docker Compose 文件以及来自私有存储库 的 Docker 映像的凭证。您有责任确保此目录安全。有关更多信息,请参阅 安全说明

中的显示名称Amazon IoT控制台:本地 Compose 文件的目录路径

必需:true

类型:string

有效模式\/.*\/?

示例:/home/username/myCompose

DockerUserId

连接器以其身份运行的 Linux 用户的 UID。此用户必须属于核心设备上的 docker Linux 组,并且具有对 DockerComposeFileDestinationPath 目录的写入权限。有关更多信息,请参阅 在 核心上设置 Docker 用户

注意

除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

中的显示名称Amazon IoT控制台:Docker 用户ID ID ID ID

必需:false

类型:string

有效模式:^[0-9]{1,5}$

AWSSecretsArnList

Amazon Secrets Manager 中的密钥的 Amazon 资源名称 (ARN),其中包含用于访问私有存储库中 Docker 映像的登录信息。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

中的显示名称Amazon IoT控制台:私有存储库的凭证

必需:false. 此参数是访问存储在私有存储库中的 Docker 映像所必需的。

类型:arraystring

有效模式:[( ?,? ?"(arn:(aws(-[a-z]+)):secretsmanager:[a-z0-9-]+:[0-9]{12}:secret:([a-zA-Z0-9\]+/)[a-zA-Z0-9/_+=,.@-]+-[a-zA-Z0-9]+)")]

DockerContainerStatusLogFrequency

连接器记录有关在核心上运行的 Docker 容器的状态信息的频率(以秒为单位)。默认值为 300 秒(5 分钟)。

中的显示名称Amazon IoT控制台:记录频率

必需:false

类型:string

有效模式:^[1-9]{1}[0-9]{0,3}$

ForceDeploy

指示如果 Docker 部署由于上次部署的清理不当而失败,是否强制执行此 Docker 部署。原设定值为 False

中的显示名称Amazon IoT控制台:Force 部

必需:false

类型:string

有效模式:^(true|false)$

DockerPullBeforeUp

指示部署程序是否应运行docker-compose pull在跑步之前docker-compose up换一个 pull-down-up 行为。原设定值为 True

中的显示名称Amazon IoT控制台:Docker 在向上之前拉动

必需:false

类型:string

有效模式:^(true|false)$

Versions 2 - 4
DockerComposeFileS3Bucket

包含您的 Docker Compose 文件的 S3 存储桶的名称。创建存储桶时,请确保遵循存储桶命名规则中介绍了Amazon Storage.

中的显示名称Amazon IoT控制台:S3 中的 Docker pose 文件

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式[a-zA-Z0-9\\-\\.]{3,63}

DockerComposeFileS3Key

Amazon S3 Compose Compose Compose Compose 密钥。有关更多信息(包括对象键键键键命名规则),请参阅对象键和元数据中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式.+

DockerComposeFileS3Version

Amazon S3 Compose Compose Compose Compose。有关更多信息(包括对象键键键键命名规则),请参阅使用版本控制中的Amazon Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:false

类型:string

有效模式.+

DockerComposeFileDestinationPath

用于存储 Docker Compose 文件副本的本地目录的绝对路径。这必须是现有目录。为 DockerUserId 指定的用户必须具有在此目录中创建文件的权限。有关更多信息,请参阅 在 Amazon IoT Greengrass 核心上设置 Docker 用户

重要

此目录存储 Docker Compose 文件以及来自私有存储库 的 Docker 映像的凭证。您有责任确保此目录安全。有关更多信息,请参阅 安全说明

中的显示名称Amazon IoT控制台:本地 Compose 文件的目录路径

必需:true

类型:string

有效模式\/.*\/?

示例:/home/username/myCompose

DockerUserId

连接器以其身份运行的 Linux 用户的 UID。此用户必须属于核心设备上的 docker Linux 组,并且具有对 DockerComposeFileDestinationPath 目录的写入权限。有关更多信息,请参阅 在 核心上设置 Docker 用户

注意

除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

中的显示名称Amazon IoT控制台:Docker 用户ID ID ID ID

必需:false

类型:string

有效模式:^[0-9]{1,5}$

AWSSecretsArnList

Amazon Secrets Manager 中的密钥的 Amazon 资源名称 (ARN),其中包含用于访问私有存储库中 Docker 映像的登录信息。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

中的显示名称Amazon IoT控制台:私有存储库的凭证

必需:false. 此参数是访问存储在私有存储库中的 Docker 映像所必需的。

类型:arraystring

有效模式:[( ?,? ?"(arn:(aws(-[a-z]+)):secretsmanager:[a-z0-9-]+:[0-9]{12}:secret:([a-zA-Z0-9\]+/)[a-zA-Z0-9/_+=,.@-]+-[a-zA-Z0-9]+)")]

DockerContainerStatusLogFrequency

连接器记录有关在核心上运行的 Docker 容器的状态信息的频率(以秒为单位)。默认值为 300 秒(5 分钟)。

中的显示名称Amazon IoT控制台:记录频率

必需:false

类型:string

有效模式:^[1-9]{1}[0-9]{0,3}$

ForceDeploy

指示如果 Docker 部署由于上次部署的清理不当而失败,是否强制执行此 Docker 部署。原设定值为 False

中的显示名称Amazon IoT控制台:Force 部

必需:false

类型:string

有效模式:^(true|false)$

Version 1
DockerComposeFileS3Bucket

包含您的 Docker Compose 文件的 S3 存储桶的名称。创建存储桶时,请确保遵循存储桶命名规则中介绍了Amazon Simple Storage.

中的显示名称Amazon IoT控制台:S3 中的 Docker pose 文件

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式[a-zA-Z0-9\\-\\.]{3,63}

DockerComposeFileS3Key

Amazon S3 Compose Compose Compose Compose 密钥。有关更多信息(包括对象键键键键命名规则),请参阅对象键和元数据中的Amazon Simple Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:true

类型:string

有效模式.+

DockerComposeFileS3Version

Amazon S3 Compose Compose Compose Compose。有关更多信息(包括对象键键键键命名规则),请参阅使用版本控制中的Amazon Simple Storage.

注意

在控制台中,Docker Compose file in S3 (S3 中的 Docker Compose 文件) 属性结合了 DockerComposeFileS3BucketDockerComposeFileS3KeyDockerComposeFileS3Version 参数。

必需:false

类型:string

有效模式.+

DockerComposeFileDestinationPath

用于存储 Docker Compose 文件副本的本地目录的绝对路径。这必须是现有目录。为 DockerUserId 指定的用户必须具有在此目录中创建文件的权限。有关更多信息,请参阅 在 Amazon IoT Greengrass 核心上设置 Docker 用户

重要

此目录存储 Docker Compose 文件以及来自私有存储库 的 Docker 映像的凭证。您有责任确保此目录安全。有关更多信息,请参阅 安全说明

中的显示名称Amazon IoT控制台:本地 Compose 文件的目录路径

必需:true

类型:string

有效模式\/.*\/?

示例:/home/username/myCompose

DockerUserId

连接器以其身份运行的 Linux 用户的 UID。此用户必须属于核心设备上的 docker Linux 组,并且具有对 DockerComposeFileDestinationPath 目录的写入权限。有关更多信息,请参阅 在 核心上设置 Docker 用户

注意

除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

中的显示名称Amazon IoT控制台:Docker 用户ID ID ID ID

必需:false

类型:string

有效模式:^[0-9]{1,5}$

AWSSecretsArnList

Amazon Secrets Manager 中的密钥的 Amazon 资源名称 (ARN),其中包含用于访问私有存储库中 Docker 映像的登录信息。有关更多信息,请参阅 从私有存储库访问 Docker 镜像

中的显示名称Amazon IoT控制台:私有存储库的凭证

必需:false. 此参数是访问存储在私有存储库中的 Docker 映像所必需的。

类型:arraystring

有效模式:[( ?,? ?"(arn:(aws(-[a-z]+)):secretsmanager:[a-z0-9-]+:[0-9]{12}:secret:([a-zA-Z0-9\]+/)[a-zA-Z0-9/_+=,.@-]+-[a-zA-Z0-9]+)")]

DockerContainerStatusLogFrequency

连接器记录有关在核心上运行的 Docker 容器的状态信息的频率(以秒为单位)。默认值为 300 秒(5 分钟)。

中的显示名称Amazon IoT控制台:记录频率

必需:false

类型:string

有效模式:^[1-9]{1}[0-9]{0,3}$

创建连接器示例 (Amazon CLI)

以下 CLI 命令将创建ConnectorDefinition初始版本包含 Greengrass Docker 应用程序部署连接器。

aws greengrass create-connector-definition --name MyGreengrassConnectors --initial-version '{ "Connectors": [ { "Id": "MyDockerAppplicationDeploymentConnector", "ConnectorArn": "arn:aws:greengrass:region::/connectors/DockerApplicationDeployment/versions/5", "Parameters": { "DockerComposeFileS3Bucket": "myS3Bucket", "DockerComposeFileS3Key": "production-docker-compose.yml", "DockerComposeFileS3Version": "123", "DockerComposeFileDestinationPath": "/home/username/myCompose", "DockerUserId": "1000", "AWSSecretsArnList": "[\"arn:aws:secretsmanager:region:account-id:secret:greengrass-secret1-hash\",\"arn:aws:secretsmanager:region:account-id:secret:greengrass-secret2-hash\"]", "DockerContainerStatusLogFrequency": "30", "ForceDeploy": "True", "DockerPullBeforeUp": "True" } } ] }'
注意

此连接器中的 Lambda 函数具有长时间生存的生命周期。

输入数据

此连接器不需要或接受输入数据。

输出数据

此连接器将 docker-compose up 命令的状态发布为输出数据。

订阅中的主题筛选条件

dockerapplicationdeploymentconnector/message/status

输出示例:成功
{ "status":"success", "GreengrassDockerApplicationDeploymentStatus":"Successfully triggered docker-compose up", "S3Bucket":"myS3Bucket", "ComposeFileName":"production-docker-compose.yml", "ComposeFileVersion":"123" }
输出示例:失败
{ "status":"fail", "error_message":"description of error", "error":"InvalidParameter" }

错误类型可以是 InvalidParameterInternalError

在 Amazon IoT Greengrass 核心上设置 Docker 用户

Greengrass Docker 应用程序部署连接器以您为DockerUserId参数。如果不指定值,则连接器将以 ggc_user 身份运行,这是默认的 Greengrass 访问标识。

要允许连接器与 Docker 守护程序交互,Docker 用户必须属于核心上的 docker Linux 组。Docker 用户还必须具有对 DockerComposeFileDestinationPath 目录的写入权限。这是连接器存储本地 docker-compose.yml 文件和 Docker 凭证的位置。

注意
  • 我们建议您创建 Linux 用户,而不是使用默认 ggc_user。否则,Greengrass 组中的任何 Lambda 函数都可以访问 Compose 文件和 Docker 凭证。

  • 除非绝对有必要,否则建议避免以根用户身份运行。如果您确实指定了 root 用户,则必须允许 Lambda 函数以 root 身份在上运行Amazon IoT Greengrass核心。有关更多信息,请参阅 以根用户身份运行 Lambda 函数

  1. 创建用户。您可以运行 useradd 命令并包含用于分配 UID 的可选 -u 选项。例如:

    sudo useradd -u 1234 user-name
  2. 将用户添加到核心上的 docker 组。例如:

    sudo usermod -aG docker user-name

    有关详细信息,包括如何创建 docker 组,请参阅 Docker 文档中的以非 root 用户身份管理 Docker

  3. 授予用户写入为 DockerComposeFileDestinationPath 参数指定的目录的权限。例如:

    1. 将用户设置为目录的所有者。此示例使用步骤 1 中的 UID。

      chown 1234 docker-compose-file-destination-path
    2. 为所有者授予读写权限。

      chmod 700 docker-compose-file-destination-path

      有关详细信息,请参阅 Linux Foundation 文档中的如何在 Linux 中管理文件和文件夹权限

    3. 如果您在创建用户时没有分配 UID,或者使用现有用户,请运行 id 命令查找 UID。

      id -u user-name

      您可以使用 UID 配置连接器的 DockerUserId 参数。

使用情况信息

当您使用 Greengrass Docker 应用程序部署连接器时,您应该注意以下特定于实现的使用信息。

  • 项目名称的固定前缀。连接器将 greengrassdockerapplicationdeployment 前缀附加到其启动的 Docker 容器的名称前面。连接器在它所运行的 docker-compose 命令中使用此前缀作为项目名称。

  • 日志记录行为。连接器将状态信息和疑难解答信息写入日志文件。你可以配置Amazon IoT Greengrass将日志发送到 CloudWatch 日志和在本地写入日志。有关更多信息,请参阅 连接器的日志记录。这是连接器的本地日志的路径:

    /greengrass-root/ggc/var/log/user/region/aws/DockerApplicationDeployment.log

    您必须具有 root 权限才能访问本地日志。

  • 更新 Docker 镜像。Docker 在核心设备上缓存镜像。如果您更新 Docker 镜像并希望将更改传播到核心设备,请确保更改 Compose 文件中镜像的标签。更改将在部署 Greengrass 组后生效。

  • 清理操作的 10 分钟超时。当 Greengrass 守护程序在重新启动期间停止时,docker-compose down命令已启动。所有 Docker Docker Docker Docker Docker Docdocker-compose down启动以执行任何清理操作。如果清理在 10 分钟内未完成,则必须手动清理剩余的容器。有关更多信息,请参阅 Docker CLI 文档中的 docker rm

  • 运行 Docker 命令。要解决问题,您可以在核心设备上的终端窗口中运行 Docker 命令。例如,运行以下命令以查看由连接器启动的 Docker 容器:

    docker ps --filter name="greengrassdockerapplicationdeployment"
  • 保留资源 ID。连接器使用它在 Greengrass 组中创建的 Greengrass 资源的 DOCKER_DEPLOYER_SECRET_RESOURCE_RESERVED_ID_index ID。资源 ID 在组中必须是唯一的,因此不要分配可能与此保留资源 ID 冲突的资源 ID。

  • 离线模式。当你设置DockerOfflineMode配置参数到True,那么 Docker 连接器就能在离线模式. 当 Greengrass 组部署在核心设备脱机时重新启动,并且连接器无法建立与 Amazon S3 或 Amazon ECR 的连接来检索 Docker Compose 文件时,可能会发生这种情况。

    启用脱机模式后,连接器将尝试下载您的 Compose 文件并运行docker login命令就像正常重启一样。如果这些尝试失败,则连接器将在使用DockerComposeFileDestinationPath参数。如果存在本地 Compose 文件,则连接器将遵循docker-compose命令并从本地映像中提取。如果 Compose 文件或本地映像不存在,则连接器将失败。的行为ForceDeployStopContainersOnNewDeployment参数在离线模式下,参数保持不变。

与 Docker 容器通信

Amazon IoT Greengrass 支持 Greengrass 组件和 Docker 容器之间的以下通信通道:

  • Greengrass Lambda 函数可以使用 REST API 与 Docker 容器中的进程进行通信。您可以在 Docker 容器中设置打开端口的服务器。Lambda 函数可以在此端口上与容器进行通信。

  • Docker 容器中的进程可以通过本地 Greengrass 消息代理交换 MQTT 消息。您可以将 Docker 容器设置为 Greengrass 组中的客户端设备,然后创建订阅以允许容器与 Greengrass Lambda 函数、客户端设备和组中的其他连接器或与Amazon IoT和本地影子子服务。有关更多信息,请参阅 配置 MQTT 与 Docker 容器的通信

  • Greengrass Lambda 函数可以更新共享文件以将信息传递给 Docker 容器。您可以使用 Compose 文件绑定装载 Docker 容器的共享文件路径。

配置 MQTT 与 Docker 容器的通信

您可以将 Docker 容器配置为客户端设备,并将其添加到 Greengrass 组。然后,您可以创建允许在 Docker 容器和 Greengrass 组件或 Amazon IoT 之间进行 MQTT 通信的订阅。在以下过程中,您将创建允许 Docker 容器设备从本地影子服务接收影子更新消息的订阅。您可以按照此模式创建其他订阅。

注意

此过程假设您已经创建了 Greengrass 组和 Greengrass 核心(v1.10 或更高版本)。有关创建 Greengrass 组和核心组和核心组的更多信息,请参阅Amazon IoT Greengrass 入门.

将 Docker 容器配置为客户端设备并将其添加到 Greengrass 组

  1. 在核心设备上创建一个文件夹以存储用于对 Greengrass 设备进行身份验证的证书和密钥。

    文件路径必须装载在要启动的 Docker 容器上。以下代码段显示如何在您的 Compose 文件中装载文件路径。在此示例中,path-to-device-certs表示您在此步骤中创建的文件夹。

    version: '3.3' services: myService: image: user-name/repo:image-tag volumes: - /path-to-device-certs/:/path-accessible-in-container
  2. 在Amazon IoT控制台导航窗格,位于Manage,展开Greengrass 设备,然后选择组( V1).

  3. 选择目标组。

  4. 在组配置页面上,选择Cent 设备,然后选择Ass.

  5. 将客户端设备与此组关联modal,新建Amazon IoT事情.

    这些区域有:创建事物页面将打开新的选项卡。

  6. 在存储库的创建事物页面上,选择创建单个事物,然后选择下一步.

  7. 在存储库的指定事物属性页面上,输入该设备的名称,然后选择下一步.

  8. 在存储库的配置设备证书页面上,选择下一步.

  9. 在存储库的将策略附加到证书” 页面,请执行以下操作之一:

    • 选择授予客户端设备所需权限的现有策略,然后选择创建事物.

      将打开一个模式,您可以在其中下载设备用于连接到Amazon Web Services 云和核心。

    • 创建并附加授予客户端设备权限的新策略。执行以下操作:

      1. 选择 Create policy(创建策略)

        此时将在新选项卡中打开创建策略页面。

      2. 创建策略页面上,执行以下操作:

        1. 适用于策略名称,请输入描述策略的名称,例如GreengrassV1ClientDevicePolicy.

        2. 在存储库的策略语句选项卡,位于策略文档,选择JSON.

        3. 输入以下策略文档。此策略允许客户端设备发现 Greengrass 内核并就所有 MQTT 主题进行通信。有关如何限制此策略访问权限的信息,请参阅Amazon IoT Greengrass 的设备身份验证和授权.

          { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:Publish", "iot:Subscribe", "iot:Connect", "iot:Receive" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:*" ], "Resource": [ "*" ] } ] }
        4. 选择 Create(创建)以创建策略。

      3. 返回到浏览器选项卡将策略附加到证书页面打开。执行以下操作:

        1. 策略列表中,选择您创建的策略,例如GreengrassV1ClientDevicePolicy.

          如果没有看到该策略,请选择 Refresh (刷新) 按钮。

        2. 选择 Create thing(创建事物)。

          将打开一个模式,您可以在其中下载设备用于连接到Amazon Web Services 云和核心。

  10. 下载证书和密钥modal,下载设备的证书。

    重要

    选择前的准备工作Done,下载安全资源。

    执行以下操作:

    1. 适用于设备证书,选择下载下载设备证书。

    2. 适用于公钥:,选择下载下载证书的公有密钥。

    3. 适用于私钥文件,选择下载下载证书的私有密钥文件。

    4. 审核服务器身份验证中的Amazon IoT开发人员指南并选择相应的根 CA 证书。建议您使用 Amazon Trust Services (ATS) 终端节点和 ATS 根 CA 证书。UNDER根 CA 证书,选择下载获取根 CA 证书。

    5. 选择完成

    记下设备证书和键的文件名中常用的证书 ID。稍后您将需要用到它。

  11. 将证书和密钥复制到您在第 1 步中创建的文件夹中。

接下来,在组中创建订阅。对于此示例,您创建一个订阅,以允许 Docker 容器设备从本地影子服务接收 MQTT 消息。

注意

影子文档的最大大小为 8 KB。有关更多信息,请参阅《Amazon IoT 开发人员指南》中的 Amazon IoT 配额

创建允许 Docker 容器设备从本地影子服务接收 MQTT 消息的订阅。

  1. 在组配置页面上,选择订阅选项卡,然后选择添加订阅.

  2. 选择您的源和目标页面,配置源和目标,如下所示:

    1. 对于选择源,选择服务,然后选择本地影子服务

    2. 对于 Select a target (选择目标),选择 Devices (设备),然后选择您的设备。

    3. 选择 Next(下一步)。

    4. 在存储库的利用主题筛选您的数据对于是必需的主题筛选条件,选择$aws/things/MyDockerDevice/shadow/update/accepted,然后选择下一步. ReplaceMyDockerDevice使用您之前创建的设备名称。

    5. 选择 Finish (结束)

在您的 Compose 文件中引用的 Docker 镜像中包含以下代码段。这是 Greengrass 设备代码。此外,在 Docker 容器中添加代码,以启动容器内的 Greengrass 设备。它可以作为一个单独的进程在镜像或单独的线程中运行。

import os import sys import time import uuid from AWSIoTPythonSDK.core.greengrass.discovery.providers import DiscoveryInfoProvider from AWSIoTPythonSDK.exception.AWSIoTExceptions import DiscoveryInvalidRequestException from AWSIoTPythonSDK.MQTTLib import AWSIoTMQTTClient # Replace thingName with the name you registered for the Docker device. thingName = "MyDockerDevice" clientId = thingName # Replace host with the IoT endpoint for your AWS account. host = "myPrefix.iot.region.amazonaws.com" # Replace topic with the topic where the Docker container subscribes. topic = "$aws/things/MyDockerDevice/shadow/update/accepted" # Replace these paths based on the download location of the certificates for the Docker container. rootCAPath = "/path-accessible-in-container/AmazonRootCA1.pem" certificatePath = "/path-accessible-in-container/certId-certificate.pem.crt" privateKeyPath = "/path-accessible-in-container/certId-private.pem.key" # Discover Greengrass cores. discoveryInfoProvider = DiscoveryInfoProvider() discoveryInfoProvider.configureEndpoint(host) discoveryInfoProvider.configureCredentials(rootCAPath, certificatePath, privateKeyPath) discoveryInfoProvider.configureTimeout(10) # 10 seconds. GROUP_CA_PATH = "./groupCA/" MQTT_QOS = 1 discovered = False groupCA = None coreInfo = None try: # Get discovery info from AWS IoT. discoveryInfo = discoveryInfoProvider.discover(thingName) caList = discoveryInfo.getAllCas() coreList = discoveryInfo.getAllCores() # Use first discovery result. groupId, ca = caList[0] coreInfo = coreList[0] # Save the group CA to a local file. groupCA = GROUP_CA_PATH + groupId + "_CA_" + str(uuid.uuid4()) + ".crt" if not os.path.exists(GROUP_CA_PATH): os.makedirs(GROUP_CA_PATH) groupCAFile = open(groupCA, "w") groupCAFile.write(ca) groupCAFile.close() discovered = True except DiscoveryInvalidRequestException as e: print("Invalid discovery request detected!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) print("Stopping...") except BaseException as e: print("Error in discovery!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) print("Stopping...") myAWSIoTMQTTClient = AWSIoTMQTTClient(clientId) myAWSIoTMQTTClient.configureCredentials(groupCA, privateKeyPath, certificatePath) # Try to connect to the Greengrass core. connected = False for connectivityInfo in coreInfo.connectivityInfoList: currentHost = connectivityInfo.host currentPort = connectivityInfo.port myAWSIoTMQTTClient.configureEndpoint(currentHost, currentPort) try: myAWSIoTMQTTClient.connect() connected = True except BaseException as e: print("Error in connect!") print("Type: %s" % str(type(e))) print("Error message: %s" % str(e)) if connected: break if not connected: print("Cannot connect to core %s. Exiting..." % coreInfo.coreThingArn) sys.exit(-2) # Handle the MQTT message received from GGShadowService. def customCallback(client, userdata, message): print("Received an MQTT message") print(message) # Subscribe to the MQTT topic. myAWSIoTMQTTClient.subscribe(topic, MQTT_QOS, customCallback) # Keep the process alive to listen for messages. while True: time.sleep(1)

安全说明

使用 Greengrass Docker 应用程序部署连接器时,请注意以下安全注意事项。

Docker Compose 文件的本地存储

连接器将 Compose 文件的副本存储在为 DockerComposeFileDestinationPath 参数指定的目录中。

您负责确保此目录安全。您应该使用文件系统权限来限制对目录的访问。

Docker 凭证的本地存储

如果 Docker 镜像存储在私有存储库中,则连接器将 Docker 凭证存储在为 DockerComposeFileDestinationPath 参数指定的目录中。

您负责保护这些证书。例如,在安装 Docker Engine 时,应在核心设备上使用 credential-helper

从可信来源安装 Docker Engine

您负责从可信来源安装 Docker Engine。此连接器使用核心设备上的 Docker 守护程序访问您的 Docker 资产并管理 Docker 容器。

Greengrass 组角色权限的范围

在 Greengrass 组角色中添加的权限可由 Greengrass 组中的所有 Lambda 函数和连接器代入。此连接器需要访问存储在 S3 存储桶中的 Docker Compose 文件。如果您的 Docker 镜像存储在 Amazon ECR 的私有存储库中,它还需要访问您的 Amazon ECR 授权令牌。

许可证

Greengrass Docker 应用程序部署连接器包含以下第三方软件/许可:

此连接器在Greengrass 核心软件许可协议.

更改日志

下表介绍了连接器的各个版本的更改。

版本

更改

7

增加了DockerOfflineMode在以下情况下使用现有 Docker Compose 文件Amazon IoT Greengrass离线启动。已实现的重试docker login命令。Support 32 位 UID。

6

增加了StopContainersOnNewDeployment在进行新部署或 GGC 停止时覆盖容器清理。更安全的关机和启动机制。YAML 验证错误修复。

5

映像在运行前被拉取docker-compose down.

4

增加了 pull-before-up 行为更新 Docker 镜像。

3

修复了查找环境变量的问题。

2

添加了 ForceDeploy 参数。

1

首次发布。

Greengrass 组每次只能包含连接器的一个版本。有关升级连接器版本的信息,请参阅升级连接器版本

另请参阅