Greengrass 服务角色

1. 从Amazon IoT控制台导航窗格中，选择设置.

2. 滚动到 Greengrass 服务角色部分以查看您的服务角色及其策略。

   如果没有看到服务角色，可以让控制台为您创建或配置一个。有关更多信息，请参阅 创建 Greengrass 服务角色。

1. 从Amazon IoT控制台导航窗格中，选择设置.

2. UNDERGreengrass 服务角色，选择变更角色.

   这些区域有：更新 Greengrass 服务角色对话框将打开，并显示您的Amazon Web Services 账户那定义Amazon IoT Greengrass作为可信任的实体。

3. 选择要附加的 Greengrass 服务角色。

4. 选择附加角色.

1. 从Amazon IoT控制台导航窗格中，选择设置.

2. UNDERGreengrass 服务角色，选择分离角色.

3. 在确认对话框中，选择 Detach (分离)。

• 获取服务角色。Replace领域与您的Amazon Web Services 区域（例如，us-west-2)。

  aws Greengrass get-service-role-for-account --region region

  如果 Greengrass 服务角色已与您的账户关联，则将返回以下角色元数据。

  {
    "AssociatedAt": "timestamp",
    "RoleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  如果未返回任何角色元数据，则您必须创建服务角色（如果该角色不存在）并将其与您在Amazon Web Services 区域.

使用 IAM 创建服务角色

1. 使用允许 Amazon IoT Greengrass 代入该角色的信任策略创建该角色。此示例将创建一个名为 Greengrass_ServiceRole 的角色，但您也可以使用其他名称。我们还建议您将aws:SourceArn和aws:SourceAccount信任策略中的全局条件上下文密钥，以帮助防止混淆代理人的安全问题。条件上下文键将访问权限限制为仅允许来自指定账户和 Greengrass 工作区的那些请求。有关混淆代理人问题的更多信息，请参阅防止跨服务混淆代理.

   Linux, macOS, or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           }
         }
       }
     ]
   }'

   Windows command prompt

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

2. 从输出中的角色元数据复制角色 ARN。使用该 ARN 将角色与您的账户关联。

3. 将 AWSGreengrassResourceAccessRolePolicy 策略附加到该角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

将服务角色与您关联Amazon Web Services 账户

• 将角色与您的账户关联。Replacerole-arn服务角色 ARN 和领域与您的Amazon Web Services 区域（例如，us-west-2)。

  aws greengrass associate-service-role-to-account --role-arn role-arn --region region

  如果成功，将返回以下响应。

  {
    "AssociatedAt": "timestamp"
  }

• 取消服务角色与您的账户的关联。Replace领域与您的Amazon Web Services 区域（例如，us-west-2)。

  aws greengrass disassociate-service-role-from-account --region region

  如果成功，将返回以下响应。

  {
    "DisassociatedAt": "timestamp"
  }

  注意

  如果您未在其中使用该服务角色，则应将其删除Amazon Web Services 区域. 先使用 delete-role-policy 从角色中移除 AWSGreengrassResourceAccessRolePolicy 托管策略，然后使用 delete-role 删除角色。有关更多信息，请参阅 IAM 用户指南中的删除角色或实例配置文件。