将客户端设备连接到核心设备

检查 Greengrass 服务角色是否与相关联。Amazon IoT Greengrass为您的Amazon Web Services 账户在这个区域。执行以下操作：

1. 导航到 Amazon IoT 控制台。

2. 在导航窗格中，选择 Settings (设置)。

3. 在Greengrass 服务角色部分，查找当前服务角色以查看 Greengrass 服务角色是否相关联。

   如果您关联了 Greengrass 服务角色，则符合使用 IP 探测器组件的要求。跳至配置Amazon IoT事物策略。

如果 Greengrass 服务角色未与相关联Amazon IoT Greengrass为您的Amazon Web Services 账户在此区域中，创建 Greengrass 服务角色并将其关联。执行以下操作：

1. 导航到 IAM 控制台。

2. 选择 Roles (角色)。

3. 选择Create role（创建角色）。

4. 在存储库的创建角色页中，请执行以下操作：

   1. UNDER可信任的实体类型，选择Amazon Web Service.

   2. UNDER使用案例、其他的使用案例Amazon Web Services，选择Greengrass，选择Greengrass. 此选项指定要添加Amazon IoT Greengrass作为代入此角色的可信实体。

   3. 选择 Next（下一步）。

   4. UNDER权限策略，选择AWSGreengrassResourceAccessRolePolicy附加到角色。

   5. 选择 Next（下一步）。

   6. InRole name (角色名称)，输入此角色的名称，例如Greengrass_ServiceRole.

   7. 选择Create role（创建角色）。

5. 导航到 Amazon IoT 控制台。

6. 在导航窗格中，选择 Settings (设置)。

7. 在Greengrass 服务角色部分，选择。附加角色.

8. 在更新 Greengrass 服务角色modal，选择您创建的 IAM 角色，然后选择附加角色.

检查 Greengrass 服务角色是否与相关联。Amazon IoT Greengrass为您的Amazon Web Services 账户在这个区域。

aws greengrassv2 get-service-role-for-account

如果关联了 Greengrass 服务角色，则该操作将返回包含有关该角色信息的响应。

如果您关联了 Greengrass 服务角色，则符合使用 IP 探测器组件的要求。跳至配置Amazon IoT事物策略。

如果 Greengrass 服务角色未与相关联Amazon IoT Greengrass为您的Amazon Web Services 账户在此区域中，创建 Greengrass 服务角色并将其关联。执行以下操作：

1. 使用允许 Amazon IoT Greengrass 代入该角色的信任策略创建角色。此示例将创建一个名为 Greengrass_ServiceRole 的角色，但您也可以使用其他名称。我们还建议您使用aws:SourceArn和aws:SourceAccount信任策略中的全局条件上下文密钥，以帮助防止混淆代理人安全问题。条件上下文键将访问权限限制为仅允许来自指定账户和 Greengrass 工作区的那些请求。有关混淆代理人问题的更多信息，请参阅防止跨服务混淆代理.

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 从输出中的角色元数据复制角色 ARN。使用该 ARN 将角色与您的账户关联。

3. 将 AWSGreengrassResourceAccessRolePolicy 策略附加到该角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

4. 将 Greengrass 服务角色与Amazon IoT Greengrass为您的Amazon Web Services 账户. Replacerole-arn使用服务角色的 ARN。

   aws greengrassv2 associate-service-role-to-account --role-arn role-arn

   如果操作成功，则返回以下响应。

   {
     "associatedAt": "timestamp"
   }

在Amazon IoT Greengrass控制台导航菜单，选择核心设备.

在存储库的核心设备页面上，选择要更新的核心设备。

在核心设备详细信息页面上，选择指向核心设备的Thing. 此链接在中打开事物详细信息页面Amazon IoT控制台。

在事物详细信息页面上，选择证书.

在证书选项卡上，选择事物的活动证书。

在证书详细信息页中，选择策略.

在策略选项卡上，选择Amazon IoT要审查和更新的政策。您可以将所需权限添加到附加到核心设备的活动证书的任何策略中。

在策略概述中，选择编辑活动版本.

查看策略以获取所需权限，并添加任何缺少的必需权限。

（可选）允许核心设备与同步阴影Amazon IoT Core，将以下语句添加到策略中。如果您计划与客户端设备影子进行交互，但不打算将其与同步Amazon IoT Core，请跳过此步骤。Replace领域和account-id与您使用的区域和您的Amazon Web Services 账户数字。

{
  "Effect": "Allow",
  "Action": [
    "iot:GetThingShadow",
    "iot:UpdateThingShadow",
    "iot:DeleteThingShadow"
  ],
  "Resource": [
    "arn:aws:iot:region:account-id:thing/*"
  ]
}

添加此语句后，策略文档可能类似于以下示例的内容。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iot:Connect",
        "iot:Publish",
        "iot:Subscribe",
        "iot:Receive",
        "greengrass:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:GetThingShadow",
        "iot:UpdateThingShadow",
        "iot:DeleteThingShadow"
      ],
      "Resource": [
        "arn:aws:iot:region:account-id:thing/*"
      ]
    }
  ]
}

要将新策略版本设置为活动版本，请在策略版本状态，选择将编辑的版本设置为此策略的活动版本.

选择另存为新版本.

列出核心设备的主体Amazon IoTthing 事物主体可以是 X.509 设备证书或其他标识符。运行以下命令，然后替换MyGreengrassCore使用核心设备的名称。

aws iot list-thing-principals --thing-name MyGreengrassCore

此操作将返回列出核心设备的事物主体的响应。

{
    "principals": [
        "arn:aws:iot:us-west-2:123456789012:cert/certificateId"
    ]
}

识别核心设备的活动证书。运行以下命令，然后替换certificateId使用上一步骤中每个证书的 ID，直到找到活动证书。证书 ID 是证书 ARN 末尾的十六进制字符串。这些区域有：--query参数指定仅输出证书的状态。

aws iot describe-certificate --certificate-id certificateId --query 'certificateDescription.status'

该操作以字符串形式返回证书状态。例如，如果证书处于活动状态，则此操作会输出"ACTIVE".

LISTTAmazon IoT附加到证书的策略。运行以下命令，并将证书 ARN 替换为证书的 ARN。

aws iot list-principal-policies --principal arn:aws:iot:us-west-2:123456789012:cert/certificateId

此操作将返回响应，其中列出了Amazon IoT附加到证书的策略。

{
    "policies": [
        {
            "policyName": "GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassTESCertificatePolicyMyGreengrassCoreTokenExchangeRoleAlias"
        },
        {
            "policyName": "GreengrassV2IoTThingPolicy",
            "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy"
        }
    ]
}

选择要查看和更新的策略。

获取策略的文档。运行以下命令，然后替换Greengrassv2IoThingPolicy使用策略的名称。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy

此操作将返回包含策略文档和其他策略相关信息的响应。策略文档是一个序列化为字符串的 JSON 对象。

{
    "policyName": "GreengrassV2IoTThingPolicy",
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\n  \"Version\": \"2012-10-17\",\n  \"Statement\": [\n    {\n      \"Effect\": \"Allow\",\n      \"Action\": [\n                \"iot:Connect\",\n                \"iot:Publish\",\n                \"iot:Subscribe\",\n                \"iot:Receive\",\n                \"greengrass:*\"\n],\n      \"Resource\": \"*\"\n    }\n  ]\n}",
    "defaultVersionId": "1",
    "creationDate": "2021-02-05T16:03:14.098000-08:00",
    "lastModifiedDate": "2021-02-05T16:03:14.098000-08:00",
    "generationId": "f19144b798534f52c619d44f771a354f1b957dfa2b850625d9f1d0fde530e75f"
}

使用在线转换器或其他工具将策略文档字符串转换为 JSON 对象，然后将其保存到名为的文件中iot-policy.json.

例如，如果您使用jq工具安装后，您可以运行以下命令来获取策略文档，将其转换为 JSON 对象，然后将策略文档另存为 JSON 对象。

aws iot get-policy --policy-name GreengrassV2IoTThingPolicy --query 'policyDocument' | jq fromjson >> iot-policy.json

查看策略以获取所需权限，并添加任何缺少的必需权限。

例如，在基于 Linux 的系统上，您可以运行以下命令以使用 GNU nano 打开文件。

nano iot-policy.json

将更改另存为策略的新版本。运行以下命令，然后替换Greengrassv2IoThingPolicy使用策略的名称。

aws iot create-policy-version --policy-name GreengrassV2IoTThingPolicy --policy-document file://iot-policy.json --set-as-default

如果操作成功，将返回类似于以下示例的响应。

{
    "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
    "policyDocument": "{\n  \"Version\": \"2012-10-17\",\n  \"Statement\": [\n    {\n      \"Effect\": \"Allow\",\n      \"Action\": [\n\t\t\"iot:Connect\",\n\t\t\"iot:Publish\",\n\t\t\"iot:Subscribe\",\n\t\t\"iot:Receive\",\n\t\t\"greengrass:*\"\n      ],\n      \"Resource\": \"*\"\n    }\n  ]\n}",
    "policyVersionId": "2",
    "isDefaultVersion": true
}