设置Amazon IoT适用于 Greengrass 核心设备的车队配置

创建令牌交换 IAM 角色

1. 创建一个 IAM 角色，您的设备可用作令牌交换角色。执行以下操作：

   1. 创建包含令牌交换角色所需的信任策略文档的文件。

      nano device-role-trust-policy.json

      将以下 JSON 复制到该文件中。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
              "Service": "credentials.iot.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
          }
        ]
      }

   2. 使用信任策略文档创建令牌交换角色。

      • Replace绿草 V2 代码交换器替换为要创建的 IAM 角色的名称。

      aws iam create-role --role-name GreengrassV2TokenExchangeRole --assume-role-policy-document file://device-role-trust-policy.json

      响应类似于以下示例，如果请求成功。

      {
        "Role": {
          "Path": "/",
          "RoleName": "GreengrassV2TokenExchangeRole",
          "RoleId": "AROAZ2YMUHYHK5OKM77FB",
          "Arn": "arn:aws:iam::123456789012:role/GreengrassV2TokenExchangeRole",
          "CreateDate": "2021-02-06T00:13:29+00:00",
          "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
              {
                "Effect": "Allow",
                "Principal": {
                  "Service": "credentials.iot.amazonaws.com"
                },
                "Action": "sts:AssumeRole"
              }
            ]
          }
        }

   3. 创建一个文件，其中包含令牌交换角色所需的访问策略文档。

      nano device-role-access-policy.json

      将以下 JSON 复制到该文件中。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "iot:DescribeCertificate",
              "logs:CreateLogGroup",
              "logs:CreateLogStream",
              "logs:PutLogEvents",
              "logs:DescribeLogStreams",
              "iot:Connect",
              "iot:Publish",
              "iot:Subscribe",
              "iot:Receive",
              "s3:GetBucketLocation"
            ],
            "Resource": "*"
          }
        ]
      }

      注意

      此访问策略不允许访问 S3 存储桶中的组件对象。要部署用于在 Amazon S3 中定义对象的自定义组件，您必须向角色添加权限，以允许核心设备检索组件工件。有关更多信息，请参阅允许访问 S3 存储桶。

      如果您还没有用于组件对象的 S3 存储桶，您可以稍后在创建存储桶后添加这些权限。

   4. 从策略文档创建 IAM 策略。

      • Replace绿色草原 V2 代币交换访问替换为要创建的 IAM 策略的名称。

      aws iam create-policy --policy-name GreengrassV2TokenExchangeRoleAccess --policy-document file://device-role-access-policy.json

      响应类似于以下示例，如果请求成功。

      {
        "Policy": {
          "PolicyName": "GreengrassV2TokenExchangeRoleAccess",
          "PolicyId": "ANPAZ2YMUHYHACI7C5Z66",
          "Arn": "arn:aws:iam::123456789012:policy/GreengrassV2TokenExchangeRoleAccess",
          "Path": "/",
          "DefaultVersionId": "v1",
          "AttachmentCount": 0,
          "PermissionsBoundaryUsageCount": 0,
          "IsAttachable": true,
          "CreateDate": "2021-02-06T00:37:17+00:00",
          "UpdateDate": "2021-02-06T00:37:17+00:00"
        }
      }

   5. 将 IAM 策略附加到令牌交换角色。

      • Replace绿草 V2 代码交换器（使用 IAM 角色的名称）。

      • 将策略 ARN 替换为您在上一步中创建的 IAM 策略的 ARN。

      aws iam attach-role-policy --role-name GreengrassV2TokenExchangeRole --policy-arn arn:aws:iam::123456789012:policy/GreengrassV2TokenExchangeRoleAccess

      如果请求成功，命令没有任何输出。

2. 创建Amazon IoT角色别名，指向令牌交换角色。

   • Replace绿色草芯代币交换别名替换为要创建的角色别名的名称。

   • 将角色 ARN 替换为您在上一步中创建的 IAM 角色的 ARN。

   aws iot create-role-alias --role-alias GreengrassCoreTokenExchangeRoleAlias --role-arn arn:aws:iam::123456789012:role/GreengrassV2TokenExchangeRole

   响应类似于以下示例，如果请求成功。

   {
     "roleAlias": "GreengrassCoreTokenExchangeRoleAlias",
     "roleAliasArn": "arn:aws:iot:us-west-2:123456789012:rolealias/GreengrassCoreTokenExchangeRoleAlias"
   }

   注意

   要创建角色别名，您必须有权将令牌交换 IAM 角色传递给Amazon IoT. 如果您在尝试创建角色别名时收到错误消息，请检查您的Amazon用户具有此权限。有关更多信息，请参阅 。向用户授予权限以将角色传递给Amazon服务中的Amazon Identity and Access Management用户指南.

创建 Amazon IoT 策略

• 创建Amazon IoT策略，该策略定义Amazon IoT权限，以获取您的 Greengrass 核心设备队列的权限。以下策略允许访问所有 MQTT 主题和 Greengrass 操作，因此您的设备适用于需要新 Greengrass 操作的自定义应用程序和未来更改。此策略还允许iot:AssumeRoleWithCertificate权限，该权限允许您的设备使用您在上一节中创建的令牌交换角色。您可以基于自己的使用案例来限制此策略。有关更多信息，请参阅最低Amazon IoT用于 的 策略Amazon IoT Greengrass V2核心设备。

  执行以下操作：

  1. 创建包含Amazon IoT策略文档，这是 Greengrass 核心设备所需的。

     nano greengrass-v2-iot-policy.json

     将以下 JSON 复制到该文件中。

     • 替换iot:AssumeRoleWithCertificate资源的 ARNAmazon IoT角色别名，您在上一部分中创建。

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": [
             "iot:Publish",
             "iot:Subscribe",
             "iot:Receive",
             "iot:Connect",
             "greengrass:*"
           ],
           "Resource": [
             "*"
           ]
         },
         {
           "Effect": "Allow",
           "Action": "iot:AssumeRoleWithCertificate",
           "Resource": "arn:aws:iot:us-west-2:123456789012:rolealias/GreengrassCoreTokenExchangeRoleAlias"
         }
       ]
     }

  2. 创建Amazon IoT策略从策略文档。

     • Replace绿色草原 V2 政策替换为要创建的策略的名称。

     aws iot create-policy --policy-name GreengrassV2IoTThingPolicy --policy-document file://greengrass-v2-iot-policy.json

     响应类似于以下示例，如果请求成功。

     {
       "policyName": "GreengrassV2IoTThingPolicy",
       "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassV2IoTThingPolicy",
       "policyDocument": "{
         \"Version\": \"2012-10-17\",
         \"Statement\": [
           {
             \"Effect\": \"Allow\",
             \"Action\": [
               \"iot:Publish\",
               \"iot:Subscribe\",
               \"iot:Receive\",
               \"iot:Connect\",
               \"greengrass:*\"
             ],
             \"Resource\": [
               \"*\"
             ]
           },
           {
             \"Effect\": \"Allow\",
             \"Action\": \"iot:AssumeRoleWithCertificate\",
             \"Resource\": \"arn:aws:iot:us-west-2:123456789012:rolealias/GreengrassCoreTokenExchangeRoleAlias\"
           }
         ]
       }",
       "policyVersionId": "1"
     }

创建队列预配置模板

1. 创建 IAM 角色Amazon IoT可以假设在Amazon Web Services 账户. 执行以下操作：

   1. 创建一个文件，其中包含允许Amazon IoT以担任此角色。

      nano aws-iot-trust-policy.json

      将以下 JSON 复制到该文件中。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
              "Service": "iot.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
          }
        ]
      }

   2. 使用信任策略文档创建 IAM 角色。

      • Replace绿色草原配置角色替换为要创建的 IAM 角色的名称。

      aws iam create-role --role-name GreengrassFleetProvisioningRole --assume-role-policy-document file://aws-iot-trust-policy.json

      响应类似于以下示例，如果请求成功。

      {
        "Role": {
          "Path": "/",
          "RoleName": "GreengrassFleetProvisioningRole",
          "RoleId": "AROAZ2YMUHYHK5OKM77FB",
          "Arn": "arn:aws:iam::123456789012:role/GreengrassFleetProvisioningRole",
          "CreateDate": "2021-07-26T00:15:12+00:00",
          "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
              {
                "Effect": "Allow",
                "Principal": {
                  "Service": "iot.amazonaws.com"
                },
                "Action": "sts:AssumeRole"
              }
            ]
          }
        }
      }

   3. 查看AWSIoTThingsRegistration策略，该策略允许访问Amazon IoT可能会在置备设备时使用。您可以使用此托管策略，也可以创建自定义策略，为您的使用案例定义范围缩小权限。如果您选择创建自定义策略，请立即创建。

   4. 将 IAM 策略附加到队列配置角色。

      • Replace绿色草原配置角色（使用 IAM 角色的名称）。

      • 如果您在上一步中创建了自定义策略，请将策略 ARN 替换为要使用的 IAM 策略的 ARN。

      aws iam attach-role-policy --role-name GreengrassFleetProvisioningRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTThingsRegistration

      如果请求成功，命令没有任何输出。

2. （可选）创建预先预置挂钩，这是Amazon Lambda函数，用于验证设备在注册过程中提供的模板参数。您可以使用预置备挂钩来更好地控制Amazon Web Services 账户. 有关更多信息，请参阅 。预先预配置挂钩中的Amazon IoT Core开发人员指南.

3. 创建队列预配置模板。执行以下操作：

   1. 创建一个文件以包含置备模板文档。

      nano greengrass-fleet-provisioning-template.json

      编写置备模板文档。您可以从以下示例置备模板开始，该模板指定创建Amazon IoT事物，具有以下属性：

      • 事物的名称是您在ThingName模板参数。

      • 事物是事物组的成员，您在ThingGroupName模板参数。

      • 事物的证书具有Amazon IoT策略名为GreengrassV2IoTThingPolicy附加到此角色。

      有关更多信息，请参阅 。预置模板中的Amazon IoT Core开发人员指南.

      {
        "Parameters": {
          "ThingName": {
            "Type": "String"
          },
          "ThingGroupName": {
            "Type": "String"
          },
          "AWS::IoT::Certificate::Id": {
            "Type": "String"
          }
        },
        "Resources": {
          "MyThing": {
            "OverrideSettings": {
              "AttributePayload": "REPLACE",
              "ThingGroups": "REPLACE",
              "ThingTypeName": "REPLACE"
            },
            "Properties": {
              "AttributePayload": {},
              "ThingGroups": [
                {
                  "Ref": "ThingGroupName"
                }
              ],
              "ThingName": {
                "Ref": "ThingName"
              }
            },
            "Type": "AWS::IoT::Thing"
          },
          "MyPolicy": {
            "Properties": {
              "PolicyName": "GreengrassV2IoTThingPolicy"
            },
            "Type": "AWS::IoT::Policy"
          },
          "MyCertificate": {
            "Properties": {
              "CertificateId": {
                "Ref": "AWS::IoT::Certificate::Id"
              },
              "Status": "Active"
            },
            "Type": "AWS::IoT::Certificate"
          }
        }
      }

   2. 从预配置模板文档创建队列预配置模板。

      • Replace绿色草坪置备模板替换为要创建的模板的名称。

      • 将模板描述替换为模板的描述。

      • 将预配置角色 ARN 替换为您之前创建的角色的 ARN。

      aws iot create-provisioning-template \
        --template-name GreengrassFleetProvisioningTemplate \
        --description "A provisioning template for Greengrass core devices." \
        --provisioning-role-arn "arn:aws:iam::123456789012:role/GreengrassFleetProvisioningRole" \
        --template-body file://greengrass-fleet-provisioning-template.json
        --enabled

      注意

      如果您创建了预置备挂接，请使用--pre-provisioning-hook参数。

      --pre-provisioning-hook targetArn=arn:aws:lambda:us-west-2:123456789012:function:GreengrassPreProvisioningHook

      响应类似于以下示例，如果请求成功。

      {
          "templateArn": "arn:aws:iot:us-west-2:123456789012:provisioningtemplate/GreengrassFleetProvisioningTemplate",
          "templateName": "GreengrassFleetProvisioningTemplate",
          "defaultVersionId": 1
      }

创建预置要求证书和私有密钥

1. 创建并保存要用于预配置的证书和私有密钥。Amazon IoT提供由 Amazon Root 证书颁发机构 (CA) 签发的客户端证书。

   aws iot create-keys-and-certificate \
     --certificate-pem-outfile "claim.pem.crt" \
     --public-key-outfile "claim.public.pem.key" \
     --private-key-outfile "claim.private.pem.key" \
     --set-as-active

   响应将包含有关证书的信息（如果请求成功）。保存证书的 ARN 以便稍后使用。

2. 创建并连接到Amazon IoT策略，该策略允许设备使用证书创建唯一的设备证书并使用队列置备模板进行置备。以下策略允许访问设备预配置 MQTT API。有关更多信息，请参阅 。设备预配置 MQTT API中的Amazon IoT Core开发人员指南.

   执行以下操作：

   1. 创建包含Amazon IoT策略文档，这是 Greengrass 核心设备所需的。

      nano greengrass-provisioning-claim-iot-policy.json

      将以下 JSON 复制到该文件中。

      • 替换区域与Amazon Web Services 区域，您可以在其中设置队列置备。

      • 替换account-id使用您的Amazon Web Services 账户ID。

      • 替换绿色草坪置备模板替换为您在上一节中创建的队列预配置模板的名称。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": "iot:Connect",
            "Resource": "*"
          },
          {
            "Effect": "Allow",
            "Action": [
              "iot:Publish",
              "iot:Receive"
            ],
            "Resource": [
              "arn:aws:iot:region:account-id:topic/$aws/certificates/create/*",
              "arn:aws:iot:region:account-id:topic/$aws/provisioning-templates/GreengrassFleetProvisioningTemplate/provision/*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "iot:Subscribe",
            "Resource": [
              "arn:aws:iot:region:account-id:topicfilter/$aws/certificates/create/*",
              "arn:aws:iot:region:account-id:topicfilter/$aws/provisioning-templates/GreengrassFleetProvisioningTemplate/provision/*"
            ]
          }
        ]
      }

   2. 创建Amazon IoT策略从策略文档。

      • Replace绿色草原配置声明政策替换为要创建的策略的名称。

      aws iot create-policy --policy-name GreengrassProvisioningClaimPolicy --policy-document file://greengrass-provisioning-claim-iot-policy.json

      响应类似于以下示例，如果请求成功。

      {
        "policyName": "GreengrassProvisioningClaimPolicy",
        "policyArn": "arn:aws:iot:us-west-2:123456789012:policy/GreengrassProvisioningClaimPolicy",
        "policyDocument": "{
          \"Version\": \"2012-10-17\",
          \"Statement\": [
            {
              \"Effect\": \"Allow\",
              \"Action\": \"iot:Connect\",
              \"Resource\": \"*\"
            },
            {
              \"Effect\": \"Allow\",
              \"Action\": [
                \"iot:Publish\",
                \"iot:Receive\"
              ],
              \"Resource\": [
                \"arn:aws:iot:region:account-id:topic/$aws/certificates/create/*\",
                \"arn:aws:iot:region:account-id:topic/$aws/provisioning-templates/GreengrassFleetProvisioningTemplate/provision/*\"
              ]
            },
            {
              \"Effect\": \"Allow\",
              \"Action\": \"iot:Subscribe\",
              \"Resource\": [
                \"arn:aws:iot:region:account-id:topicfilter/$aws/certificates/create/*\",
                \"arn:aws:iot:region:account-id:topicfilter/$aws/provisioning-templates/GreengrassFleetProvisioningTemplate/provision/*\"
              ]
            }
          ]
        }",
        "policyVersionId": "1"
      }

3. 将附加到Amazon IoT策略添加到预配置声明证书中。

   • Replace绿色草原配置声明政策替换为要附加的策略的名称。

   • 将目标 ARN 替换为预配置声明证书的 ARN。

   aws iot attach-policy --policy-name GreengrassProvisioningClaimPolicy --target arn:aws:iot:us-west-2:123456789012:cert/aa0b7958770878eabe251d8a7ddd547f4889c524c9b574ab9fbf65f32248b1d4

   如果请求成功，命令没有任何输出。