Greengrass 服务角色

1. 导航到 Amazon IoT 控制台。

2. 在导航窗格中，选择设置。

3. 滚动到 Greengrass 服务角色部分以查看您的服务角色及其策略。

   如果您没有看到服务角色，则控制台可以为您创建或配置一个服务角色。有关更多信息，请参阅 创建 Greengrass 服务角色。

1. 导航到 Amazon IoT 控制台。

2. 在导航窗格中，选择设置。

3. 在 Greengrass 服务角色下，选择 更改角色。

   更新 Greengrass 服务角色对话框打开，其中显示了您的 Amazon Web Services 账户 中的哪些 IAM 角色将 Amazon IoT Greengrass 定义为可信实体。

4. 选择要附加的 Greengrass 服务角色。

5. 选择附加角色。

1. 导航到 Amazon IoT 控制台。

2. 在导航窗格中，选择设置。

3. 在 Greengrass 服务角色 下，选择 移除角色。

4. 在确认对话框中，选择 Detach (分离)。

• 获取服务角色。将 区域 替换为您的 Amazon Web Services 区域（例如，us-west-2）。

  aws greengrassv2 get-service-role-for-account --region region

  如果 Greengrass 服务角色已与您的账户关联，则请求将返回以下角色元数据。

  {
    "associatedAt": "timestamp",
    "roleArn": "arn:aws:iam::account-id:role/path/role-name"
  }

  如果请求未返回角色元数据，则您必须在中创建服务角色（如果不存在）并将其与您的账户关联Amazon Web Services 区域。

使用 IAM 创建服务角色

1. 使用允许 Amazon IoT Greengrass 代入该角色的信任策略创建角色。此示例将创建一个名为 Greengrass_ServiceRole 的角色，但您也可以使用其他名称。我们建议您在信任策略中加入 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，以帮助防止出现混淆代理人安全问题。条件上下文键可限制访问权限，仅允许来自指定账户和 Greengrass 工作空间的请求。有关混淆代理人问题的更多信息，请参阅 防止跨服务混淆代理。

   Linux or Unix

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

   Windows Command Prompt (CMD)

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"greengrass.amazonaws.com\"},\"Action\":\"sts:AssumeRole\",\"Condition\":{\"ArnLike\":{\"aws:SourceArn\":\"arn:aws:greengrass:region:account-id:*\"},\"StringEquals\":{\"aws:SourceAccount\":\"account-id\"}}}]}"

   PowerShell

   aws iam create-role --role-name Greengrass_ServiceRole --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "greengrass.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "ArnLike": {
             "aws:SourceArn": "arn:aws:greengrass:region:account-id:*"
           },
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           }
         }
       }
     ]
   }'

2. 从输出中的角色元数据复制角色 ARN。使用该 ARN 将角色与您的账户关联。

3. 将 AWSGreengrassResourceAccessRolePolicy 策略附加到该角色。

   aws iam attach-role-policy --role-name Greengrass_ServiceRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSGreengrassResourceAccessRolePolicy

将服务角色与您的 Amazon Web Services 账户 关联

• 将角色与您的账户关联。将 role-arn 替换为服务角色 ARN，并将区域替换为您的 Amazon Web Services 区域（例如，us-west-2）。

  aws greengrassv2 associate-service-role-to-account --role-arn role-arn --region region

  如果成功，请求将返回以下响应。

  {
    "associatedAt": "timestamp"
  }

• 取消服务角色与您的账户的关联。将 区域 替换为您的 Amazon Web Services 区域（例如，us-west-2）。

  aws greengrassv2 disassociate-service-role-from-account --region region

  如果成功，将返回以下响应。

  {
    "disassociatedAt": "timestamp"
  }

  注意

  如果您未在任何 Amazon Web Services 区域 中使用该服务角色，则应将其删除。先使用 delete-role-policy 从角色中移除 AWSGreengrassResourceAccessRolePolicy 托管策略，然后使用 delete-role 删除角色。有关更多信息，请参阅《IAM 用户指南》中的删除角色或实例配置文件。