AWS IoT Greengrass V2 Core-Geräte als Nicht-Root-Geräte einrichten

Gehen Sie wie folgt vorInstallieren Sie die AWS IoT Greengrass Core-Software mit automatischer Ressourcenbereitstellung: Richten Sie Ihre Geräteumgebung ein, geben Sie Anmeldeinformationen ein und laden Sie die AWS IoT Greengrass Core-Software herunter.

Erstellen Sie das Installationsverzeichnis und stellen Sie sicher, dass es Ihrem Benutzer gehört.

mkdir -p $HOME/greengrass/v2

Führen Sie das Installationsprogramm ohne aussudo. Stellen --component-default-user Sie Ihren aktuellen Benutzer ein.

java -Droot="$HOME/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user $USER \
  --provision true

Nicht verwenden--setup-system-service true, da Sie keinen Root-Zugriff haben, um einen Systemdienst zu erstellen.

Stoppen Sie die AWS IoT Greengrass Core-Software, falls sie gerade läuft.

kill $(cat $HOME/greengrass/v2/alts/loader.pid)

Erstellen Sie das Systemd-Benutzerdienstverzeichnis.

mkdir -p $HOME/.config/systemd/user

Erstellen Sie die Servicedatei unter $HOME/.config/systemd/user/greengrass.service mit dem folgenden Inhalt.

[Unit]
Description=Greengrass Core

[Service]
Type=simple
PIDFile=%h/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh %h/greengrass/v2/alts/current/distro/bin/loader
Environment="JAVA_HOME=/path/to/java"

[Install]
WantedBy=default.target

In Systemd-Benutzereinheitendateien %h ist dies ein Spezifizierer, der in das Home-Verzeichnis des Benutzers aufgelöst wird, der den Dienst ausführt.

Ersetzen Sie es /path/to/java durch den Pfad zu Ihrer Java-Installation.

Aktivieren und starten Sie den Dienst.

systemctl --user daemon-reload
systemctl --user enable greengrass.service
systemctl --user start greengrass.service

Gehen Sie wie folgt vorInstallieren Sie die AWS IoT Greengrass Core-Software mit automatischer Ressourcenbereitstellung: Richten Sie Ihre Geräteumgebung ein, geben Sie Anmeldeinformationen ein und laden Sie die AWS IoT Greengrass Core-Software herunter.

Erstellen Sie einen Benutzer ohne Root-Rechte, der die AWS IoT Greengrass Core-Software und alle Komponenten ausführt.

sudo useradd --create-home gg_non_root

Melden Sie sich als Nicht-Root-Benutzer an und führen Sie das Installationsprogramm aus. Auf denselben Benutzer eingestellt--component-default-user. Verwenden Sie keinen Systemdienst sudo und richten Sie ihn nicht ein.

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user gg_non_root \
  --provision true \
  --setup-system-service false

Erstellen Sie als Root-Benutzer die Systemdienstdatei unter /etc/systemd/system/greengrass.service mit dem folgenden Inhalt.

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

Stoppen Sie die laufende AWS IoT Greengrass Core-Instanz, aktivieren und starten Sie dann den Systemdienst.

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

Gehen Sie wie folgt vorInstallieren Sie die AWS IoT Greengrass Core-Software mit automatischer Ressourcenbereitstellung: Richten Sie Ihre Geräteumgebung ein, geben Sie Anmeldeinformationen ein und laden Sie die AWS IoT Greengrass Core-Software herunter.

Erstellen Sie einen Benutzer ohne Root-Rechte, der die AWS IoT Greengrass Core-Software ausführen wird.

sudo useradd --create-home gg_non_root

Fügen Sie den Nicht-Root-Benutzer zu sudoers hinzu, damit er Befehle als Komponentenbenutzer ausführen kann. Erstellen Sie eine Datei unter. /etc/sudoers.d/gg_non_root

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

Wenn Sie Komponenten so konfigurieren, dass sie als zusätzliche Benutzer ausgeführt werdenposixUser, fügen Sie für jeden Benutzer einen Sudoers-Eintrag hinzu. Beispiel:

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash
gg_non_root ALL=(another_user:another_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

Melden Sie sich als Nicht-Root-Benutzer an und führen Sie das Installationsprogramm aus. Verwenden Sie keinen Systemdienst sudo und richten Sie ihn nicht ein.

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service false

Erstellen Sie als Root-Benutzer die Systemdienstdatei unter /etc/systemd/system/greengrass.service mit dem folgenden Inhalt.

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
AmbientCapabilities=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

Informationen zu den erforderlichen Funktionen finden Sie unterLinux-Funktionen werden benötigt von AWS IoT Greengrass V2.

Stoppen Sie die laufende AWS IoT Greengrass Core-Instanz, aktivieren und starten Sie dann den Systemdienst.

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

Gehen Sie wie folgt vorInstallieren Sie die AWS IoT Greengrass Core-Software mit automatischer Ressourcenbereitstellung: Richten Sie Ihre Geräteumgebung ein, geben Sie Anmeldeinformationen ein und laden Sie die AWS IoT Greengrass Core-Software herunter.

Ändern Sie die Dienstvorlagendatei unterGreengrassInstaller/bin/greengrass.service.template, in dem Verzeichnis, in das Sie die AWS IoT Greengrass Core-Software heruntergeladen haben. Fügen Sie dem [Service] Abschnitt die folgenden Zeilen hinzu, bevor Sie das Installationsprogramm ausführen:

CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/greengrass /tmp

Führen Sie das Installationsprogramm mit aus--setup-system-service true.

sudo -E java -Droot="/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service true