Configurar los dispositivos AWS IoT Greengrass V2 principales como dispositivos no root

Complete los siguientes pasosInstale el software AWS IoT Greengrass principal con aprovisionamiento automático de recursos: configure el entorno de su dispositivo, proporcione las credenciales y descargue el software AWS IoT Greengrass principal.

Cree el directorio de instalación y asegúrese de que es propiedad de su usuario.

mkdir -p $HOME/greengrass/v2

Ejecute el instalador sin élsudo. --component-default-userConfigúrelo a su usuario actual.

java -Droot="$HOME/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user $USER \
  --provision true

No lo utilice --setup-system-service true porque no tiene acceso root para crear un servicio del sistema.

Detenga el software AWS IoT Greengrass principal si se está ejecutando actualmente.

kill $(cat $HOME/greengrass/v2/alts/loader.pid)

Cree el directorio de servicios de usuario de systemd.

mkdir -p $HOME/.config/systemd/user

Cree el archivo de servicio $HOME/.config/systemd/user/greengrass.service con el siguiente contenido.

[Unit]
Description=Greengrass Core

[Service]
Type=simple
PIDFile=%h/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh %h/greengrass/v2/alts/current/distro/bin/loader
Environment="JAVA_HOME=/path/to/java"

[Install]
WantedBy=default.target

En los archivos de unidades de usuario de systemd, %h es un especificador que se convierte en el directorio principal del usuario que ejecuta el servicio.

/path/to/javaSustitúyalo por la ruta a la instalación de Java.

Habilite e inicie el servicio.

systemctl --user daemon-reload
systemctl --user enable greengrass.service
systemctl --user start greengrass.service

Complete los siguientes pasosInstale el software AWS IoT Greengrass principal con aprovisionamiento automático de recursos: configure el entorno de su dispositivo, proporcione las credenciales y descargue el software AWS IoT Greengrass principal.

Cree un usuario que no sea root y que ejecute el software AWS IoT Greengrass principal y todos los componentes.

sudo useradd --create-home gg_non_root

Inicie sesión como usuario no root y ejecute el instalador. --component-default-userConfigúrelo para el mismo usuario. No utilice sudo ni configure un servicio del sistema.

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user gg_non_root \
  --provision true \
  --setup-system-service false

Como root, cree el archivo de servicio del sistema /etc/systemd/system/greengrass.service con el siguiente contenido.

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

Detenga la instancia AWS IoT Greengrass Core en ejecución y, a continuación, habilite e inicie el servicio del sistema.

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

Complete los siguientes pasosInstale el software AWS IoT Greengrass principal con aprovisionamiento automático de recursos: configure el entorno de su dispositivo, proporcione las credenciales y descargue el software AWS IoT Greengrass principal.

Cree un usuario que no sea root y que ejecute el software AWS IoT Greengrass principal.

sudo useradd --create-home gg_non_root

Añada el usuario que no es root a sudoers para que pueda ejecutar comandos como usuario del componente. Cree un archivo en. /etc/sudoers.d/gg_non_root

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

Si configura los componentes para que se ejecuten como usuarios adicionalesposixUser, añada una entrada sudoers para cada usuario. Por ejemplo:

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash
gg_non_root ALL=(another_user:another_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

Inicie sesión como usuario no root y ejecute el instalador. No utilice sudo ni configure un servicio del sistema.

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service false

Como root, cree el archivo de servicio del sistema /etc/systemd/system/greengrass.service con el siguiente contenido.

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
AmbientCapabilities=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

Para obtener información sobre las capacidades requeridas, consulteCapacidades de Linux requeridas por AWS IoT Greengrass V2.

Detenga la instancia AWS IoT Greengrass Core en ejecución y, a continuación, habilite e inicie el servicio del sistema.

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

Complete los siguientes pasosInstale el software AWS IoT Greengrass principal con aprovisionamiento automático de recursos: configure el entorno de su dispositivo, proporcione las credenciales y descargue el software AWS IoT Greengrass principal.

Modifique el archivo de plantilla de servicio en el directorio en el que descargó el software AWS IoT Greengrass Core. GreengrassInstaller/bin/greengrass.service.template Añada las siguientes líneas a la [Service] sección antes de ejecutar el instalador:

CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/greengrass /tmp

Ejecute el instalador con--setup-system-service true.

sudo -E java -Droot="/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service true