AWS IoT Greengrass V2 コアデバイスを非ルートとして設定する

から次の手順を実行します自動リソースプロビジョニングを使用して AWS IoT Greengrass Core ソフトウェアをインストールする。デバイス環境のセットアップ、認証情報の提供、 AWS IoT Greengrass Core ソフトウェアのダウンロード。

インストールディレクトリを作成し、ユーザーがそのディレクトリを所有していることを確認します。

mkdir -p $HOME/greengrass/v2

なしでインストーラを実行しますsudo。--component-default-user を現在のユーザーに設定します。

java -Droot="$HOME/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user $USER \
  --provision true

システムサービスを作成するためのルートアクセス--setup-system-service trueがないため、 を使用しないでください。

AWS IoT Greengrass Core ソフトウェアが現在実行されている場合は停止します。

kill $(cat $HOME/greengrass/v2/alts/loader.pid)

systemd ユーザーサービスディレクトリを作成します。

mkdir -p $HOME/.config/systemd/user

次のコンテンツ$HOME/.config/systemd/user/greengrass.serviceを含むサービスファイルを に作成します。

[Unit]
Description=Greengrass Core

[Service]
Type=simple
PIDFile=%h/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh %h/greengrass/v2/alts/current/distro/bin/loader
Environment="JAVA_HOME=/path/to/java"

[Install]
WantedBy=default.target

systemd ユーザーユニットファイルでは、 %hはサービスを実行しているユーザーのホームディレクトリに解決される指定子です。

/path/to/java を Java インストールへのパスに置き換えます。

サービスを有効にして起動します。

systemctl --user daemon-reload
systemctl --user enable greengrass.service
systemctl --user start greengrass.service

から次の手順を実行します自動リソースプロビジョニングを使用して AWS IoT Greengrass Core ソフトウェアをインストールする。デバイス環境のセットアップ、認証情報の提供、 AWS IoT Greengrass Core ソフトウェアのダウンロード。

AWS IoT Greengrass Core ソフトウェアとすべてのコンポーネントを実行する非ルートユーザーを作成します。

sudo useradd --create-home gg_non_root

非ルートユーザーとしてログインし、インストーラを実行します。を同じユーザー--component-default-userに設定します。を使用したりsudo、システムサービスをセットアップしたりしないでください。

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user gg_non_root \
  --provision true \
  --setup-system-service false

root として、次の内容/etc/systemd/system/greengrass.serviceのシステムサービスファイルを に作成します。

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

実行中の AWS IoT Greengrass Core インスタンスを停止し、システムサービスを有効にして起動します。

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

から次の手順を実行します自動リソースプロビジョニングを使用して AWS IoT Greengrass Core ソフトウェアをインストールする。デバイス環境のセットアップ、認証情報の提供、 AWS IoT Greengrass Core ソフトウェアのダウンロード。

AWS IoT Greengrass Core ソフトウェアを実行する非ルートユーザーを作成します。

sudo useradd --create-home gg_non_root

非ルートユーザーを sudoers に追加して、コンポーネントユーザーとしてコマンドを実行できるようにします。でファイルを作成します/etc/sudoers.d/gg_non_root。

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

で追加のユーザーとして を実行するようにコンポーネントを設定する場合はposixUser、ユーザーごとに sudoers エントリを追加します。例えば、次のようになります。

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash
gg_non_root ALL=(another_user:another_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

非ルートユーザーとしてログインし、インストーラを実行します。を使用したりsudo、システムサービスをセットアップしたりしないでください。

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service false

root として、次の内容/etc/systemd/system/greengrass.serviceのシステムサービスファイルを に作成します。

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
AmbientCapabilities=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

必要な機能の詳細については、「」を参照してくださいに必要な Linux 機能 AWS IoT Greengrass V2。

実行中の AWS IoT Greengrass Core インスタンスを停止し、システムサービスを有効にして起動します。

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

から次の手順を実行します自動リソースプロビジョニングを使用して AWS IoT Greengrass Core ソフトウェアをインストールする。デバイス環境のセットアップ、認証情報の提供、 AWS IoT Greengrass Core ソフトウェアのダウンロード。

Core AWS IoT Greengrass ソフトウェアをダウンロードしたディレクトリGreengrassInstaller/bin/greengrass.service.templateの でサービステンプレートファイルを変更します。インストーラを実行する前に、次の行を [Service]セクションに追加します。

CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/greengrass /tmp

でインストーラを実行します--setup-system-service true。

sudo -E java -Droot="/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service true