将 AWS IoT Greengrass V2 核心设备设置为非 root

完成以下步骤安装具有自动资源配置功能的 AWS IoT Greengrass Core 软件：设置您的设备环境、提供凭据并下载 AWS IoT Greengrass 核心软件。

创建安装目录并确保您的用户拥有该目录。

mkdir -p $HOME/greengrass/v2

在没有的情况下运行安装程序sudo。设置--component-default-user为您当前的用户。

java -Droot="$HOME/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user $USER \
  --provision true

请勿使用，--setup-system-service true因为您没有 root 权限来创建系统服务。

如果 AWS IoT Greengrass Core 软件当前正在运行，请将其停止。

kill $(cat $HOME/greengrass/v2/alts/loader.pid)

创建 systemd 用户服务目录。

mkdir -p $HOME/.config/systemd/user

在创建包含以下内容$HOME/.config/systemd/user/greengrass.service的服务文件。

[Unit]
Description=Greengrass Core

[Service]
Type=simple
PIDFile=%h/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh %h/greengrass/v2/alts/current/distro/bin/loader
Environment="JAVA_HOME=/path/to/java"

[Install]
WantedBy=default.target

在 systemd 用户单元文件中，%h是一个解析到运行服务的用户主目录的说明符。

/path/to/java替换为 Java 安装路径。

启用并启动该服务。

systemctl --user daemon-reload
systemctl --user enable greengrass.service
systemctl --user start greengrass.service

完成以下步骤安装具有自动资源配置功能的 AWS IoT Greengrass Core 软件：设置您的设备环境、提供凭据并下载 AWS IoT Greengrass 核心软件。

创建一个将运行 C AWS IoT Greengrass ore 软件和所有组件的非 root 用户。

sudo useradd --create-home gg_non_root

以非 root 用户身份登录并运行安装程序。设置--component-default-user为同一个用户。请勿使用sudo也不要设置系统服务。

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user gg_non_root \
  --provision true \
  --setup-system-service false

以 root 用户身份在创建包含以下内容/etc/systemd/system/greengrass.service的系统服务文件。

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

停止正在运行的 AWS IoT Greengrass Core 实例，然后启用并启动系统服务。

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

完成以下步骤安装具有自动资源配置功能的 AWS IoT Greengrass Core 软件：设置您的设备环境、提供凭据并下载 AWS IoT Greengrass 核心软件。

创建一个将运行 C AWS IoT Greengrass ore 软件的非 root 用户。

sudo useradd --create-home gg_non_root

将非 root 用户添加到 sudoers 中，这样它就可以以组件用户的身份运行命令。在创建文件/etc/sudoers.d/gg_non_root。

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

如果您将组件配置为以其他用户身份运行posixUser，请为每个用户添加一个 sudoers 条目。例如：

gg_non_root ALL=(ggc_user:ggc_group) NOPASSWD: SETENV: /bin/sh, /bin/bash
gg_non_root ALL=(another_user:another_group) NOPASSWD: SETENV: /bin/sh, /bin/bash

以非 root 用户身份登录并运行安装程序。请勿使用sudo也不要设置系统服务。

java -Droot="/home/gg_non_root/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service false

以 root 用户身份在创建包含以下内容/etc/systemd/system/greengrass.service的系统服务文件。

[Unit]
Description=Greengrass Core
After=network.target

[Service]
Type=simple
User=gg_non_root
PIDFile=/home/gg_non_root/greengrass/v2/alts/loader.pid
RemainAfterExit=no
Restart=on-failure
RestartSec=10
ExecStart=/bin/sh -c "exec /home/gg_non_root/greengrass/v2/alts/current/distro/bin/loader >> /home/gg_non_root/greengrass/v2/logs/loader.log 2>&1"
KillMode=mixed
AmbientCapabilities=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/home/gg_non_root/greengrass /tmp

[Install]
WantedBy=multi-user.target

有关所需功能的信息，请参阅所需的 Linux 功能 AWS IoT Greengrass V2。

停止正在运行的 AWS IoT Greengrass Core 实例，然后启用并启动系统服务。

sudo systemctl daemon-reload
sudo systemctl enable greengrass.service
sudo systemctl start greengrass.service

完成以下步骤安装具有自动资源配置功能的 AWS IoT Greengrass Core 软件：设置您的设备环境、提供凭据并下载 AWS IoT Greengrass 核心软件。

在GreengrassInstaller/bin/greengrass.service.template您下载 AWS IoT Greengrass 核心软件的目录中修改服务模板文件。在运行安装程序之前，请将以下几行添加到该[Service]部分：

CapabilityBoundingSet=CAP_CHOWN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH CAP_FOWNER CAP_SETUID CAP_SETGID CAP_SYS_RESOURCE CAP_AUDIT_WRITE
ProtectSystem=strict
ReadWritePaths=/greengrass /tmp

使用运行安装程序--setup-system-service true。

sudo -E java -Droot="/greengrass/v2" -Dlog.store=FILE \
  -jar ./GreengrassInstaller/lib/Greengrass.jar \
  --aws-region region \
  --thing-name MyGreengrassCore \
  --thing-group-name MyGreengrassCoreGroup \
  --thing-policy-name GreengrassV2IoTThingPolicy \
  --tes-role-name GreengrassV2TokenExchangeRole \
  --tes-role-alias-name GreengrassCoreTokenExchangeRoleAlias \
  --component-default-user ggc_user:ggc_group \
  --provision true \
  --setup-system-service true