本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 将服务角色用于 AWS IoT SiteWise Monitor
服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
要允许联合的 M SiteWise onitor 门户用户访问您的 AWS IoT SiteWise和 AWS IAM Identity Center资源，您必须将服务角色附加到您创建的每个门户。服务角色必须将 M SiteWise onitor 指定为可信实体，并包含[AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess)托管策略或定义[等效权限](#monitor-service-role-permissions)。此策略由 M SiteWise onitor 维护 AWS 并定义了用于访问您 AWS IoT SiteWise 和 IAM Identity Center 资源的一组权限。
创建 M SiteWise onitor 门户时，必须选择允许该门户的用户访问您 AWS IoT SiteWise和 IAM Identity Center 资源的角色。 AWS IoT SiteWise 控制台可以为您创建和配置角色。您可以稍后在 IAM 中编辑该角色。如果您从角色中移除所需的权限或删除该角色，您的门户用户在使用其 SiteWise 监控器门户时会遇到问题。
**注意**
2020 年 4 月 29 日之前创建的门户不需要服务角色。如果您是在此日期之后创建的门户，则必须附加服务角色才能继续使用。为此，请导航到 [AWS IoT SiteWise 控制台](https://console.aws.amazon.com/iotsitewise/)的**门户**页面，再选择**迁移所有门户以使用 IAM 角色**。
以下各节介绍如何在 AWS 管理控制台 或中创建和管理 SiteWise 监控服务角色 AWS Command Line Interface。
**Contents**
+ [SiteWise 监控器（经典）的服务角色权限](#monitor-service-role-permissions)
+ [SiteWise 监控器的服务角色权限（AI 感知）](#monitor-ai-service-role-permissions)
+ [管理 SiteWise 监控服务角色（控制台）](#manage-portal-role-console)
+ [查找门户的服务角色（控制台）](#find-portal-role-console)
+ [创建 SiteWise 监控服务角色（AWS IoT SiteWise 控制台）](#create-portal-role-sitewise-console)
+ [创建 SiteWise 监控服务角色（IAM 控制台）](#create-portal-role-iam-console)
+ [更改门户的服务角色（控制台）](#change-portal-role-console)
+ [管理 SiteWise 监控服务角色 (CLI)](#manage-portal-role-cli)
+ [查找门户的服务角色（CLI）](#find-portal-role-cli)
+ [创建 SiteWise 监控服务角色 (CLI)](#create-portal-role-cli)
+ [SiteWise 监控更新 AWSIo TSite WiseMonitorServiceRole](#monitor-role-permission-updates)
## SiteWise 监控器（经典）的服务角色权限
创建门户时， AWS IoT SiteWise 允许您创建名称以开头的角色**AWSIoTSiteWiseMonitorServiceRole**。此角色允许联合 SiteWise 监视器用户访问您的门户配置、资产、资产数据以及 IAM Identity Center 配置。
该角色信任以下服务来代入角色：
+ `monitor.iotsitewise.amazonaws.com`
该角色使用以下权限策略（开头为）**AWSIoTSiteWiseMonitorServicePortalPolicy**，以允许 M SiteWise onitor 用户对您账户中的资源完成操作。[AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess) 托管策略定义等效权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iotsitewise:DescribePortal",
"iotsitewise:CreateProject",
"iotsitewise:DescribeProject",
"iotsitewise:UpdateProject",
"iotsitewise:DeleteProject",
"iotsitewise:ListProjects",
"iotsitewise:BatchAssociateProjectAssets",
"iotsitewise:BatchDisassociateProjectAssets",
"iotsitewise:ListProjectAssets",
"iotsitewise:CreateDashboard",
"iotsitewise:DescribeDashboard",
"iotsitewise:UpdateDashboard",
"iotsitewise:DeleteDashboard",
"iotsitewise:ListDashboards",
"iotsitewise:CreateAccessPolicy",
"iotsitewise:DescribeAccessPolicy",
"iotsitewise:UpdateAccessPolicy",
"iotsitewise:DeleteAccessPolicy",
"iotsitewise:ListAccessPolicies",
"iotsitewise:DescribeAsset",
"iotsitewise:ListAssets",
"iotsitewise:ListAssociatedAssets",
"iotsitewise:DescribeAssetProperty",
"iotsitewise:GetAssetPropertyValue",
"iotsitewise:GetAssetPropertyValueHistory",
"iotsitewise:GetAssetPropertyAggregates",
"iotsitewise:BatchPutAssetPropertyValue",
"iotsitewise:ListAssetRelationships",
"iotsitewise:DescribeAssetModel",
"iotsitewise:ListAssetModels",
"iotsitewise:UpdateAssetModel",
"iotsitewise:UpdateAssetModelPropertyRouting",
"sso-directory:DescribeUsers",
"sso-directory:DescribeUser",
"iotevents:DescribeAlarmModel",
"iotevents:ListTagsForResource"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iotevents:BatchAcknowledgeAlarm",
"iotevents:BatchSnoozeAlarm",
"iotevents:BatchEnableAlarm",
"iotevents:BatchDisableAlarm"
],
"Resource": "*",
"Condition": {
"Null": {
"iotevents:keyValue": "false"
}
}
},
{
"Effect": "Allow",
"Action": [
"iotevents:CreateAlarmModel",
"iotevents:TagResource"
],
"Resource": "*",
"Condition": {
"Null": {
"aws:RequestTag/iotsitewisemonitor": "false"
}
}
},
{
"Effect": "Allow",
"Action": [
"iotevents:UpdateAlarmModel",
"iotevents:DeleteAlarmModel"
],
"Resource": "*",
"Condition": {
"Null": {
"aws:ResourceTag/iotsitewisemonitor": "false"
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"iotevents.amazonaws.com"
]
}
}
}
]
}
```
------
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iotsitewise:CreateProject",
"iotsitewise:DescribeProject",
"iotsitewise:UpdateProject",
"iotsitewise:DeleteProject",
"iotsitewise:ListProjects",
"iotsitewise:BatchAssociateProjectAssets",
"iotsitewise:BatchDisassociateProjectAssets",
"iotsitewise:ListProjectAssets",
"iotsitewise:CreateDashboard",
"iotsitewise:DescribeDashboard",
"iotsitewise:UpdateDashboard",
"iotsitewise:DeleteDashboard",
"iotsitewise:ListDashboards",
"iotsitewise:CreateAccessPolicy",
"iotsitewise:DescribeAccessPolicy",
"iotsitewise:UpdateAccessPolicy",
"iotsitewise:DeleteAccessPolicy",
"iotsitewise:ListAccessPolicies",
"iotsitewise:DescribeAsset",
"iotsitewise:ListAssets",
"iotsitewise:ListAssociatedAssets",
"iotsitewise:DescribeAssetProperty",
"iotsitewise:GetAssetPropertyValue",
"iotsitewise:GetAssetPropertyValueHistory",
"iotsitewise:GetAssetPropertyAggregates"
],
"Resource": "*"
}
]
}
```
------
有关警报所需权限的更多信息，请参阅 [在中设置事件警报的权限 AWS IoT SiteWise](alarms-iam-permissions.md)。
当门户用户登录时，M SiteWise onitor [会根据服务角色与该用户的访问策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)的交叉点创建会话策略。访问策略定义 身份对门户和项目的访问级别。有关门户权限和访问策略的更多信息，请参阅[管理您的 SiteWise 监控器门户](administer-portals.md)和[CreateAccessPolicy](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_CreateAccessPolicy.html)。
## SiteWise 监控器的服务角色权限（AI 感知）
创建门户时， AWS IoT SiteWise 允许您创建一个名称以 **Io** 开头的角色TSiteWisePortalRole。此角色允许联合 SiteWise 监视器用户访问您的门户配置、资产、资产数据以及 IAM Identity Center 配置。
**警告**
SiteWise 监视器（AI 感知）不支持@@ **项目所有者和****项目查看**者角色。
该角色信任以下服务来代入角色：
+ `monitor.iotsitewise.amazonaws.com`
该角色使用以下以 **Io TSite Wise** 开头的权限策略 AIPortalAccessPolicy，以允许 M SiteWise onitor 用户完成对您账户中的资源的操作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iotsitewise:CreateProject",
"iotsitewise:DescribePortal",
"iotsitewise:ListProjects",
"iotsitewise:DescribeProject",
"iotsitewise:UpdateProject",
"iotsitewise:DeleteProject",
"iotsitewise:CreateDashboard",
"iotsitewise:DescribeDashboard",
"iotsitewise:UpdateDashboard",
"iotsitewise:DeleteDashboard",
"iotsitewise:ListDashboards",
"iotsitewise:ListAssets",
"iotsitewise:DescribeAsset",
"iotsitewise:ListAssociatedAssets",
"iotsitewise:ListAssetProperties",
"iotsitewise:DescribeAssetProperty",
"iotsitewise:GetAssetPropertyValue",
"iotsitewise:GetAssetPropertyValueHistory",
"iotsitewise:GetAssetPropertyAggregates",
"iotsitewise:GetInterpolatedAssetPropertyValues",
"iotsitewise:BatchGetAssetPropertyAggregates",
"iotsitewise:BatchGetAssetPropertyValue",
"iotsitewise:BatchGetAssetPropertyValueHistory",
"iotsitewise:ListAssetRelationships",
"iotsitewise:DescribeAssetModel",
"iotsitewise:ListAssetModels",
"iotsitewise:DescribeAssetCompositeModel",
"iotsitewise:DescribeAssetModelCompositeModel",
"iotsitewise:ListAssetModelProperties",
"iotsitewise:ExecuteQuery",
"iotsitewise:ListTimeSeries",
"iotsitewise:DescribeTimeSeries",
"iotsitewise:InvokeAssistant",
"iotsitewise:DescribeDataset",
"iotsitewise:ListDatasets",
"iotevents:DescribeAlarmModel",
"iotevents:ListTagsForResource",
"iottwinmaker:ListWorkspaces",
"iottwinmaker:ExecuteQuery",
"iottwinmaker:GetWorkspace",
"identitystore:DescribeUser"
],
"Resource": "*"
}
]
}
```
------
当门户用户登录时，M SiteWise onitor [会根据服务角色与该用户的访问策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)的交叉点创建会话策略。
## 管理 SiteWise 监控服务角色（控制台）
AWS IoT SiteWise 控制台 便于管理门户的 SiteWise 监控服务角色。创建门户后，控制台会检查是否存在适合附加到该门户的现有角色。如果没有可用的角色，则控制台可以为您创建和配置服务角色。有关更多信息，请参阅 [在 Monito SiteWise r 中创建入口](monitor-create-portal.md)。
**Topics**
+ [查找门户的服务角色（控制台）](#find-portal-role-console)
+ [创建 SiteWise 监控服务角色（AWS IoT SiteWise 控制台）](#create-portal-role-sitewise-console)
+ [创建 SiteWise 监控服务角色（IAM 控制台）](#create-portal-role-iam-console)
+ [更改门户的服务角色（控制台）](#change-portal-role-console)
### 查找门户的服务角色（控制台）
使用以下步骤查找附加到 SiteWise 监控器门户的服务角色。
**查找门户的服务角色**
1. 导航至 [AWS IoT SiteWise 控制台](https://console.aws.amazon.com/iotsitewise/)。
1. 在左侧导航窗格中，选择 **门户**。
1. 选择要查找其服务角色的门户。
附加到门户的角色显示在**权限**、**服务角色** 下。
### 创建 SiteWise 监控服务角色（AWS IoT SiteWise 控制台）
创建 M SiteWise onitor 门户时，可以为门户创建服务角色。有关更多信息，请参阅 [在 Monito SiteWise r 中创建入口](monitor-create-portal.md)。
您也可以在 AWS IoT SiteWise 控制台中为现有门户创建服务角色。这将取代门户的现有服务角色。
**为现有门户创建服务角色**
1. 导航至 [AWS IoT SiteWise 控制台](https://console.aws.amazon.com/iotsitewise/)。
1. 在导航窗格中，选择 **门户**。
1. 选择要为其创建新服务角色的门户。
1. 在**门户详细信息**下，选择**编辑**。
1. 在**权限**下，从列表中选择**创建和使用新的服务角色**。
1. 输入新角色的名称。
1. 选择**保存**。
### 创建 SiteWise 监控服务角色（IAM 控制台）
您可以在 IAM 控制台中从服务角色模板创建服务角色。此角色模板包括[AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess)托管策略，并将 Monito SiteWise r 指定为可信实体。
**通过门户服务角色模板创建服务角色**
1. 导航到 [IAM 控制台](https://console.aws.amazon.com/iam/)。
1. 在导航窗格中，选择 **角色**。
1. 选择**创建角色**。
1. 在**选择用例**中，选择**物联网 SiteWise**。
1. 在**选择您的使用案例**中，选择 **IoT SiteWise Monitor - Portal**。
1. 选择**下一步: 权限**。
1. 选择**下一步: 标签**。
1. 选择**下一步：审核**。
1. 在**角色名称**中，输入新服务角色名称。
1. 选择**创建角色**。
### 更改门户的服务角色（控制台）
使用以下步骤为门户选择不同的 SiteWise 监控服务角色。
**更改门户的服务角色**
1. 导航至 [AWS IoT SiteWise 控制台](https://console.aws.amazon.com/iotsitewise/)。
1. 在导航窗格中，选择 **门户**。
1. 选择要更改其服务角色的门户。
1. 在**门户详细信息**下，选择**编辑**。
1. 在**权限**下，选择**使用现有角色**。
1. 选择要附加到此门户的现有角色。
1. 选择**保存**。
## 管理 SiteWise 监控服务角色 (CLI)
您可以将 AWS CLI 用于以下门户服务角色管理任务：
**Topics**
+ [查找门户的服务角色（CLI）](#find-portal-role-cli)
+ [创建 SiteWise 监控服务角色 (CLI)](#create-portal-role-cli)
### 查找门户的服务角色（CLI）
要查找附加到 SiteWise 监控器门户的服务角色，请运行以下命令列出当前区域中的所有门户。
```
aws iotsitewise list-portals
```
此操作将按照以下格式返回包含门户摘要的响应。
```
{
"portalSummaries": [
{
"id": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
"name": "WindFarmPortal",
"description": "A portal that contains wind farm projects for Example Corp.",
"roleArn": "arn:aws:iam::{{123456789012}}:role/service-role/{{role-name}}",
"startUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
"creationDate": "2020-02-04T23:01:52.90248068Z",
"lastUpdateDate": "2020-02-04T23:01:52.90248078Z"
}
]
}
```
如果您知道门户的 ID，也可以使用该[DescribePortal](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_DescribePortal.html)操作来查找门户的角色。
### 创建 SiteWise 监控服务角色 (CLI)
使用以下步骤创建新的 SiteWise 监控服务角色。
**创建 SiteWise 监控服务角色**
1. 使用允许 Monito SiteWise r 担任该角色的信任策略创建角色。此示例根据存储在 JSON 字符串中的信任策略创建名为 **MySiteWiseMonitorPortalRole** 的角色。
------
#### [ Linux, macOS, or Unix ]
```
aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document '{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "monitor.iotsitewise.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}'
```
------
#### [ Windows command prompt ]
```
aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"monitor.iotsitewise.amazonaws.com\"},\"Action\":\"sts:AssumeRole\"}]}"
```
------
1. 从输出中的角色元数据复制角色 ARN。创建门户时，您可以使用此 ARN 将角色与门户关联。有关创建门户的更多信息，请参阅 *AWS IoT SiteWise API 参考[CreatePortal](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_CreatePortal.html)*中的。
1.
1. 对于 SiteWise 监控器（经典）-将`AWSIoTSiteWiseMonitorPortalAccess`策略附加到角色，或附加定义等效权限的策略。
```
aws iam attach-role-policy --role-name MySiteWiseMonitorPortalRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess
```
1. 对于 SiteWise 监控器（AI 感知）-将`IoTSiteWiseAIPortalAccessPolicy`策略附加到角色，或附加定义等效权限的策略。例如，创建具有门户访问权限的策略。以下示例创建了一个名为的策略`MySiteWiseMonitorPortalAccess`。
```
aws iam create-policy \
--policy-name MySiteWiseMonitorPortalAccess \
--policy-document '{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iotsitewise:CreateProject",
"iotsitewise:DescribePortal",
"iotsitewise:ListProjects",
"iotsitewise:DescribeProject",
"iotsitewise:UpdateProject",
"iotsitewise:DeleteProject",
"iotsitewise:CreateDashboard",
"iotsitewise:DescribeDashboard",
"iotsitewise:UpdateDashboard",
"iotsitewise:DeleteDashboard",
"iotsitewise:ListDashboards",
"iotsitewise:ListAssets",
"iotsitewise:DescribeAsset",
"iotsitewise:ListAssociatedAssets",
"iotsitewise:ListAssetProperties",
"iotsitewise:DescribeAssetProperty",
"iotsitewise:GetAssetPropertyValue",
"iotsitewise:GetAssetPropertyValueHistory",
"iotsitewise:GetAssetPropertyAggregates",
"iotsitewise:GetInterpolatedAssetPropertyValues",
"iotsitewise:BatchGetAssetPropertyAggregates",
"iotsitewise:BatchGetAssetPropertyValue",
"iotsitewise:BatchGetAssetPropertyValueHistory",
"iotsitewise:ListAssetRelationships",
"iotsitewise:DescribeAssetModel",
"iotsitewise:ListAssetModels",
"iotsitewise:DescribeAssetCompositeModel",
"iotsitewise:DescribeAssetModelCompositeModel",
"iotsitewise:ListAssetModelProperties",
"iotsitewise:ExecuteQuery",
"iotsitewise:ListTimeSeries",
"iotsitewise:DescribeTimeSeries",
"iotsitewise:InvokeAssistant",
"iotsitewise:DescribeDataset",
"iotsitewise:ListDatasets",
"iotevents:DescribeAlarmModel",
"iotevents:ListTagsForResource",
"iottwinmaker:ListWorkspaces",
"iottwinmaker:ExecuteQuery",
"iottwinmaker:GetWorkspace",
"identitystore:DescribeUser"
],
"Resource": "*"
}
]
}'
```
**将服务角色附加到现有门户**
1. 要检索门户的现有详细信息，请运行以下命令。{{portal-id}}替换为门户的 ID。
```
aws iotsitewise describe-portal --portal-id {{portal-id}}
```
该操作返回一个响应，其中包含如下格式的门户详细信息。
```
{
"portalId": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
"portalArn": "arn:aws:iotsitewise:{{region}}:{{account-id}}:portal/a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
"portalName": "WindFarmPortal",
"portalDescription": "A portal that contains wind farm projects for Example Corp.",
"portalClientId": "E-1a2b3c4d5e6f_sn6tbqHVzLWVEXAMPLE",
"portalStartUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
"portalContactEmail": "support@example.com",
"portalStatus": {
"state": "ACTIVE"
},
"portalCreationDate": "2020-04-29T23:01:52.90248068Z",
"portalLastUpdateDate": "2020-04-29T00:28:26.103548287Z",
"roleArn": "arn:aws:iam::123456789012:role/service-role/AWSIoTSiteWiseMonitorServiceRole_1aEXAMPLE"
}
```
1. 要将服务角色附加到门户，请运行以下命令。{{role-arn}}替换为服务角色 ARN，并将剩余参数替换为门户的现有值。
```
aws iotsitewise update-portal \
--portal-id {{portal-id}} \
--role-arn {{role-arn}} \
--portal-name {{portal-name}} \
--portal-description {{portal-description}} \
--portal-contact-email {{portal-contact-email}}
```
## SiteWise 监控更新 AWSIo TSite WiseMonitorServiceRole
您可以查看有关 for M SiteWise onit **AWSIoTSiteWiseMonitorServiceRole**or 更新的详细信息，从该服务开始跟踪更改时开始。要获得有关此页面变更的自动提醒，请订阅 “ AWS IoT SiteWise 文档历史记录” 页面上的 RSS feed。
| 更改 | 描述 | 日期 |
| --- | --- | --- |
| [AWSIoTSiteWiseMonitorPortalAccess](#monitor-service-role-permissions) - 更新的策略 | AWS IoT SiteWise 更新了警报功能的[AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess)托管策略。 | 2021 年 5 月 27 日 |
| AWS IoT SiteWise 开始跟踪更改 | AWS IoT SiteWise 开始跟踪其服务角色的变化。 | 2020 年 12 月 15 日 |