Vytváření a zřizování zařízení IoT Edge ve velkém měřítku pomocí čipu TPM v Linuxu

Platí pro: IoT Edge 1.5 IoT Edge 1.4

Tento článek obsahuje pokyny k automatickému zřízení azure IoT Edge pro zařízení s Linuxem pomocí čipu TPM (Trusted Platform Module). Zařízení IoT Edge můžete automaticky zřizovat pomocí služby zřizování zařízení Azure IoT Hubu. Pokud neznáte proces automatického zřizování, než budete pokračovat, projděte si přehled zřizování.

Tento článek popisuje dvě metodologie. Vyberte svoji předvolbu na základě architektury vašeho řešení:

• Automatické zřízení zařízení s Linuxem pomocí fyzického hardwaru TPM
• Automatické zřízení virtuálního počítače s Linuxem se simulovaným čipem TPM běžícím na vývojovém počítači s Windows s povolenou technologií Hyper-V. Tuto metodologii doporučujeme používat pouze jako testovací scénář. Simulovaný čip TPM nenabízí stejné zabezpečení jako fyzický čip TPM.

Pokyny se liší podle vaší metodologie, takže se ujistěte, že jste na správné kartě.

Požadavky

Cloudové prostředky

• Aktivní centrum IoT
• Instance služby IoT Hub device Provisioning v Azure propojená s centrem IoT
  • Pokud nemáte instanci služby zřizování zařízení, můžete postupovat podle pokynů v rychlém startu vytvoření nové služby zřizování zařízení ioT Hubu a propojení centra IoT a oddílů služby zřizování zařízení ve službě IoT Hub.
  • Po spuštění služby device provisioning zkopírujte hodnotu Oboru ID ze stránky přehledu. Tuto hodnotu použijete při konfiguraci modulu runtime IoT Edge.

Požadavky na zařízení

Nastavte své zařízení

Načtení informací o zřizování pro tpm

V této části použijete softwarové nástroje TPM2 k načtení ověřovacího klíče pro čip TPM a vygenerování jedinečného ID registrace. Tato část odpovídá kroku 3: Zařízení má v procesu nainstalován firmware a software pro integraci čipu TPM do výrobního procesu.

Instalace nástrojů TPM2

Přihlaste se ke svému zařízení a nainstalujte tpm2-tools balíček.

sudo apt-get install tpm2-tools

sudo yum install tpm2-tools

sudo snap install tpm2-tools

Spuštěním následujícího skriptu si přečtěte ověřovací klíč a vytvořte ho, pokud ještě neexistuje.

#!/bin/sh
if [ "$USER" != "root" ]; then
  SUDO="sudo "
fi

$SUDO tpm2_readpublic -Q -c 0x81010001 -o ek.pub 2> /dev/null
if [ $? -gt 0 ]; then
  # Create the endorsement key (EK)
  $SUDO tpm2_createek -c 0x81010001 -G rsa -u ek.pub

  # Create the storage root key (SRK)
  $SUDO tpm2_createprimary -Q -C o -c srk.ctx > /dev/null

  # make the SRK persistent
  $SUDO tpm2_evictcontrol -c srk.ctx 0x81000001 > /dev/null

  # open transient handle space for the TPM
  $SUDO tpm2_flushcontext -t > /dev/null
fi

printf "Gathering the registration information...\n\nRegistration Id:\n%s\n\nEndorsement Key:\n%s\n" $(sha256sum -b ek.pub | cut -d' ' -f1 | sed -e 's/[^[:alnum:]]//g') $(base64 -w0 ek.pub)
$SUDO rm ek.pub srk.ctx 2> /dev/null

V okně výstupu se zobrazí ověřovací klíč zařízení a jedinečné ID registrace. Tyto hodnoty zkopírujte pro pozdější použití při vytváření individuální registrace zařízení ve službě zřizování zařízení.

Jakmile budete mít ID registrace a ověřovací klíč, můžete pokračovat.

Vytvoření registrace služby zřizování zařízení

Informace o zřizování čipu TPM slouží k vytvoření individuální registrace ve službě zřizování zařízení.

Při vytváření registrace ve službě zřizování zařízení máte možnost deklarovat počáteční stav dvojčete zařízení. Ve dvojčeti zařízení můžete nastavit značky pro seskupení zařízení podle libovolné metriky používané ve vašem řešení, jako je oblast, prostředí, umístění nebo typ zařízení. Tyto značky slouží k vytváření automatických nasazení.

1. Na webu Azure Portal přejděte do vaší instance služby IoT Hub device Provisioning.

2. V části Nastavení vyberte Spravovat registrace.

3. Vyberte Přidat jednotlivé registrace a pak proveďte následující kroky a nakonfigurujte registraci:

   1. V případě mechanismu vyberte TPM.

   2. Zadejte ověřovací klíč a ID registrace, které jste zkopírovali z virtuálního počítače nebo fyzického zařízení.

   3. Pokud chcete, zadejte ID zařízení. Pokud nezadáte ID zařízení, použije se ID registrace.

   4. Výběrem možnosti True deklarujte, že virtuální počítač nebo fyzické zařízení je zařízení IoT Edge.

   5. Zvolte propojené centrum IoT, ke kterému chcete zařízení připojit, nebo vyberte Propojit s novým IoT Hubem. Můžete zvolit více rozbočovačů a zařízení se přiřadí k jednomu z nich podle vybraných zásad přiřazení.

   6. Pokud chcete, přidejte hodnotu značky do stavu počátečního dvojčete zařízení. Značky můžete použít k cílovým skupinám zařízení pro nasazení modulu. Další informace najdete v tématu Nasazení modulů IoT Edge ve velkém měřítku.

   7. Zvolte Uložit.

Teď, když pro toto zařízení existuje registrace, může modul runtime IoT Edge během instalace zařízení automaticky zřídit.

Instalace IoT Edge

V této části připravíte virtuální počítač s Linuxem nebo fyzické zařízení pro IoT Edge. Pak nainstalujete IoT Edge.

Spuštěním následujících příkazů přidejte úložiště balíčků a potom přidejte podpisový klíč balíčku Microsoftu do seznamu důvěryhodných klíčů.

Další informace o verzích operačního systému najdete na podporovaných platformách Azure IoT Edge.

Instalace modulu kontejneru

Azure IoT Edge spoléhá na modul runtime kontejneru kompatibilní s OCI. Pro produkční scénáře doporučujeme použít modul Moby. Modul Moby je kontejnerový modul oficiálně podporovaný službou IoT Edge. Image kontejnerů Dockeru CE/EE jsou kompatibilní s modulem runtime Moby. Pokud používáte moduly snaps Ubuntu Core, bude modul snap Dockeru obsluhován canonical a podporován pro produkční scénáře.

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

sudo snap install docker
sudo snap install azure-iot-identity

Ve výchozím nastavení modul kontejneru nenastavuje limity velikosti protokolu kontejneru. Časem to může vést k zaplnění zařízení protokoly a vyčerpání místa na disku. Protokol ale můžete nakonfigurovat tak, aby se zobrazoval místně, i když je volitelný. Další informace o konfiguraci protokolování najdete v kontrolním seznamu produkčního nasazení.

Následující kroky ukazují, jak nakonfigurovat kontejner tak, aby jako mechanismus protokolování používal local ovladač protokolování.

Instalace modulu runtime IoT Edge

Služba IoT Edge poskytuje a udržuje standardy zabezpečení na zařízení IoT Edge. Služba se spustí při každém spuštění a spuštění zařízení spuštěním zbytku modulu runtime IoT Edge.

Kroky v této části představují typický proces instalace nejnovější verze IoT Edge na zařízení s připojením k internetu. Pokud potřebujete nainstalovat konkrétní verzi, jako je předběžná verze, nebo je potřeba ji nainstalovat offline, postupujte podle pokynů pro offline nebo konkrétní instalaci verze dále v tomto článku.

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

sudo yum install aziot-edge

sudo snap install azure-iot-edge

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

Zřízení zařízení s využitím cloudové identity

Po instalaci modulu runtime na zařízení nakonfigurujte zařízení s informacemi, které používá pro připojení ke službě zřizování zařízení a ioT Hubu.

Seznamte se s oborem ID služby zřizování zařízení a ID registrace zařízení, které jste shromáždili dříve.

Vytvořte konfigurační soubor pro vaše zařízení na základě souboru šablony, který je součástí instalace IoT Edge.

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

sudo nano /etc/aziot/config.toml

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

nano ~/config.toml

1. Vyhledejte část konfigurace zřizování souboru. Odkomentujte řádky pro zřizování TPM a ujistěte se, že jsou všechny ostatní řádky zřizování okomentované.

   # DPS provisioning with TPM
   [provisioning]
   source = "dps"
   global_endpoint = "https://global.azure-devices-provisioning.net"
   id_scope = "DPS_ID_SCOPE_HERE"
   
   # Uncomment to send a custom payload during DPS registration
   # payload = { uri = "PATH_TO_JSON_FILE" }
   
   [provisioning.attestation]
   method = "tpm"
   registration_id = "REGISTRATION_ID_HERE"
   
   # auto_reprovisioning_mode = Dynamic
   

2. Aktualizujte hodnoty id_scope registration_id služby zřizování zařízení a informací o zařízení. Hodnota scope_id je obor ID ze stránky přehledu instance služby zřizování zařízení.

   Další informace o zřizování nastavení konfigurace najdete v tématu Konfigurace nastavení zařízení IoT Edge.

3. Volitelně můžete najít část režimu automatického opětovného zřízení souboru. Pomocí parametru auto_reprovisioning_mode nakonfigurujte chování opětovného zřízení zařízení. Dynamické – opětovné zřízení, když zařízení zjistí, že mohlo být přesunuto z jednoho IoT Hubu do jiného. Tato možnost je výchozí. AlwaysOnStartup – Opětovné zřízení při restartování zařízení nebo chybové ukončení způsobí restartování démonů. OnErrorOnly – Automatické opětovné zřízení zařízení nikdy neaktivujte. Každý režim má implicitní opětovné zřízení zařízení, pokud se zařízení během zřizování identit nemůže připojit ke službě IoT Hub kvůli chybám připojení. Další informace najdete v tématu Koncepty opětovného zřízení zařízení ve službě IoT Hub.

4. Volitelně můžete odkomentovat payload parametr a zadat cestu k místnímu souboru JSON. Obsah souboru se odešle do DPS jako další data , když se zařízení zaregistruje. To je užitečné pro vlastní přidělení. Pokud například chcete přidělit zařízení na základě ID modelu technologie Plug and Play IoT bez zásahu člověka.

5. Soubor uložte a zavřete.

Udělení přístupu k čipu TPM službě IoT Edge

Modul runtime IoT Edge spoléhá na službu TPM, která zprostředkuje přístup k čipu TPM zařízení. Tato služba potřebuje přístup k čipu TPM, aby se zařízení automaticky zřídilo.

Přístup k čipu TPM můžete udělit přepsáním systémových nastavení tak, aby aziottpm služba získala kořenová oprávnění. Pokud nechcete zvýšit oprávnění služby, můžete k ručnímu poskytnutí přístupu pomocí čipu TPM použít také následující postup.

1. Vytvořte nové pravidlo, které dává modulu runtime IoT Edge přístup k tpm0 modulu runtime a tpmrm0.

   sudo touch /etc/udev/rules.d/tpmaccess.rules
   

2. Otevřete soubor pravidel.

   sudo nano /etc/udev/rules.d/tpmaccess.rules
   

3. Do souboru pravidel zkopírujte následující informace o přístupu. Na tpmrm0 zařízeních, která používají jádro starší než 4.12, nemusí být k dispozici. Zařízení, která toto pravidlo nemají tpmrm0 , budou toto pravidlo bezpečně ignorovat.

   # allow aziottpm access to tpm0 and tpmrm0
   KERNEL=="tpm0", SUBSYSTEM=="tpm", OWNER="aziottpm", MODE="0660"
   KERNEL=="tpmrm0", SUBSYSTEM=="tpmrm", OWNER="aziottpm", MODE="0660"
   

4. Uložte a ukončete soubor.

5. udev Aktivujte systém pro vyhodnocení nového pravidla.

   /bin/udevadm trigger --subsystem-match=tpm --subsystem-match=tpmrm
   

6. Ověřte, že se pravidlo úspěšně použilo.

   ls -l /dev/tpm*
   

   Úspěšný výstup se zobrazí takto:

   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpm0
   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpmrm0
   

   Pokud nevidíte, že se použila správná oprávnění, zkuste počítač restartovat a aktualizovat udev.

7. Použijte změny konfigurace, které jste provedli na zařízení.

   • Ubuntu / Debian / RHEL
   • Přichycení Ubuntu Core

   sudo iotedge config apply
   

Ověření úspěšné instalace

Pokud jste to ještě neudělali, použijte změny konfigurace, které jste provedli na zařízení.

sudo iotedge config apply

Zkontrolujte, jestli je spuštěný modul runtime IoT Edge.

sudo iotedge system status

Prozkoumejte protokoly démona.

sudo iotedge system logs

Pokud se zobrazí chyby zřizování, může se stát, že se změny konfigurace ještě neprojevily. Zkuste restartovat démon IoT Edge.

sudo systemctl daemon-reload

Nebo zkuste restartovat virtuální počítač, abyste zjistili, jestli se změny projeví na novém spuštění.

Pokud se modul runtime úspěšně spustil, můžete přejít do centra IoT a zjistit, že se vaše nové zařízení automaticky zřídilo. Teď je vaše zařízení připravené ke spuštění modulů IoT Edge.

Výpis spuštěných modulů

iotedge list

Můžete ověřit, že se použila jednotlivá registrace, kterou jste vytvořili ve službě zřizování zařízení. Na webu Azure Portal přejděte k instanci služby zřizování zařízení. Otevřete podrobnosti o registraci pro jednotlivou registraci, kterou jste vytvořili. Všimněte si, že se přiřadí stav registrace a zobrazí se ID zařízení.

Další kroky

Proces registrace služby Device Provisioning umožňuje nastavit ID zařízení a značky dvojčat zařízení současně se zřízením nového zařízení. Tyto hodnoty můžete použít k cílení na jednotlivá zařízení nebo skupiny zařízení pomocí automatické správy zařízení.

Naučte se nasazovat a monitorovat moduly IoT Edge ve velkém měřítku pomocí webu Azure Portal nebo Azure CLI.