Vytvoření a zřízení zařízení IoT Edge v Linuxu pomocí certifikátů X.509

Bezplatné nebo standardní centrum IoT ve vašem předplatném Azure.

• Bezplatné nebo standardní centrum IoT ve vašem předplatném Azure
• Visual Studio Code
• Rozšíření Azure IoT Edge Nástroje Azure IoT Edge pro rozšíření Visual Studio Code jsou v režimu údržby.
• Rozšíření Azure IoT Hubu

• Bezplatné nebo standardní centrum IoT ve vašem předplatném Azure

• Azure CLI ve vašem prostředí

  Minimálně vaše verze Azure CLI musí být 2.0.70 nebo novější. Ke kontrole použijte příkaz az --version. Tato verze podporuje az příkazy rozšíření a zavádí architekturu příkazů Knack.

V centru IoT na webu Azure Portal se zařízení IoT Edge vytvářejí a spravují odděleně od zařízení IoT, která nejsou povolená hraniční zařízení.

1. Přihlaste se k webu Azure Portal a přejděte do centra IoT.

2. V levém podokně vyberte v nabídce zařízení a pak vyberte Přidat zařízení.

3. Na stránce Vytvořit zařízení zadejte následující informace:

   • Vytvořte popisné ID zařízení. Poznamenejte si toto ID zařízení, jak ho použijete později.
   • Zaškrtněte políčko Zařízení IoT Edge.
   • Jako typ ověřování vyberte X.509 podepsané svým držitelem .
   • Zadejte kryptografické otisky primárního a sekundárního certifikátu identity. Hodnoty kryptografického otisku jsou 40 šestnáctkové znaky pro hodnoty hash SHA-1 nebo 64 šestnáctkové znaky pro hodnoty hash SHA-256. Azure Portal podporuje pouze šestnáctkové hodnoty. Před zadáním na portál odeberte oddělovače sloupců a mezery z hodnot kryptografického otisku. Například D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 je zadán jako D268D9049F1A4D6AFD8477687BC633C032375112.

   Tip

   Pokud testujete a chcete použít jeden certifikát, můžete použít stejný certifikát pro primární i sekundární kryptografické otisky.

4. Zvolte Uložit.

Rozšíření Azure IoT pro Visual Studio Code v současné době nepodporuje registraci zařízení s certifikáty X.509.

Pomocí příkazu az iot hub device-identity create vytvořte novou identitu zařízení ve službě IoT Hub. Příklad:

az iot hub device-identity create --device-id <device_id_here> --hub-name <hub_name_here> --edge-enabled --auth-method x509_thumbprint --primary-thumbprint <primary_SHA_thumbprint_here> --secondary-thumbprint <secondary_SHA_thumbprint_here>

Tento příkaz obsahuje několik parametrů:

• --device-id nebo -d: Zadejte popisný název, který je jedinečný pro vaše centrum IoT. Poznamenejte si toto ID zařízení, protože ho použijete v další části.
• hub-name nebo -n: Zadejte název ioT Hubu.
• --edge-enabled nebo --ee: Deklarujte, že se jedná o zařízení IoT Edge.
• --auth-method nebo --am: Deklarujte typ autorizace, který bude zařízení používat. V tomto případě používáme kryptografické otisky certifikátu X.509.
• --primary-thumbprint nebo --ptp: Zadejte kryptografický otisk certifikátu X.509, který se použije jako primární klíč. Podporují se pouze šestnáctkové hodnoty. Odeberte oddělovače sloupců a mezery z hodnoty kryptografického otisku. Například D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 je zadán jako D268D9049F1A4D6AFD8477687BC633C032375112.
• --secondary-thumbprint nebo --stp: Zadejte kryptografický otisk certifikátu X.509, který se použije jako sekundární klíč. Odeberte oddělovače sloupců a mezery z hodnoty kryptografického otisku. Pokud testujete a chcete použít jeden certifikát, můžete použít stejný certifikát pro primární i sekundární kryptografické otisky.

Hraniční zařízení, která se připojují k centru IoT, jsou uvedená na stránce Zařízení . Seznam můžete filtrovat podle typu zařízení IoT Edge.

I když není k dispozici žádná podpora registrace zařízení s certifikáty X.509 prostřednictvím editoru Visual Studio Code, můžete si zařízení IoT Edge zobrazit, pokud potřebujete.

Všechna zařízení, která se připojují k centru IoT, jsou uvedená v části Azure IoT Hub v Průzkumníku editoru Visual Studio Code. Zařízení IoT Edge se liší od jiných zařízení než Edge s jinou ikonou a skutečností, že se na každé zařízení IoT Edge nasazují moduly $edgeAgent a $edgeHub .

Pomocí příkazu az iot hub device-identity list zobrazte všechna zařízení ve službě IoT Hub. Příklad:

az iot hub device-identity list --hub-name <hub_name_here>

Jakékoli zařízení zaregistrované jako zařízení IoT Edge má vlastnost capabilities.iotEdge nastavenou na hodnotu true.

Instalaci je možné provést několika příkazy. Otevřete terminál a spusťte následující příkazy:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

Instalace pomocí APT se dá provést několika příkazy. Otevřete terminál a spusťte následující příkazy:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

Instalaci je možné provést několika příkazy. Otevřete terminál a spusťte následující příkazy:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Modul runtime IoT Edge nainstalujete z úložiště snapů v pozdějším kroku. Pokračujte k další části.

Nainstalujte modul Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Nainstalujte modul Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Nainstalujte modul Moby a rozhraní příkazového řádku.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge má závislosti na Dockeru a službě ioT Identity Service. Pomocí následujících příkazů nainstalujte závislosti:

sudo snap install docker
sudo snap install azure-iot-identity

Modul snap Dockeru obsluhuje Canonical a podporuje se v produkčních scénářích.

1. Vytvoření nebo úprava konfiguračního souboru existujícího procesu démona Dockeru

   sudo nano /etc/docker/daemon.json
   

2. Nastavte výchozí ovladač protokolování na local ovladač protokolování, jak je znázorněno v příkladu.

      {
         "log-driver": "local"
      }
   

3. Restartujte modul kontejneru, aby se změny projevily.

   sudo systemctl restart docker
   

V současné době se místní nastavení ovladače protokolování pro modul snap Docker nepodporuje.

Nainstalujte nejnovější verzi IoT Edge a balíček služby identit IoT (pokud ještě nejste aktuální):

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Volitelný defender-iot-micro-agent-edge balíček zahrnuje mikro-agenta zabezpečení v programu Microsoft Defender for IoT, který poskytuje přehled o správě stavu zabezpečení, ohrožení zabezpečení, detekci hrozeb, správě vozového parku a další prvky, které vám pomůžou zabezpečit vaše zařízení IoT Edge. Doporučujeme nainstalovat mikro agenta s agentem Edge, abyste umožnili monitorování zabezpečení a posílení zabezpečení zařízení Edge. Další informace o programu Microsoft Defender for IoT najdete v tématu Co je Microsoft Defender for IoT pro tvůrce zařízení.

Nainstalujte nejnovější verzi IoT Edge a balíček služby identit IoT (pokud ještě nejste aktuální):

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Volitelný balíček Defender-iot-micro-agent-edge zahrnuje mikro-agenta zabezpečení v programu Microsoft Defender for IoT, který poskytuje přehled o správě stavu zabezpečení, ohrožení zabezpečení, detekci hrozeb, správě vozového parku a další služby, které vám pomůžou zabezpečit vaše zařízení IoT Edge. Doporučujeme nainstalovat mikro agenta s agentem Edge, abyste umožnili monitorování zabezpečení a posílení zabezpečení zařízení Edge. Další informace o programu Microsoft Defender for IoT najdete v tématu Co je Microsoft Defender for IoT pro tvůrce zařízení.

Nainstalujte nejnovější verzi IoT Edge a balíček služby identit IoT (pokud ještě nejste aktuální):

sudo yum install aziot-edge

Nainstalujte IoT Edge z úložiště snapů:

sudo snap install azure-iot-edge

Připojení přichycení

Ve výchozím nastavení jsou snímky bez závislostí, nedůvěryhodné a přísně omezené. Proto musí být po instalaci připojené k dalším přichycením a systémovým prostředkům. Pomocí následujících příkazů připojte službu IoT Identity Service a IoT Edge k sobě navzájem a k systémovým prostředkům. Abyste mohli začít, musí být snímky připojené ručně. U produkčních nasazení je možné je nakonfigurovat tak, aby se automaticky připojily, aby se snížily úlohy zřizování.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

1. Vytvořte konfigurační soubor pro vaše zařízení na základě souboru šablony, který je součástí instalace IoT Edge.

   sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml
   

2. Na zařízení IoT Edge otevřete konfigurační soubor.

   sudo nano /etc/aziot/config.toml
   

3. Vyhledejte část Zřizování souboru a odkomentujte řádky pro ruční zřizování pomocí certifikátu identity X.509. Ujistěte se, že jsou všechny ostatní oddíly zřizování okomentované.

   # Manual provisioning with x.509 certificates
   [provisioning]
   source = "manual"
   iothub_hostname = "REQUIRED_IOTHUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   method = "x509"
   
   identity_cert = "REQUIRED_URI_OR_POINTER_TO_DEVICE_IDENTITY_CERTIFICATE"
   
   identity_pk = "REQUIRED_URI_TO_DEVICE_IDENTITY_PRIVATE_KEY"
   

Aktualizujte následující pole:

• iothub_hostname: Název hostitele ioT Hubu, ke které se zařízení připojuje. Například {IoT hub name}.azure-devices.net.
• device_id: ID, které jste zadali při registraci zařízení.
• identity_cert: Identifikátor URI certifikátu identity v zařízení, například: file:///path/identity_certificate.pem. Nebo dynamicky vydávat certifikát pomocí EST nebo místní certifikační autority.
• identity_pk: Identifikátor URI k souboru privátního klíče poskytnutého certifikátu identity, například: file:///path/identity_key.pem. Nebo zadejte identifikátor URI PKCS#11 a potom zadejte informace o konfiguraci v souboru .

Část PKCS#11 dále v konfiguračním souboru.

Další informace o certifikátech najdete v tématu Správa certifikátů IoT Edge.

Soubor uložte a zavřete.

CTRL + X, , YEnter

Po zadání informací o zřizování v konfiguračním souboru použijte změny:

sudo iotedge config apply

1. Zkopírujte soubor klíčů identity a certifikát v /var/snap/azure-iot-identity/current/shared adresáři. Pokud adresář neexistuje, vytvořte ho.

2. Ve svém domovském adresáři vytvořte soubor config.toml a nakonfigurujte zařízení IoT Edge pro ruční zřizování pomocí certifikátu identity X.509.

   sudo nano ~/config.toml
   

3. Pomocí certifikátu X.509 můžete ručně zřídit přidáním následujícího nastavení zřizování do souboru:

   [provisioning]
   source = "manual"
   iothub_hostname = "IOT_HUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   
   method = "x509"
   identity_cert = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_CERT_FILENAME"
   identity_pk = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_PK_FILENAME"
   

   Aktualizujte následující pole:

   • iothub_hostname: Název hostitele ioT Hubu, kde se zařízení připojuje. Například example.azure-devices.net.
   • device_id: ID, které jste zadali při registraci zařízení.
   • identity_cert: Identifikátor URI certifikátu identity v zařízení, například: file:///var/snap/azure-iot-identity/current/shared/identity_certificate.pem.
   • identity_pk: Identifikátor URI k souboru privátního klíče poskytnutého certifikátu identity, například: file:///var/snap/azure-iot-identity/current/shared/identity_key.pem.

   Další informace o zřizování nastavení konfigurace najdete v tématu Konfigurace nastavení zařízení IoT Edge.

4. Soubor uložte a zavřete.

   CTRL + X, , YEnter

5. Pomocí následujícího příkazu nastavte konfiguraci pro IoT Edge a službu identit:

   sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"
   

sudo apt-get autoremove --purge aziot-edge

Pokud plánujete přeinstalovat IoT Edge a používat stejné konfigurační informace v budoucnu, ponechte --purge příznak. Příznaky --purge odstraní všechny soubory přidružené k IoT Edge, včetně vašich konfiguračních souborů.

sudo yum remove aziot-edge

Odeberte modul runtime IoT Edge:

sudo snap remove azure-iot-edge

Odebrání služby Azure Identity Service:

sudo snap remove azure-iot-identity

sudo apt-get autoremove --purge moby-engine

sudo yum remove moby-cli
sudo yum remove moby-engine

sudo snap remove docker

Další kroky

Pokračujte v nasazování modulů IoT Edge a zjistěte, jak do zařízení nasadit moduly.