Créer et approvisionner un appareil IoT Edge sur Linux avec des certificats X.509

Un hub IoT gratuit ou standard dans votre abonnement Azure.

• Un hub IoT gratuit ou standard dans votre abonnement Azure
• Visual Studio Code
• Extension Azure IoT Edge. L’extension Outils Azure IoT Edge pour Visual Studio Code est en mode maintenance.
• Extension Azure IoT Hub

• Un hub IoT gratuit ou standard dans votre abonnement Azure

• Azure CLI dans votre environnement

  Vous devez utiliser Azure CLI version 2.0.70 ou ultérieure. Utilisez az --version pour valider. Cette version prend en charge les commandes d’extension az et introduit l’infrastructure de commande Knack.

Dans votre hub IoT dans le portail Azure, les appareils IoT Edge sont créés et managés séparément des appareils IoT qui ne sont pas utilisés en périphérie.

1. Connectez-vous au portail Azure et accédez à votre IoT Hub.

2. Dans le volet de gauche, sélectionnez Appareils dans le menu, puis sélectionnez Ajouter un appareil.

3. Dans la page Créer un appareil, fournissez les informations suivantes :

   • Créez un ID d’appareil descriptif. Notez cet ID d’appareil pour pouvoir l’utiliser plus tard.
   • Cochez la case Appareil IoT Edge.
   • Sélectionnez X.509 autosigné comme type d’authentification.
   • Fournissez les empreintes numériques des certificats d’identité principal et secondaire. Les valeurs d’empreinte numérique sont constituées de 40 caractères hexadécimaux pour les hachages SHA-1 ou de 64 caractères hexadécimaux pour les hachages SHA-256. Le portail Azure prend uniquement en charge les valeurs hexadécimales. Supprimez les séparateurs de colonnes et les espaces des valeurs d’empreinte avant de les entrer dans le portail. Par exemple, D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 est entré sous la forme D268D9049F1A4D6AFD8477687BC633C032375112.

   Conseil

   Si vous testez et souhaitez utiliser un certificat, vous pouvez utiliser le même certificat pour les empreintes primaires et secondaires.

4. Sélectionnez Enregistrer.

Actuellement, l’extension Azure IoT pour Visual Studio Code ne prend pas en charge l’inscription des appareils avec des certificats X.509.

Utilisez la commande az iot hub device-identity create pour créer une identité d’appareil dans votre hub IoT. Par exemple :

az iot hub device-identity create --device-id <device_id_here> --hub-name <hub_name_here> --edge-enabled --auth-method x509_thumbprint --primary-thumbprint <primary_SHA_thumbprint_here> --secondary-thumbprint <secondary_SHA_thumbprint_here>

Cette commande comprend plusieurs paramètres :

• --device-id ou -d : fournissez un nom descriptif unique à votre hub IoT. Notez cet ID d’appareil, car vous en aurez besoin dans la prochaine section.
• hub-name ou -n : fournissez le nom de votre hub IoT.
• --edge-enabled ou --ee : déclarez que l’appareil est un appareil IoT Edge.
• --auth-method ou --am : déclarez le type d’autorisation que l’appareil utilisera. Ici, nous utilisons des empreintes numériques de certificat X.509.
• --primary-thumbprint ou --ptp : fournissez une empreinte de certificat X.509 à utiliser comme clé primaire. Seules les valeurs hexadécimales sont prises en charge. Supprimez les séparateurs de colonnes et les espaces de la valeur d’empreinte. Par exemple, D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 est entré sous la forme D268D9049F1A4D6AFD8477687BC633C032375112.
• --secondary-thumbprint ou --stp : fournissez une empreinte de certificat X.509 à utiliser comme clé secondaire. Supprimez les séparateurs de colonnes et les espaces de la valeur d’empreinte. Si vous testez et souhaitez utiliser un certificat, vous pouvez utiliser le même certificat pour les empreintes primaires et secondaires.

Les appareils compatibles avec Edge qui se connectent à votre hub IoT sont répertoriés dans la page Appareils. Vous pouvez filtrer la liste par type d’appareil Appareils IoT Edge.

L’inscription d’appareils avec des certificats X.509 n’est pas prise en charge via Visual Studio Code, mais vous pouvez toujours afficher vos appareils IoT Edge si besoin.

Tous les appareils qui se connectent à votre hub IoT sont listés dans la section Azure IoT Hub de l’Explorateur Visual Studio Code. Les appareils IoT Edge se distinguent des appareils non Edge par leur icône et par le fait que les modules $edgeAgent et $edgeHub sont développés sur chacun d’eux.

Utilisez la commande az iot hub device-identity list pour voir tous les appareils dans votre hub IoT. Par exemple :

az iot hub device-identity list --hub-name <hub_name_here>

Tout appareil inscrit en tant qu’appareil IoT Edge a la propriété capabilities.iotEdge définie sur true.

L’installation peut se faire avec quelques commandes. Ouvrez un terminal et exécutez les commandes suivantes :

• 22.04 :

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04 :

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

L’installation avec APT peut être effectuée à l’aide de quelques commandes. Ouvrez un terminal et exécutez les commandes suivantes :

• 11 - Bullseye (arm32v7) :

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

L’installation peut se faire avec quelques commandes. Ouvrez un terminal et exécutez les commandes suivantes :

• 9.x (amd64) :

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64) :

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Vous installez le runtime IoT Edge à partir du Snap Store dans une étape ultérieure. Passez à la section suivante.

Installez le moteur Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installez le moteur Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installez le moteur Moby et l’interface CLI.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge a des dépendances sur Docker et le service d’identité IoT. Installez les dépendances en utilisant les commandes suivantes :

sudo snap install docker
sudo snap install azure-iot-identity

Le snap Docker est géré par Canonical et pris en charge pour les scénarios de production.

1. Créez ou modifiez le fichier config existant du démon Docker

   sudo nano /etc/docker/daemon.json
   

2. Définissez le pilote de journalisation par défaut sur le pilote de journalisation local, comme indiqué dans l’exemple.

      {
         "log-driver": "local"
      }
   

3. Redémarrez le moteur de conteneur pour appliquer les changements.

   sudo systemctl restart docker
   

Actuellement, le paramètre de pilote de journalisation local n’est pas pris en charge pour le snap Docker.

Installez la dernière version d’IoT Edge et le package du service d’identité IoT (si vous n’êtes pas encore à jour) :

• 22.04 :

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04 :

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Le package defender-iot-micro-agent-edge facultatif inclut le micro-agent de sécurité Microsoft Defender pour IoT qui fournit une visibilité des points de terminaison sur la gestion de la posture de sécurité, les vulnérabilités, la détection des menaces, la gestion de la flotte et bien plus encore pour vous aider à sécuriser vos appareils IoT Edge. Il est recommandé d’installer le micro-agent avec l’agent Edge pour activer la supervision et le renforcement de la sécurité de vos appareils Edge. Pour en savoir plus sur Microsoft Defender pour IoT, consultez Présentation de Microsoft Defender pour IoT pour les générateurs d’appareils.

Installez la dernière version d’IoT Edge et le package du service d’identité IoT (si vous n’êtes pas encore à jour) :

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Le package defender-iot-micro-agent-edge facultatif inclut le micro-agent de sécurité Microsoft Defender pour IoT qui fournit une visibilité des points de terminaison sur la gestion de la posture de sécurité, les vulnérabilités, la détection des menaces, la gestion de la flotte et bien plus encore pour vous aider à sécuriser vos appareils IoT Edge. Il est recommandé d’installer le micro-agent avec l’agent Edge pour activer la supervision et le renforcement de la sécurité de vos appareils Edge. Pour en savoir plus sur Microsoft Defender pour IoT, consultez Présentation de Microsoft Defender pour IoT pour les générateurs d’appareils.

Installez la dernière version d’IoT Edge et le package du service d’identité IoT (si vous n’êtes pas encore à jour) :

sudo yum install aziot-edge

Installez IoT Edge à partir du Snap Store :

sudo snap install azure-iot-edge

Connecter des snaps

Par défaut, les snaps n’ont pas de dépendances, ne sont pas approuvés et sont strictement restreints. Par conséquent, les snaps doivent être connectés à d’autres snaps et à des ressources système après l’installation. Utilisez les commandes suivantes pour connecter le service d’identité IoT et les snaps IoT Edge entre eux et aux ressources système. Pour commencer, les snaps doivent être connectés manuellement. Pour les déploiements de production, ils peuvent être configurés pour se connecter automatiquement afin de réduire la charge de travail de provisionnement.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

1. Créez le fichier de configuration pour votre appareil à partir d’un fichier de modèle fourni dans le cadre de l’installation d’IoT Edge.

   sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml
   

2. Sur l’appareil IoT Edge, ouvrez le fichier de configuration.

   sudo nano /etc/aziot/config.toml
   

3. Recherchez la section Provisioning du fichier, et supprimez les marques de commentaire des lignes sur l’approvisionnement manuel avec un certificat d’identité X.509. Veillez à ajouter des marques de commentaire sur les autres sections de provisionnement.

   # Manual provisioning with x.509 certificates
   [provisioning]
   source = "manual"
   iothub_hostname = "REQUIRED_IOTHUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   method = "x509"
   
   identity_cert = "REQUIRED_URI_OR_POINTER_TO_DEVICE_IDENTITY_CERTIFICATE"
   
   identity_pk = "REQUIRED_URI_TO_DEVICE_IDENTITY_PRIVATE_KEY"
   

Mettez à jour les champs suivants :

• iothub_hostname : nom d’hôte de l’hub IoT auquel l’appareil doit se connecter. Par exemple : {IoT hub name}.azure-devices.net.
• device_id : ID que vous avez indiqué lors de l’inscription de l’appareil.
• identity_cert : URI d’un certificat d’identité sur l’appareil, par exemple : file:///path/identity_certificate.pem. Ou émettez le certificat de manière dynamique en utilisant EST ou une autorité de certification locale.
• identity_pk : URI du fichier de clé privée pour le certificat d’identité fourni. par exemple : file:///path/identity_key.pem. Ou fournissez un URI PKCS#11, puis fournissez vos informations de configuration dans la section

PKCS#11 plus loin dans le fichier de configuration.

Pour plus d’informations sur les certificats, consultez Gérer les certificats IoT Edge.

Enregistrez le fichier et fermez-le.

CTRL + X, Y, Enter

Après avoir entré les informations d’approvisionnement dans le fichier de configuration, appliquez vos modifications :

sudo iotedge config apply

1. Copiez votre fichier de clés d’identité et votre certificat dans le répertoire /var/snap/azure-iot-identity/current/shared . Le cas échéant, créez le répertoire.

2. Créez un fichier config.toml dans votre répertoire de base et configurez votre appareil IoT Edge pour l’approvisionnement manuel à l’aide d’un certificat d’identité X.509.

   sudo nano ~/config.toml
   

3. Vous pouvez effectuer l’approvisionnement manuellement à l’aide d’un certificat X.509 en ajoutant les paramètres d’approvisionnement suivants au fichier :

   [provisioning]
   source = "manual"
   iothub_hostname = "IOT_HUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   
   method = "x509"
   identity_cert = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_CERT_FILENAME"
   identity_pk = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_PK_FILENAME"
   

   Mettez à jour les champs suivants :

   • iothub_hostname : nom d’hôte de l’hub IoT auquel l’appareil doit se connecter. Par exemple : example.azure-devices.net.
   • device_id : ID que vous avez indiqué lors de l’inscription de l’appareil.
   • identity_cert : URI d’un certificat d’identité sur l’appareil, par exemple : file:///var/snap/azure-iot-identity/current/shared/identity_certificate.pem.
   • identity_pk : URI du fichier de clé privée pour le certificat d’identité fourni. par exemple : file:///var/snap/azure-iot-identity/current/shared/identity_key.pem.

   Pour plus d’informations sur l’approvisionnement des paramètres de configuration, consultez Configurer les paramètres d’appareil IoT Edge.

4. Enregistrez le fichier et fermez-le.

   CTRL + X, Y, Enter

5. Définissez la configuration pour IoT Edge et le service d’identité à l’aide de la commande suivante :

   sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"
   

sudo apt-get autoremove --purge aziot-edge

Omettez l’indicateur --purge si vous prévoyez de réinstaller IoT Edge et d’utiliser les mêmes informations de configuration à l’avenir. Les indicateurs --purge suppriment tous les fichiers associés à IoT Edge, y compris vos fichiers de configuration.

sudo yum remove aziot-edge

Supprimer le runtime IoT Edge :

sudo snap remove azure-iot-edge

Supprimer le service d’identité Azure :

sudo snap remove azure-iot-identity

sudo apt-get autoremove --purge moby-engine

sudo yum remove moby-cli
sudo yum remove moby-engine

sudo snap remove docker

Étapes suivantes

Passez à Déployer des modules IoT Edge pour savoir comment déployer des modules sur votre appareil.