Creare ed effettuare il provisioning di dispositivi IoT Edge su larga scala in Linux usando la chiave simmetrica

Creare una registrazione singola nel servizio Device Provisioning

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. In le impostazioni selezionare Gestisci registrazioni.

3. Selezionare Aggiungi registrazione singola, quindi completare la procedura seguente per configurare la registrazione:

   1. Per Meccanismo selezionare Chiave simmetrica.

   2. Creare un ID registrazione univoco per il dispositivo.

   3. Facoltativamente, specificare un ID dispositivo hub IoT per il dispositivo. È possibile usare gli ID dispositivo per identificare come destinazione un singolo dispositivo per la distribuzione di moduli. Se non si specifica un ID dispositivo, viene usato l'ID di registrazione.

   4. Selezionare Vero per dichiarare che la registrazione è per un dispositivo IoT Edge.

   5. Facoltativamente, aggiungere un valore di tag allo Stato iniziale dispositivo gemello. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione di moduli. Ad esempio:

      {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
      }
      

   6. Seleziona Salva.

4. Copiare il valore della Chiave primaria della registrazione singola per usarlo durante l'installazione del runtime IoT Edge.

Ora che esiste una registrazione per questo dispositivo, il runtime IoT Edge può effettuare automaticamente il provisioning del dispositivo durante l'installazione.

Creare una registrazione di gruppo nel servizio Device Provisioning

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. In le impostazioni selezionare Gestisci registrazioni.

3. Selezionare Aggiungi registrazione singola, quindi completare la procedura seguente per configurare la registrazione:

   1. Specificare un Nome del gruppo.

   2. Selezionare Chiave simmetrica come tipo di attestazione.

   3. Selezionare Vero per dichiarare che la registrazione è per un dispositivo IoT Edge. Per una registrazione di gruppo, tutti i dispositivi devono essere dispositivi IoT Edge o nessuno di essi può esserlo.

   4. Facoltativamente, aggiungere un valore di tag allo Stato iniziale dispositivo gemello. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione di moduli. Ad esempio:

      {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
      }
      

   5. Seleziona Salva.

4. Copiare il valore della Chiave primaria del gruppo di registrazione, necessario al momento di creare le chiavi del dispositivo da usare con una registrazione di gruppo.

Ora che esiste un gruppo di registrazione, il runtime IoT Edge può effettuare automaticamente il provisioning dei dispositivi durante l'installazione.

Derivare una chiave di dispositivo

Ogni dispositivo di cui viene effettuato il provisioning come parte di una registrazione di gruppo richiede una chiave del dispositivo derivata per eseguire l'attestazione con chiave simmetrica con la registrazione durante il provisioning.

Per generare una chiave del dispositivo, usare la chiave copiata dal gruppo di registrazione del servizio Device Provisioning per calcolare un valore HMAC-SHA256 dell'ID di registrazione univoco per il dispositivo e convertire il risultato in formato Base64.

In Windows è possibile usare PowerShell per generare la chiave del dispositivo derivata, come illustrato nell'esempio seguente.

Sostituire il valore della CHIAVE con la chiave primaria annotata in precedenza.

Sostituire il valore REG_ID con l'ID di registrazione del dispositivo.

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

Di seguito è riportato un output di esempio di una chiave di dispositivo derivata:

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

L'installazione con APT può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Il runtime IoT Edge verrà installato da Snap Store in un passaggio successivo. Passare alla sezione successiva.

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby e l'interfaccia della riga di comando.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge ha dipendenze da Docker e dal servizio di identità IoT. Installare le dipendenze usando i comandi seguenti:

sudo snap install docker
sudo snap install azure-iot-identity

Lo snap di Docker è gestito da Canonical ed è supportato per gli scenari di produzione.

1. Creare o modificare il file di configurazione del daemon Docker esistente

   sudo nano /etc/docker/daemon.json
   

2. Impostare il driver di registrazione predefinito sul driver di registrazione local, come illustrato nell'esempio.

      {
         "log-driver": "local"
      }
   

3. Riavviare il motore di contenitore per applicare le modifiche.

   sudo systemctl restart docker
   

Attualmente, l'impostazione del driver di registrazione locale non è supportata per lo snap di Docker.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Il pacchetto defender-iot-micro-agent-edge facoltativo include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Il pacchetto facoltativo defender-iot-micro-agent-edge include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo yum install aziot-edge

Installare IoT Edge da Snap Store:

sudo snap install azure-iot-edge

Connettere gli snap

Per impostazione predefinita, gli snap sono privi di dipendenze, non attendibili e strettamente confinati. Di conseguenza, gli snap devono essere connessi ad altri snap e risorse di sistema dopo l'installazione. Usare i comandi seguenti per connettere il servizio di identità IoT e gli snap di IoT Edge tra loro e alle risorse di sistema. Per iniziare, gli snap devono essere connessi manualmente. Per le distribuzioni di produzione, possono essere configurati per la connessione automatica in modo da ridurre il carico di lavoro di provisioning.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

Aprire il file di configurazione nel dispositivo IoT Edge.

sudo nano /etc/aziot/config.toml

Se si usa un'installazione snap di IoT Edge, il file modello si trova in /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template. Creare una copia del file modello nella home directory e denominarla config.toml. Ad esempio:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Aprire il file di configurazione nella home directory nel dispositivo IoT Edge.

nano ~/config.toml

È possibile verificare che sia stata usata la registrazione singola creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli della registrazione per la registrazione singola creata. Si noti che lo stato della registrazione è assegnata e che l'ID dispositivo è elencato.

È possibile verificare che sia stata usata la registrazione di gruppo creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli di registrazione per la registrazione di gruppo creata. Passare alla scheda Record di registrazione per visualizzare tutti i dispositivi registrati in quel gruppo.