Creare ed effettuare il provisioning di dispositivi IoT Edge su larga scala con un TPM in Linux

Si applica a: IoT Edge 1.5 IoT Edge 1.4

Questo articolo fornisce istruzioni per il provisioning automatico di un dispositivo Azure IoT Edge per Linux usando un modulo TPM (Trusted Platform Module). È possibile effettuare automaticamente il provisioning di dispositivi IoT Edge con il servizio Device Provisioning in hub IoT di Azure. Se non si ha familiarità con il processo di provisioning automatico, vedere la panoramica sul provisioning prima di continuare.

Questo articolo illustra due metodologie. Selezionare la propria preferenza in base all'architettura della soluzione:

• Provisioning automatico di un dispositivo Linux con hardware TPM fisico.
• Eseguire il provisioning automatico di una macchina virtuale (VM) Linux con un TPM simulato in esecuzione in un computer di sviluppo Windows con Hyper-V abilitato. È consigliabile usare questa metodologia solo come scenario di test. Un TPM simulato non offre la stessa sicurezza di un TPM fisico.

Le istruzioni differiscono in base alla metodologia, quindi man mano che si procede assicurarsi di entrare nella scheda corretta.

Prerequisiti

Risorse cloud

• Un hub IoT attivo
• Un'istanza del servizio Device Provisioning in Hub IoT in Azure, collegata all'hub IoT
  • Se non si dispone di un'istanza del servizio Device Provisioning, è possibile seguire le istruzioni riportate nelle sezioni Creare una nuova istanza del servizio Device Provisioning in hub IoT e Collegare l'hub IoT e il servizio Device Provisioning dell'argomento di avvio rapido sul servizio Device Provisioning in hub IoT.
  • Con il servizio Device Provisioning in esecuzione, copiare il valore di Ambito ID dalla pagina di panoramica. Questo valore viene usato quando si configura il runtime IoT Edge.

Requisiti dei dispositivi

Configurare il dispositivo

Recuperare le informazioni di provisioning per il TPM

In questa sezione si usano gli strumenti software TPM2 per recuperare la chiave di verifica dell'autenticità per il TPM e quindi generare un ID di registrazione univoco. Questa sezione corrisponde al Passaggio 3: Il dispositivo ha firmware e software installato nel processo per l'integrazione di un TPM nel processo di produzione.

Installare gli strumenti TPM2

Accedere al dispositivo e installare il pacchetto tpm2-tools.

sudo apt-get install tpm2-tools

sudo yum install tpm2-tools

sudo snap install tpm2-tools

Eseguire lo script seguente per leggere la chiave di verifica dell'autenticità, creandone una se non esiste già.

#!/bin/sh
if [ "$USER" != "root" ]; then
  SUDO="sudo "
fi

$SUDO tpm2_readpublic -Q -c 0x81010001 -o ek.pub 2> /dev/null
if [ $? -gt 0 ]; then
  # Create the endorsement key (EK)
  $SUDO tpm2_createek -c 0x81010001 -G rsa -u ek.pub

  # Create the storage root key (SRK)
  $SUDO tpm2_createprimary -Q -C o -c srk.ctx > /dev/null

  # make the SRK persistent
  $SUDO tpm2_evictcontrol -c srk.ctx 0x81000001 > /dev/null

  # open transient handle space for the TPM
  $SUDO tpm2_flushcontext -t > /dev/null
fi

printf "Gathering the registration information...\n\nRegistration Id:\n%s\n\nEndorsement Key:\n%s\n" $(sha256sum -b ek.pub | cut -d' ' -f1 | sed -e 's/[^[:alnum:]]//g') $(base64 -w0 ek.pub)
$SUDO rm ek.pub srk.ctx 2> /dev/null

La finestra di output mostra la Chiave di verifica dell'autenticità del dispositivo e un ID registrazione univoco . Copiare questi valori per usarli in un secondo momento, quando si creerà una registrazione singola per il dispositivo nel servizio Device Provisioning.

Dopo aver ottenuto l'ID di registrazione e la chiave di verifica dell'autenticità, si è pronti per continuare.

Creare una registrazione del servizio Device Provisioning

Usare le informazioni di provisioning del TPM per creare una registrazione singola nel servizio Device Provisioning.

Quando si crea una registrazione nel servizio Device Provisioning, si ha la possibilità di dichiarare uno Stato iniziale dispositivo gemello. Nel dispositivo gemello è possibile impostare tag per raggruppare i dispositivi in base a una qualsiasi metrica usata nella propria soluzione, come l'area, l'ambiente, la località o il tipo di dispositivo. Questi tag vengono usati per creare distribuzioni automatiche.

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. In le impostazioni selezionare Gestisci registrazioni.

3. Selezionare Aggiungi registrazione singola e quindi completare la procedura seguente per configurare la registrazione:

   1. In Meccanismo selezionare TPM.

   2. Specificare la Chiave di verifica dell'autenticità e l'ID di registrazione copiati dalla VM o dal dispositivo fisico.

   3. Se si desidera, specificare un ID per il dispositivo. Se non si specifica un ID dispositivo, viene usato l'ID di registrazione.

   4. Selezionare Vero per dichiarare che la macchina virtuale o il dispositivo fisico è un dispositivo IoT Edge.

   5. Scegliere l'hub IoT collegato a cui si vuole connettere il dispositivo oppure selezionare Collega a nuovo hub IoT. È possibile scegliere più hub e il dispositivo verrà assegnato a uno di essi in base al criterio di assegnazione selezionato.

   6. Aggiungere un valore di tag allo Stato iniziale dispositivo gemello, se si desidera. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione di moduli. Per altre informazioni, vedere Distribuire moduli IoT Edge su larga scala.

   7. Seleziona Salva.

Ora che esiste una registrazione per questo dispositivo, il runtime IoT Edge può effettuare automaticamente il provisioning del dispositivo durante l'installazione.

Installare IoT Edge

In questa sezione si prepara la macchina virtuale Linux o il dispositivo fisico per IoT Edge. Quindi, si installa IoT Edge.

Eseguire i comandi seguenti per aggiungere il repository di pacchetti e quindi aggiungere la chiave di firma del pacchetto Microsoft all'elenco di chiavi attendibili.

Per altre informazioni sulle versioni del sistema operativo, vedere Piattaforme supportate da Azure IoT Edge.

Installare un motore di contenitore

Azure IoT Edge si basa su un runtime del contenitore compatibile con OCI. Per gli scenari di produzione è consigliabile usare il motore Moby. Il motore Moby è il motore di contenitori ufficialmente supportato con IoT Edge. Le immagini del contenitore Docker CE/EE sono compatibili con il runtime di Moby. Se si usano pacchetti snap di Ubuntu Core, lo snap di Docker è gestito da Canonical ed è supportato per gli scenari di produzione.

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

sudo snap install docker
sudo snap install azure-iot-identity

Per impostazione predefinita, il motore del contenitore non imposta limiti di dimensioni per i log dei contenitori. Nel corso del tempo questo può causare il riempimento del dispositivo con i log e l'esaurimento dello spazio su disco. Tuttavia, è possibile configurare il log per la visualizzazione locale, anche se è facoltativo. Per altre informazioni sulla configurazione della registrazione, vedere Elenco di controllo della distribuzione di produzione.

I passaggi seguenti illustrano come configurare il contenitore per l'uso del driver di registrazione local come meccanismo di registrazione.

Installare il runtime IoT Edge.

I servizio IoT Edge fornisce e gestisce gli standard di sicurezza nel dispositivo Edge. Il servizio viene avviato a ogni avvio del dispositivo e ne esegue il bootstrap avviando la parte restante del runtime IoT Edge.

I passaggi descritti in questa sezione rappresentano il processo tipico per installare l'ultima versione di IoT Edge in un dispositivo dotato di connessione Internet. Se è necessario installare una versione specifica, ad esempio una versione non definitiva o se è necessario eseguire l'installazione offline, seguire i passaggi di installazione offline o di una versione specifica più avanti in questo articolo.

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

sudo yum install aziot-edge

sudo snap install azure-iot-edge

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

Effettuare il provisioning del dispositivo con la relativa identità cloud

Dopo aver installato il runtime nel dispositivo, configurarlo con le informazioni da usare per connettersi al servizio Device Provisioning e all'hub IoT.

Recuperare l'Ambito ID del servizio Device Provisioning e l'ID registrazione del dispositivo raccolti in precedenza.

Creare un file di configurazione per il dispositivo in base a un file modello fornito come parte dell'installazione di IoT Edge.

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

sudo nano /etc/aziot/config.toml

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

nano ~/config.toml

1. Trovare la sezione delle configurazioni di provisioning del file. Rimuovere il commento dalle righe per il provisioning TPM e assicurarsi che tutte le altre righe di provisioning siano impostate come commento.

   # DPS provisioning with TPM
   [provisioning]
   source = "dps"
   global_endpoint = "https://global.azure-devices-provisioning.net"
   id_scope = "DPS_ID_SCOPE_HERE"
   
   # Uncomment to send a custom payload during DPS registration
   # payload = { uri = "PATH_TO_JSON_FILE" }
   
   [provisioning.attestation]
   method = "tpm"
   registration_id = "REGISTRATION_ID_HERE"
   
   # auto_reprovisioning_mode = Dynamic
   

2. Aggiornare i valori di id_scope e registration_id con le informazioni sul dispositivo e sul servizio Device Provisioning. Il valore scope_id è l'Ambito ID dalla pagina di panoramica dell'istanza del servizio Device Provisioning.

   Per altre informazioni sulle impostazioni di configurazione del provisioning, vedere Configurare le impostazioni del dispositivo IoT Edge.

3. Facoltativamente, trovare la sezione della modalità di reprovisioning automatico del file. Usare il parametro auto_reprovisioning_mode per configurare il comportamento di reprovisioning del dispositivo. Dinamico: effettuare il reprovisioning quando il dispositivo rileva che potrebbe essere stato spostato da un hub IoT a un altro. Si tratta dell'impostazione predefinita. AlwaysOnStartup: effettuare il reprovisioning quando il dispositivo viene riavviato o un arresto anomalo causa il riavvio dei daemon. OnErrorOnly: non attivare mai il provisioning automatico del dispositivo. Ogni modalità ha un fallback implicito di reprovisioning del dispositivo se il dispositivo non è in grado di connettersi all'hub IoT durante il provisioning delle identità a causa di errori di connessione. Per altre informazioni, vedere Concetti di reprovisioning di un dispositivo hub IoT.

4. Facoltativamente, rimuovere il commento dal parametro payload per specificare il percorso di un file JSON locale. Il contenuto del file viene inviato al servizio Device Provisioning come dati aggiuntivi al momento della registrazione del dispositivo. Questo è utile per l'allocazione personalizzata. Ad esempio, se si vogliono allocare i dispositivi in base a un ID di modello IoT Plug and Play senza intervento umano.

5. Salva e chiude il file .

Concedere l'accesso IoT Edge al TPM

Il runtime IoT Edge si basa su un servizio TPM che gestisce l'accesso al TPM di un dispositivo. Questo servizio deve accedere al TPM per effettuare automaticamente il provisioning del dispositivo.

È possibile concedere l'accesso al TPM eseguendo l'override delle impostazioni di sistema, in modo che il servizio aziottpm disponga di privilegi a livello radice. Se non si vuole elevare i privilegi di servizio, è possibile usare la procedura seguente per concedere manualmente l'accesso al modulo TPM.

1. Creare una nuova regola che conceda al runtime IoT Edge l'accesso a tpm0 e tpmrm0.

   sudo touch /etc/udev/rules.d/tpmaccess.rules
   

2. Aprire il file delle regole.

   sudo nano /etc/udev/rules.d/tpmaccess.rules
   

3. Copiare le informazioni di accesso seguenti nel file di regole. tpmrm0 potrebbe non essere presente nei dispositivi che usano un kernel precedente al 4.12. I dispositivi che non hanno tpmrm0 ignoreranno questa regola senza problemi.

   # allow aziottpm access to tpm0 and tpmrm0
   KERNEL=="tpm0", SUBSYSTEM=="tpm", OWNER="aziottpm", MODE="0660"
   KERNEL=="tpmrm0", SUBSYSTEM=="tpmrm", OWNER="aziottpm", MODE="0660"
   

4. Salvare e chiudere il file.

5. Attivare il sistema udev per valutare la nuova regola.

   /bin/udevadm trigger --subsystem-match=tpm --subsystem-match=tpmrm
   

6. Verificare che la regola sia stata applicata.

   ls -l /dev/tpm*
   

   L'output dell'operazione riuscita è simile al seguente:

   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpm0
   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpmrm0
   

   Se si riscontra che non state applicate le autorizzazioni corrette, provare a riavviare la macchina per aggiornare udev.

7. Applicare le modifiche di configurazione apportate nel dispositivo.

   • Ubuntu / Debian / RHEL
   • Snap di Ubuntu Core

   sudo iotedge config apply
   

Verificare l'esito positivo dell'installazione

Se non è già stato fatto, applicare le modifiche di configurazione apportate nel dispositivo.

sudo iotedge config apply

Verificare che il runtime IoT Edge sia in esecuzione.

sudo iotedge system status

Esaminare i log del daemon.

sudo iotedge system logs

Se vengono visualizzati errori di provisioning, è possibile che le modifiche alla configurazione non siano ancora state applicate. Provare a riavviare il daemon IoT Edge.

sudo systemctl daemon-reload

In alternativa, provare a riavviare la VM per verificare se le modifiche diventano effettive al nuovo avvio.

Se il runtime viene avviato correttamente, è possibile accedere all'hub IoT e verificare se è stato eseguito il provisioning automatico del nuovo dispositivo. Il dispositivo è ora è pronto per l'esecuzione di moduli IoT Edge.

Elencare i moduli in esecuzione.

iotedge list

È possibile verificare che sia stata usata la registrazione singola creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli della registrazione per la registrazione singola creata. Si noti che lo stato della registrazione è assegnata e che l'ID dispositivo è elencato.

Passaggi successivi

Il processo di registrazione del servizio Device Provisioning consente di impostare l'ID dispositivo e i tag del dispositivo gemello mentre si effettua il provisioning del nuovo dispositivo. È possibile usare questi valori per identificare come destinazione singoli dispositivi o gruppi di dispositivi usando la gestione automatica dei dispositivi.

Leggere l'articolo su come Distribuire e monitorare i moduli IoT Edge su larga scala tramite il portale di Azure o usando l'interfaccia della riga di comando di Azure.