Creare ed effettuare il provisioning di dispositivi IoT Edge su larga scala in Linux usando certificati X.509

Creare una registrazione singola nel servizio Device Provisioning

Le registrazioni singole prendono la parte pubblica del certificato di identità di un dispositivo e la associano al certificato nel dispositivo.

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. In le impostazioni selezionare Gestisci registrazioni.

3. Selezionare Aggiungi registrazione singola, quindi completare la procedura seguente per configurare la registrazione:

   • Meccanismo: selezionare X.509.

   • File di certificato primario con estensione pem o cer: caricare il file pubblico dal certificato di identità del dispositivo. Se sono stati usati gli script per generare un certificato di test, scegliere il file seguente:

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • ID dispositivo hub IoT: specificare un ID per il dispositivo se si vuole. È possibile usare gli ID dispositivo per identificare come destinazione un singolo dispositivo per la distribuzione di moduli. Se non si specifica un ID dispositivo viene usato il nome comune (CN) presente nel certificato X.509.

   • Dispositivo IoT Edge: selezionare Vero per dichiarare che la registrazione è per un dispositivo IoT Edge.

   • Selezionare gli hub IoT a cui può essere assegnato questo dispositivo: scegliere l'hub IoT collegato a cui si vuole connettere il dispositivo. È possibile scegliere più hub e il dispositivo verrà assegnato a uno di essi in base al criterio di allocazione selezionato.

   • Stato iniziale dispositivo gemello: aggiungere un valore di tag da aggiungere al dispositivo gemello se si vuole. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione automatica. Ad esempio:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Seleziona Salva.

In Gestisci registrazioni è visibile l'ID registrazione per la registrazione appena creata. Prenderne nota, perché è possibile usarlo al momento del provisioning del dispositivo.

Ora che esiste una registrazione per questo dispositivo, il runtime IoT Edge può effettuare automaticamente il provisioning del dispositivo durante l'installazione.

Creare una registrazione di gruppo nel servizio Device Provisioning

Le registrazioni di gruppo usano un certificato CA intermedio o radice del percorso di certificazione usato per generare i singoli certificati di identità del dispositivo.

Verificare il certificato radice

Quando si crea un gruppo di registrazione, è possibile usare un certificato verificato. Si può 0verificare un certificato con il servizio Device Provisioning dimostrando di avere la proprietà del certificato radice. Per altre informazioni, vedere Come eseguire una verifica del possesso per certificati della CA X.509.

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. Selezionare Certificati dal menu a sinistra.

3. Selezionare Aggiungi per aggiungere un nuovo certificato.

4. Immettere un nome descrittivo per il certificato, quindi individuare il file con estensione cer o pem che rappresenta la parte pubblica del certificato X.509.

   Se si usano i certificati demo, caricare il certificato <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem.

5. Seleziona Salva.

6. Il certificato dovrebbe ora essere elencato nella pagina Certificati. Selezionarlo per aprire i dettagli del certificato.

7. Selezionare Genera codice di verifica e copiare il codice generato.

8. Indipendentemente dal fatto che si usi un proprio certificato della CA o si usino certificati demo, è possibile usare lo strumento di verifica fornito nel repository IoT Edge per la dimostrazione del possesso. Lo strumento di verifica usa il certificato della CA per firmare un nuovo certificato con il codice di verifica fornito come nome soggetto.

   New-CACertsVerificationCert "<verification code>"
   

9. Nella stessa pagina dei dettagli del certificato nel portale di Azure caricare il certificato di verifica appena generato.

10. Selezionare Verifica.

Creare un gruppo di registrazioni

Per altre informazioni sulle registrazioni nel servizio Device Provisioning, vedere Come gestire le registrazioni dei dispositivi.

1. Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.

2. In le impostazioni selezionare Gestisci registrazioni.

3. Selezionare Aggiungi gruppo di registrazioni, quindi completare la procedura seguente per configurare la registrazione:

   • Nome del gruppo: specificare un nome facile da ricordare per la registrazione di gruppo.

   • Tipo di attestazione: selezionare Certificato.

   • Dispositivo IoT Edge: selezionare Vero. Per una registrazione di gruppo, tutti i dispositivi devono essere dispositivi IoT Edge o nessuno di essi può esserlo.

   • Tipo di certificato: selezionare Certificato CA.

   • Certificato primario: scegliere il certificato dall'elenco a discesa.

   • Selezionare gli hub IoT a cui può essere assegnato questo dispositivo: scegliere l'hub IoT collegato a cui si vuole connettere il dispositivo. È possibile scegliere più hub e il dispositivo verrà assegnato a uno di essi in base al criterio di allocazione selezionato.

   • Stato iniziale dispositivo gemello: aggiungere un valore di tag da aggiungere al dispositivo gemello se si vuole. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione automatica. Ad esempio:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Seleziona Salva.

In Gestisci registrazioni è visibile l'ID registrazione per la registrazione appena creata. Prenderne nota, perché è possibile usarlo al momento del provisioning dei dispositivi.

Ora che esiste una registrazione per questi dispositivi, il runtime IoT Edge può effettuare automaticamente il provisioning dei dispositivi durante l'installazione.

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

L'installazione con APT può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Il runtime IoT Edge verrà installato da Snap Store in un passaggio successivo. Passare alla sezione successiva.

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby e l'interfaccia della riga di comando.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge ha dipendenze da Docker e dal servizio di identità IoT. Installare le dipendenze usando i comandi seguenti:

sudo snap install docker
sudo snap install azure-iot-identity

Lo snap di Docker è gestito da Canonical ed è supportato per gli scenari di produzione.

1. Creare o modificare il file di configurazione del daemon Docker esistente

   sudo nano /etc/docker/daemon.json
   

2. Impostare il driver di registrazione predefinito sul driver di registrazione local, come illustrato nell'esempio.

      {
         "log-driver": "local"
      }
   

3. Riavviare il motore di contenitore per applicare le modifiche.

   sudo systemctl restart docker
   

Attualmente, l'impostazione del driver di registrazione locale non è supportata per lo snap di Docker.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Il pacchetto defender-iot-micro-agent-edge facoltativo include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Il pacchetto facoltativo defender-iot-micro-agent-edge include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo yum install aziot-edge

Installare IoT Edge da Snap Store:

sudo snap install azure-iot-edge

Connettere gli snap

Per impostazione predefinita, gli snap sono privi di dipendenze, non attendibili e strettamente confinati. Di conseguenza, gli snap devono essere connessi ad altri snap e risorse di sistema dopo l'installazione. Usare i comandi seguenti per connettere il servizio di identità IoT e gli snap di IoT Edge tra loro e alle risorse di sistema. Per iniziare, gli snap devono essere connessi manualmente. Per le distribuzioni di produzione, possono essere configurati per la connessione automatica in modo da ridurre il carico di lavoro di provisioning.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

Aprire il file di configurazione nel dispositivo IoT Edge.

sudo nano /etc/aziot/config.toml

Trovare la sezione Provisioning del file. Rimuovere il commento dalle righe per il provisioning DPS con certificato X.509 e assicurarsi che tutte le altre righe di provisioning siano impostate come commento.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

Se si usa un'installazione snap di IoT Edge, il file modello si trova in /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template. Creare una copia del file modello nella home directory e denominarla config.toml. Ad esempio:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Aprire il file di configurazione nella home directory nel dispositivo IoT Edge.

nano ~/config.toml

Trovare la sezione Provisioning del file. Rimuovere il commento dalle righe per il provisioning DPS con certificato X.509 e assicurarsi che tutte le altre righe di provisioning siano impostate come commento. Il percorso usato per i file di certificato deve essere il percorso della directory condivisa accessibile a entrambi gli snap azure-iot-edge e azure-iot-identity. Ad esempio: /var/snap/azure-iot-identity/current/shared/.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

È possibile verificare che sia stata usata la registrazione singola creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli della registrazione per la registrazione singola creata. Si noti che lo stato della registrazione è assegnata e che l'ID dispositivo è elencato.

È possibile verificare che sia stata usata la registrazione di gruppo creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli di registrazione per la registrazione di gruppo creata. Passare alla scheda Record di registrazione per visualizzare tutti i dispositivi registrati in quel gruppo.