Creare ed effettuare il provisioning di un dispositivo IoT Edge in Linux usando certificati X.509

Un hub IoT gratuito o standard nella sottoscrizione di Azure.

• Un hub IoT gratuito o standard nella sottoscrizione di Azure
• Visual Studio Code
• Estensione Azure IoT Edge. L'estensione Azure IoT Edge Tools per Visual Studio Code è in modalità di manutenzione.
• Estensione Azure IoT Hub

• Un hub IoT gratuito o standard nella sottoscrizione di Azure

• Interfaccia della riga di comando di Azure nell'ambiente in uso

  La versione dell'interfaccia della riga di comando di Azure deve essere 2.0.70 o successiva. Usare il comando az --version per verificare. Questa versione supporta i comandi dell'estensione az e introduce il framework dei comandi Knack.

Nell'hub IoT nel portale di Azure, i dispositivi IoT Edge vengono creati e gestiti separatamente dai dispositivi IoT non abilitati per Edge.

1. Accedere al portale di Azure e passare all'hub IoT.

2. Nel riquadro sinistro selezionare Dispositivi dal menu e quindi scegliere Aggiungi dispositivo.

3. Nella pagina Crea un dispositivo specificare le informazioni seguenti:

   • Creare un ID dispositivo descrittivo. Prendere nota di questo ID dispositivo, perché verrà usato in un secondo momento.
   • Selezionare la casella di controllo Dispositivo IoT Edge.
   • Selezionare X.509 autofirmato come tipo di autenticazione.
   • Specificare le identificazioni personali del certificato di identità primaria e secondaria. I valori di identificazione personale sono costituiti da 40 caratteri esadecimali per gli hash SHA-1 o 64 caratteri esadecimali per gli hash SHA-256. Il portale di Azure supporta solo valori esadecimali. Rimuovere i separatori di colonna e gli spazi dai valori di identificazione personale prima di immetterli nel portale. Ad esempio, D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 va immesso come D268D9049F1A4D6AFD8477687BC633C032375112.

   Suggerimento

   Se si stanno eseguendo test e si vuole usare un solo certificato, è possibile utilizzare lo stesso certificato per le identificazioni personali primaria e secondaria.

4. Seleziona Salva.

Attualmente, l'estensione Azure IoT per Visual Studio Code non supporta la registrazione dei dispositivi con certificati X.509.

Usare il comando az iot hub device-identity create per creare una nuova identità del dispositivo nell'hub IoT. Ad esempio:

az iot hub device-identity create --device-id <device_id_here> --hub-name <hub_name_here> --edge-enabled --auth-method x509_thumbprint --primary-thumbprint <primary_SHA_thumbprint_here> --secondary-thumbprint <secondary_SHA_thumbprint_here>

Questo comando include diversi parametri:

• --device-id o -d: specificare un nome descrittivo univoco per l'hub IoT. Prendere nota di questo ID dispositivo, perché verrà utilizzato nella sezione successiva.
• hub-name o -n: specificare il nome dell'hub IoT.
• --edge-enabled o --ee: dichiarare che si tratta di un dispositivo IoT Edge.
• --auth-method o --am: dichiarare il tipo di autorizzazione che il dispositivo userà. In questo caso, si usano le identificazioni personali del certificato X.509.
• --primary-thumbprint o --ptp: specificare un'identificazione personale del certificato X.509 da utilizzare come chiave primaria. Sono supportati solo i valori esadecimali. Rimuovere i separatori di colonna e gli spazi dal valore di identificazione personale. Ad esempio, D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 va immesso come D268D9049F1A4D6AFD8477687BC633C032375112.
• --secondary-thumbprint o --stp: specificare un'identificazione personale del certificato X.509 da utilizzare come chiave secondaria. Rimuovere i separatori di colonna e gli spazi dal valore di identificazione personale. Se si sta testando e si vuole usare un solo certificato, è possibile usare lo stesso certificato per le identificazioni personali primaria e secondaria.

I dispositivi abilitati per Edge che si connettono all'hub IoT sono elencati nella pagina Dispositivi. È possibile filtrare l'elenco in base al tipo di dispositivi IoT Edge.

Anche se non è disponibile alcun supporto per la registrazione dei dispositivi con certificati X.509 tramite Visual Studio Code, è comunque possibile visualizzare i dispositivi IoT Edge, se necessario.

Tutti i dispositivi connessi all'hub IoT sono elencati nella sezione Hub IoT di Azure della finestra Explorer di Visual Studio Code. I dispositivi IoT Edge si distinguono dai dispositivi non Edge per la presenza di un'icona di tipo diverso e per la distribuzione dei moduli $edgeAgent e $edgeHub in ogni dispositivo IoT Edge.

Usare il comando az iot hub device-identity list per visualizzare tutti i dispositivi nell'hub IoT. Ad esempio:

az iot hub device-identity list --hub-name <hub_name_here>

Per qualsiasi dispositivo registrato come dispositivo IoT Edge, la proprietà capabilities.iotEdge sarà impostata su true.

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

L'installazione con APT può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

L'installazione può essere eseguita con pochi comandi. Aprire un terminale ed eseguire i comandi seguenti:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Il runtime IoT Edge verrà installato da Snap Store in un passaggio successivo. Passare alla sezione successiva.

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Installare il motore Moby e l'interfaccia della riga di comando.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge ha dipendenze da Docker e dal servizio di identità IoT. Installare le dipendenze usando i comandi seguenti:

sudo snap install docker
sudo snap install azure-iot-identity

Lo snap di Docker è gestito da Canonical ed è supportato per gli scenari di produzione.

1. Creare o modificare il file di configurazione del daemon Docker esistente

   sudo nano /etc/docker/daemon.json
   

2. Impostare il driver di registrazione predefinito sul driver di registrazione local, come illustrato nell'esempio.

      {
         "log-driver": "local"
      }
   

3. Riavviare il motore di contenitore per applicare le modifiche.

   sudo systemctl restart docker
   

Attualmente, l'impostazione del driver di registrazione locale non è supportata per lo snap di Docker.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Il pacchetto defender-iot-micro-agent-edge facoltativo include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Il pacchetto facoltativo defender-iot-micro-agent-edge include il micro-agente di sicurezza di Microsoft Defender per IoT, che fornisce visibilità dell'endpoint nella gestione della postura di sicurezza, nelle vulnerabilità, nel rilevamento delle minacce, nella gestione della flotta e altro, facilitando la protezione dei dispositivi IoT Edge. È consigliabile installare il micro agente con l'agente Edge per abilitare il monitoraggio della sicurezza e la protezione avanzata dei dispositivi Edge. Per altre informazioni su Microsoft Defender per IoT, vedere Che cos'è Microsoft Defender per IoT per i generatori di dispositivi.

Installare l'ultima versione di IoT Edge e il pacchetto del servizio di identità IoT, se non è già aggiornato:

sudo yum install aziot-edge

Installare IoT Edge da Snap Store:

sudo snap install azure-iot-edge

Connettere gli snap

Per impostazione predefinita, gli snap sono privi di dipendenze, non attendibili e strettamente confinati. Di conseguenza, gli snap devono essere connessi ad altri snap e risorse di sistema dopo l'installazione. Usare i comandi seguenti per connettere il servizio di identità IoT e gli snap di IoT Edge tra loro e alle risorse di sistema. Per iniziare, gli snap devono essere connessi manualmente. Per le distribuzioni di produzione, possono essere configurati per la connessione automatica in modo da ridurre il carico di lavoro di provisioning.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

1. Creare un file di configurazione per il dispositivo in base a un file modello fornito come parte dell'installazione di IoT Edge.

   sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml
   

2. Nel dispositivo IoT Edge aprire il file di configurazione.

   sudo nano /etc/aziot/config.toml
   

3. Trovare la sezione Provisioning del file e rimuovere il commento dalle righe per il provisioning manuale con il certificato di identità X.509. Verificare che tutte le altre sezioni di provisioning siano impostate come commento.

   # Manual provisioning with x.509 certificates
   [provisioning]
   source = "manual"
   iothub_hostname = "REQUIRED_IOTHUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   method = "x509"
   
   identity_cert = "REQUIRED_URI_OR_POINTER_TO_DEVICE_IDENTITY_CERTIFICATE"
   
   identity_pk = "REQUIRED_URI_TO_DEVICE_IDENTITY_PRIVATE_KEY"
   

Aggiorna i seguenti campi:

• iothub_hostname: nome host dell'hub IoT a cui si connette il dispositivo. Ad esempio: {IoT hub name}.azure-devices.net.
• device_id: ID specificato al momento della registrazione del dispositivo.
• identity_cert: URI a un certificato di identità nel dispositivo, ad esempio file:///path/identity_certificate.pem. In alternativa, rilasciare dinamicamente il certificato usando EST o un'autorità di certificazione locale.
• identity_pk: URI del file di chiave privata per il certificato di identità fornito, ad esempio: file:///path/identity_key.pem. In alternativa, specificare un URI PKCS#11 e quindi specificare le informazioni di configurazione nella

sezione PKCS#11 più avanti nel file di configurazione.

Per altre informazioni sui certificati, vedere Gestire i certificati IoT Edge.

Salva e chiude il file .

CTRL + X, Y, Enter

Dopo aver immesso le informazioni di provisioning nel file di configurazione, applicare le modifiche:

sudo iotedge config apply

1. Copiare il file di chiave e il certificato di identità nella directory /var/snap/azure-iot-identity/current/shared. Creare la directory se non esiste.

2. Creare un file config.toml nella home directory e configurare il dispositivo IoT Edge per il provisioning manuale usando un certificato di identità X.509.

   sudo nano ~/config.toml
   

3. È possibile effettuare manualmente il provisioning con un certificato X.509 aggiungendo le impostazioni di provisioning seguenti al file:

   [provisioning]
   source = "manual"
   iothub_hostname = "IOT_HUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   
   method = "x509"
   identity_cert = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_CERT_FILENAME"
   identity_pk = "file:///var/snap/azure-iot-identity/current/shared/IDENTITY_PK_FILENAME"
   

   Aggiorna i seguenti campi:

   • iothub_hostname: nome host dell'hub IoT a cui si connette il dispositivo. Ad esempio: example.azure-devices.net.
   • device_id: ID specificato al momento della registrazione del dispositivo.
   • identity_cert: URI di un certificato di identità nel dispositivo, ad esempio file:///var/snap/azure-iot-identity/current/shared/identity_certificate.pem.
   • identity_pk: URI del file di chiave privata per il certificato di identità fornito, ad esempio: file:///var/snap/azure-iot-identity/current/shared/identity_key.pem.

   Per altre informazioni sulle impostazioni di configurazione del provisioning, vedere Configurare le impostazioni del dispositivo IoT Edge.

4. Salva e chiude il file .

   CTRL + X, Y, Enter

5. Impostare la configurazione per IoT Edge e il servizio di identità usando il comando seguente:

   sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"
   

sudo apt-get autoremove --purge aziot-edge

Omettere il flag --purge se si prevede di reinstallare IoT Edge e usare le stesse informazioni di configurazione in futuro. I flag --purge eliminano tutti i file associati a IoT Edge, inclusi i file di configurazione.

sudo yum remove aziot-edge

Rimuovere il runtime IoT Edge:

sudo snap remove azure-iot-edge

Rimuovere il servizio di identità di Azure:

sudo snap remove azure-iot-identity

sudo apt-get autoremove --purge moby-engine

sudo yum remove moby-cli
sudo yum remove moby-engine

sudo snap remove docker

Passaggi successivi

Passare a distribuire moduli IoT Edge per informazioni su come distribuire moduli nel dispositivo.