対称キーを使用して IoT Edge for Linux on Windows デバイスを大規模に作成してプロビジョニングする

[アーティクル]
06/03/2024

適用対象: IoT Edge 1.4

重要

サポートされているリリースは、Azure IoT Edge 1.5 LTS と IoT Edge 1.4 です。 IoT Edge 1.4 LTS は、2024 年 11 月 12 日にサービス終了になります。以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

この記事では、対称キーを使用して 1 つ以上の IoT Edge for Linux on Windows デバイスを自動プロビジョニングする方法を示します。 Azure IoT Edge デバイスは、Azure IoT Hub Device Provisioning Service (DPS) を使用して自動プロビジョニングできます。自動プロビジョニングの処理に慣れていない場合は、プロビジョニングの概要を確認してから先に進んでください。

タスクは次のとおりです。

単一のデバイスの個別登録を作成するか、一連のデバイスに対してグループ登録を作成する。
IoT Edge ランタイムがインストールされた Linux 仮想マシンをデプロイし、それを IoT Hub に接続する。

対称キーの構成証明は、デバイスプロビジョニングサービスインスタンスを使用してデバイスを認証する簡単なアプローチです。この構成証明の方法では、初めてデバイスのプロビジョニングを行う開発者または厳密なセキュリティ要件がない開発者に対して、"Hello world" エクスペリエンスを提示します。 TPM または X.509 証明書を使用するデバイス構成証明は、より安全であり、さらに厳格なセキュリティ要件に対して使用する必要があります。

前提条件

クラウドリソース

アクティブな IoT ハブ
自分の IoT ハブにリンクされた、Azure 内の IoT Hub デバイスプロビジョニングサービスのインスタンス
- デバイスプロビジョニングサービスのインスタンスをお持ちでない場合は、IoT Hub デバイスプロビジョニングサービスクイックスタートの「新しい IoT Hub デバイスプロビジョニングサービスの作成」および「IoT ハブとデバイスプロビジョニングサービスとをリンクさせる」の手順に従ってください。
- Device Provisioning Service を実行した後、概要ページから [ID スコープ] の値をコピーします。この値は、IoT Edge ランタイムを構成するときに使用します。

デバイスの要件

以下の最小要件を備えた Windows デバイス:

システム要件
- Windows 10¹/11 (Pro、Enterprise、IoT Enterprise)
- Windows Server 2019¹/2022
  _{¹ 現在のすべての累積更新プログラムがインストールされた Windows 10 および Windows Server 2019 最小ビルド 17763。}
ハードウェア要件
- 最小空きメモリ容量: 1 GB
- 最小空きディスク領域:10 GB
仮想化サポート
- Windows 10 で Hyper-V を有効にします。詳細については、「Windows 10 上に Hyper-V をインストールする」を参照してください。
- Windows サーバーで、Hyper-V ロールをインストールし、既定のネットワークスイッチを作成します。詳細については、「Azure IoT Edge for Linux on Windows の入れ子になった仮想化」を参照してください。
- 仮想マシンで、入れ子になった仮想化を構成します。詳細については、入れ子になった仮想化に関するページを参照してください。
ネットワークのサポート
- Windows Server には既定のスイッチは付属していません。 EFLOW を Windows Server デバイスにデプロイする前に、仮想スイッチを作成する必要があります。詳細については、Windows 上の Linux のために仮想スイッチを作成することに関する記事を参照してください。
- デスクトップバージョンの Windows には、EFLOW のインストールに使用できる既定のスイッチが付属しています。必要な場合は、独自のカスタム仮想スイッチを作成できます。

ヒント

Azure IoT Edge for Linux on Windows のデプロイで GPU アクセラレーション対応の Linux モジュールを使用する場合は、いくつかの構成オプションを検討する必要があります。

お使いの GPU のアーキテクチャに応じて適切なドライバーをインストールする必要があり、Windows Insider Program ビルドを入手することが必要な場合があります。構成上の必要性を特定し、それらの前提条件を満たすには、「Azure IoT Edge for Linux on Windows 用の GPU アクセラレーション」を参照してください。

時間をとって、現時点で GPU アクセラレータの前提条件を満たしていることをご確認ください。インストール中に GPU アクセラレーションを使用する場合は、インストールプロセスを再起動する必要があります。

開発者ツール

Azure IoT Edge for Linux on Windows のインストールと Linux 仮想マシンのデプロイに使用するターゲットデバイスを準備してください。

ターゲットデバイスの実行ポリシーを AllSigned に設定します。現在の実行ポリシーは、管理者特権の PowerShell プロンプトで次のコマンドを使用して確認できます。
```
Get-ExecutionPolicy -List
```
local machine の実行ポリシーが AllSigned になっていない場合は、次のようにして実行ポリシーを設定できます。
```
Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
```

Azure IoT Edge for Linux on Windows PowerShell モジュールの詳細については、PowerShell 関数リファレンスを参照してください。

DPS の登録を作成する

DPS を介して 1 つ以上のデバイスをプロビジョニングする登録を作成します。

単一の IoT Edge デバイスをプロビジョニングする方法を求めている場合は、個別の登録を作成します。複数のデバイスをプロビジョニングする必要がある場合は、DPS グループ登録を作成する手順に従います。

DPS 内に登録を作成するときに、デバイスツインの初期状態を宣言する機会があります。デバイスツインでは、ソリューションで必要な任意のメトリック (リージョン、環境、場所、デバイスの種類など) によってデバイスをグループ化するためのタグを設定できます。これらのタグは、自動展開を作成するために使用されます。

デバイスプロビジョニングサービスでの登録の詳細については、デバイス登録の管理方法に関するページをご覧ください。

個別登録
グループ登録

DPS 個別登録を作成する

ヒント

この記事の手順は Azure portal 向けですが、Azure CLI を使用して個別登録を作成することもできます。詳細については、az iot dps enrollment を参照してください。この CLI コマンドの一部として、edge-enabled フラグを使用して、登録の対象が IoT Edge デバイスであることを指定します。

Azure portal で、IoT Hub Device Provisioning Service のインスタンスに移動します。
[設定] の下の [登録の管理] を選択します。
[Add individual enrollment]$個別登録の追加$ を選択し、登録を構成する次の手順を完了します。
1. [メカニズム] で [対称キー] を選択します。
2. デバイスの一意の登録 ID を指定します。
3. 必要に応じて、デバイスの IoT Hub デバイス ID を指定します。デバイス ID を使用して、個々のデバイスをモジュール展開のターゲットにすることができます。デバイス ID を指定しなかった場合は、登録 ID が使用されます。
4. [True] を選択して、その登録が IoT Edge デバイス用のものであることを宣言します。
5. 必要に応じて、[デバイスツインの初期状態] にタグ値を追加します。タグを使用して、デバイスグループをモジュール展開のターゲットにすることができます。次に例を示します。
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
6. [保存] を選択します。
IoT Edge ランタイムのインストール時に使用する個別登録の主キーの値をコピーします。

これで、このデバイスの登録が存在しているので、IoT Edge ランタイムによってインストール時にデバイスを自動的にプロビジョニングできます。

DPS グループ登録を作成する

ヒント

この記事の手順は Azure portal 向けですが、Azure CLI を使用してグループ登録を作成することもできます。詳細については、az iot dps enrollment-group を参照してください。この CLI コマンドの一部として、edge-enabled フラグを使用して、登録の対象が IoT Edge デバイスであることを指定します。グループ登録の場合、すべてのデバイスを IoT Edge デバイスにする必要があります。そうしない場合、いずれも IoT Edge デバイスにすることはできません。

Azure portal で、IoT Hub Device Provisioning Service のインスタンスに移動します。
[設定] の下の [登録の管理] を選択します。
[Add individual enrollment]$個別登録の追加$ を選択し、登録を構成する次の手順を完了します。
1. [グループ名] を指定します。
2. 構成証明の種類として [対称キー] を選択します。
3. [True] を選択して、その登録が IoT Edge デバイス用のものであることを宣言します。グループ登録の場合、すべてのデバイスを IoT Edge デバイスにする必要があります。そうしない場合、いずれも IoT Edge デバイスにすることはできません。
4. 必要に応じて、[デバイスツインの初期状態] にタグ値を追加します。タグを使用して、デバイスグループをモジュール展開のターゲットにすることができます。次に例を示します。
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
5. [保存] を選択します。
グループ登録で使用するデバイスキーを作成するときに使用する、登録グループの主キーの値をコピーします。

これで、登録グループが存在しているので、IoT Edge ランタイムによってインストール時にデバイスを自動的にプロビジョニングできます。

デバイスキーを派生させる

グループ登録の一部としてプロビジョニングされる各デバイスには、プロビジョニング中に登録で対称キー構成証明を実行するために、派生デバイスキーが必要です。

デバイスキーを生成するには、DPS 登録グループからコピーしたキーを使用して、デバイスに対する一意の登録 ID の HMAC-SHA256 を計算し、結果を Base64 形式に変換します。

重要

デバイスコードには、登録の主キーやセカンダリキーを含めないでください。

Windows では、次の例に示すように、PowerShell を使用して派生デバイスキーを生成することができます。

KEY の値を、前に書き留めた主キーで置き換えます。

REG_ID の値をデバイスの登録 ID に置き換えます。

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

派生デバイスキーの出力例を次に示します。

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

IoT Edge をインストールする

ターゲットデバイスに Azure IoT Edge for Linux on Windows をデプロイします。

Note

下記の PowerShell の手順では、IoT Edge for Linux on Windows をローカルデバイスにデプロイする方法の概要を示しています。 PowerShell を使用してリモートターゲットデバイスにデプロイする場合は、リモート PowerShell を使用してリモートデバイスへの接続を確立し、そのデバイスでこれらのコマンドをリモートで実行することができます。

管理者特権の PowerShell セッションで、ターゲットデバイスアーキテクチャに応じて次のいずれかのコマンドを実行し、IoT Edge for Linux on Windows をダウンロードします。

X64、AMD64

$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
$ProgressPreference = 'SilentlyContinue'
Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_X64" -OutFile $msiPath

ARM64

$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
$ProgressPreference = 'SilentlyContinue'
Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_ARM64" -OutFile $msiPath

IoT Edge for Linux on Windows をデバイスにインストールします。
```
Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
```
インストールコマンドに INSTALLDIR="<FULLY_QUALIFIED_PATH>" パラメーターと VHDXDIR="<FULLY_QUALIFIED_PATH>" パラメーターを追加することで、IoT Edge for Linux on Windows のカスタムインストールと VHDX ディレクトリを指定できます。たとえば、インストールに D:\EFLOW フォルダーを使用し、VHDX に D:\EFLOW-VHDX を使用する場合は、次の PowerShell コマンドレットを使用できます。
```
Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
```
ターゲットデバイスの実行ポリシーがまだ AllSigned に設定されていない場合、これを設定します。最新の実行ポリシーをチェックしたり実行ポリシーを AllSigned に設定したりするためのコマンドについては、PowerShell の前提条件を参照してください。
IoT Edge for Linux on Windows のデプロイを作成します。このデプロイによって Linux 仮想マシンが作成され、IoT Edge ランタイムが自動的にインストールされます。
```
Deploy-Eflow
```
ヒント

既定では Deploy-Eflow コマンドを実行すると、1 GB の RAM、1 つの仮想 CPU コア、16 GB のディスク領域を持つ Linux 仮想マシンを作成します。ですが、VM に必要なリソースは、デプロイするワークロードに大きく左右されます。ワークロードを処理するのに十分なメモリがなければ、VM は起動に失敗します。

Deploy-Eflow コマンドのオプションでパラメーターを指定することで、仮想マシンで使用できるリソースをカスタマイズできます。これは、最小ハードウェア要件を持つデバイスに EFLOW をデプロイするために必要です。

たとえば、次のコマンドは、1 つの vCPU コア、1 GB の RAM (MB で表現)、および 2 GB のディスク領域を持つ仮想マシンを作成します。
```
Deploy-Eflow -cpuCount 1 -memoryInMB 1024 -vmDataSize 2
```
使用できるすべてのオプションパラメーターについては、「IoT Edge for Linux on Windows 用の PowerShell 関数」を参照してください。
警告

既定では、EFLOW の Linux 仮想マシンには DNS 構成がありません。 DHCP を使用したデプロイでは、DHCP サーバーによって伝達された DNS 構成の取得が試みられます。 DNS の構成を確認して、インターネット接続を確保してください。詳細については、AzEFLOW-DNS に関するページを参照してください。

GPU をデプロイに割り当てて、GPU アクセラレーション対応の Linux モジュールを有効にできます。これらの機能にアクセスするには、「Azure IoT Edge for Linux on Windows 用の GPU アクセラレーション」に詳述されている前提条件をインストールする必要があります。

GPU パススルーを使用するには、Deploy-Eflow コマンドに gpuName、gpuPassthroughType、gpuCount の各パラメーターを追加します。使用できるすべてのオプションパラメーターについては、「IoT Edge for Linux on Windows 用の PowerShell 関数」を参照してください。

警告

ハードウェアデバイスのパススルーを有効にすると、セキュリティリスクが高まる可能性があります。該当する場合は、GPU ベンダーが提供する、デバイスのリスク軽減ドライバーをお勧めします。詳細については、「Discrete Device Assignment を使用したグラフィックスデバイスのデプロイ」を参照してください。
ライセンス条項に同意するには、「Y」と入力します。
必要に応じて、「O」または「R」を入力して [Optional diagnostic data](オプションの診断データ) をオンまたはオフに切り替えます。
デプロイが完了すると、PowerShell ウィンドウに、「デプロイが成功しました」と表示されます。

デプロイが正常に完了したら、デバイスをプロビジョニングする準備が整いました。

クラウド ID を使用してデバイスをプロビジョニングする

ランタイムがデバイスにインストールされたら、デバイスプロビジョニングサービスと IoT Hub に接続するための情報を使用してデバイスを構成します。

次の情報を用意しておきます。

DPS の ID スコープ値
作成したデバイス登録 ID
個別登録の主キー、またはグループ登録を使用するデバイスの派生キーのいずれか。

プレースホルダーの値を実際の値で更新して、昇格された PowerShell セッションで次のコマンドを実行します。

Provision-EflowVm -provisioningType DpsSymmetricKey -scopeId PASTE_YOUR_ID_SCOPE_HERE -registrationId PASTE_YOUR_REGISTRATION_ID_HERE -symmKey PASTE_YOUR_PRIMARY_KEY_OR_DERIVED_KEY_HERE

インストールの成功を確認する

IoT Edge for Linux on Windows が IoT Edge デバイスに正常にインストールされ、構成されたことを確認します。

個別登録
グループ登録

デバイスプロビジョニングサービスで作成した個々の登録が使用されたことを確認できます。 Azure portal でデバイスプロビジョニングサービスインスタンスに移動します。作成した個々の登録の詳細を開きます。登録の状態が割り当てられており、デバイス ID が表示されています。

PowerShell セッションで次のコマンドを使用して、お使いの IoT Edge for Linux on Windows 仮想マシンにサインインします。
```
Connect-EflowVm
```
Note

仮想マシンへの SSH 接続が許可されるアカウントは、それを作成したユーザーだけです。
ログインすると、次の Linux コマンドを使用して、実行中の IoT Edge モジュールの一覧を確認できます。
```
sudo iotedge list
```
IoT Edge サービスのトラブルシューティングを行う必要がある場合は、次の Linux コマンドを使用します。
1. サービスのログを取得します。
```
sudo iotedge system logs
```
2. check ツールを使用して、デバイスの構成と接続の状態を確認します。
```
sudo iotedge check
```
Note

新しくプロビジョニングされたデバイスでは、IoT Edge ハブに関連するエラーが表示される場合があります。

× 運用環境の準備: Edge ハブのストレージディレクトリがホストファイルシステムに保持されています - エラー

edgeHub コンテナーの現在の状態を確認できませんでした

このエラーは、IoT Edge ハブモジュールが実行されていないために、新しくプロビジョニングされたデバイスで発生します。このエラーを解決するには、IoT Hub でデバイスのモジュールを設定し、デプロイを作成します。デバイスのデプロイを作成することで、IoT Edge ハブモジュールを含むモジュールがデバイス上で開始されます。

新しい IoT Edge デバイスを作成すると、Azure portal で状態コード 417 -- The device's deployment configuration is not set が表示されます。この状態は正常であり、デバイスでモジュールのデプロイを受け取る準備ができていることを意味します。

IoT Edge for Linux on Windows をアンインストールする

デバイスから Azure IoT Edge for Linux on Windows のインストールを削除する場合は、次のコマンドを使用します。

Windows で [設定] を開きます
[プログラムの追加と削除] を選択します
[Azure IoT Edge] アプリを選択します
[アンインストール] を選択します

次のステップ

デバイスプロビジョニングサービスの登録プロセスでは、新しいデバイスをプロビジョニングするときに、デバイス ID とデバイスツインタグを同時に設定できます。これらの値を使用して、個々のデバイスまたはデバイスグループをデバイスの自動管理で使用できます。使用方法については、「Azure Portal を使用した大規模な IoT Edge モジュールの展開と監視」または「Azure CLI を使用した大規模な IoT Edge モジュールの展開と監視」を参照してください。

さらに、以下を実行できます。

IoT Edge モジュールのデプロイに進んで、デバイスにモジュールをデプロイする方法を確認します。
IoT Edge for Linux on Windows 仮想マシンで証明書を管理し、ホスト OS から Linux 仮想マシンにファイルを転送する方法について確認します。
プロキシサーバー経由で通信するように IoT Edge デバイスを構成する方法について確認します。

次の方法で共有

対称キーを使用して IoT Edge for Linux on Windows デバイスを大規模に作成してプロビジョニングする

前提条件

クラウドリソース

デバイスの要件

開発者ツール

DPS の登録を作成する

DPS 個別登録を作成する

DPS グループ登録を作成する

デバイスキーを派生させる

IoT Edge をインストールする

クラウド ID を使用してデバイスをプロビジョニングする

インストールの成功を確認する

IoT Edge for Linux on Windows をアンインストールする

次のステップ

フィードバック

その他のリソース

次の方法で共有

対称キーを使用して IoT Edge for Linux on Windows デバイスを大規模に作成してプロビジョニングする

前提条件

クラウド リソース

デバイスの要件

開発者ツール

DPS の登録を作成する

DPS 個別登録を作成する

IoT Edge をインストールする

クラウド ID を使用してデバイスをプロビジョニングする

インストールの成功を確認する

IoT Edge for Linux on Windows をアンインストールする

次のステップ

フィードバック

その他のリソース

クラウドリソース