Linux で TPM を使用して大規模な IoT Edge デバイスを作成およびプロビジョニングする

[アーティクル]
04/17/2024

適用対象: IoT Edge 1.5 IoT Edge 1.4

重要

サポートされているリリースは、IoT Edge 1.5 LTS と IoT Edge 1.4 LTS です。 IoT Edge 1.4 LTS は、2024 年 11 月 12 日にサポートが終了します。以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

この記事では、トラステッドプラットフォームモジュール (TPM) を使用して Azure IoT Edge for Linux デバイスを自動プロビジョニングする手順について説明します。 IoT Edge デバイスは、Azure IoT Hub Device Provisioning Service を使用して自動プロビジョニングできます。自動プロビジョニングの処理に慣れていない場合は、「プロビジョニングの概要」を読んでから先に進んでください。

この記事では、次の 2 つの手法の概要を説明します。ソリューションのアーキテクチャに基づいて、使用する手法を選択してください。

物理 TPM ハードウェアを使用して Linux デバイスを自動プロビジョニングします。
Hyper-V が有効な Windows 開発用コンピューターで実行されているシミュレートされた TPM を使用して、Linux 仮想マシン (VM) を自動プロビジョニングします。この手法は、テストシナリオとしてのみ使用することをお勧めします。シミュレートされた TPM では、物理 TPM と同じセキュリティは提供されません。

手順は使用する手法によって異なるので、先に進む前に正しいタブが表示されていることをご確認ください。

物理デバイス
仮想マシン

タスクは次のとおりです。

TPM のプロビジョニング情報を取得します。
IoT Hub Device Provisioning Service のインスタンスでデバイスに対する個別の登録を作成します。
IoT Edge ランタイムをインストールして、デバイスを IoT ハブに接続します。

前提条件

クラウドリソース

アクティブな IoT ハブ
自分の IoT ハブにリンクされた、Azure 内の IoT Hub デバイスプロビジョニングサービスのインスタンス
- デバイスプロビジョニングサービスのインスタンスをお持ちでない場合は、IoT Hub デバイスプロビジョニングサービスクイックスタートの「新しい IoT Hub デバイスプロビジョニングサービスの作成」および「IoT ハブとデバイスプロビジョニングサービスとをリンクさせる」の手順に従ってください。
- Device Provisioning Service を実行した後、概要ページから [ID スコープ] の値をコピーします。この値は、IoT Edge ランタイムを構成するときに使用します。

IoT Edge デバイスとなる物理 Linux デバイス。

デバイスの製造元の場合は、「製造プロセスへの TPM の統合」のガイダンスを参照してください。

Note

Device Provisioning Service で TPM 構成証明を使用する場合は、TPM 2.0 が必要です。

TPM を使用する場合、グループではなく個別の Device Provisioning Service の登録のみ作成できます。

デバイスの設定

物理デバイス
仮想マシン

TPM で物理 Linux デバイスを使用している場合は、デバイスをセットアップするための追加の手順はありません。

作業を続ける準備ができました。

このセクションでは、Hyper-V で新しい Linux VM を作成します。 IoT Edge で自動プロビジョニングがどのように機能するかをテストするために、シミュレートされた TPM を使用してこの VM を構成します。

ヒント

VM を使用している場合は、この記事全体を通じて VM を何度もコピーして貼り付けます。 Hyper-V マネージャー接続アプリケーションを使用すると、コピーと貼り付けは簡単ではありません。 Hyper-V マネージャー経由でいったん VM に接続して、その IP アドレスを取得することをお勧めします。最初に sudo apt install net-tools を実行してから、hostname -I を実行します。その後、この IP アドレスを使用して、SSH 経由で接続できます: ssh <username>@<ipaddress>。

仮想スイッチを作成する

仮想スイッチを使用して、VM を物理ネットワークに接続できます。

Windows マシンで Hyper-V マネージャーを開きます。
[アクション] メニューの [仮想スイッチマネージャー] を選びます。
[外部] 仮想スイッチを選び、[仮想スイッチの作成] を選びます。
新しい仮想スイッチに名前を付けます。たとえば、EdgeSwitch を使用します。接続の種類が [外部ネットワーク] に設定されていることを確認し、[OK] を選びます。
ネットワーク接続が中断される可能性があることを警告するポップアップが表示されます。はいを選択して続行します。

ヒント

新しい仮想スイッチの作成中にエラーが発生した場合は、イーサネットアダプターを使用している他のスイッチがないこと、および同じ名前を使用している他のスイッチがないことを確認します。

仮想マシンの作成

起動可能なイメージファイルから新しい VM を作成します。

VM で使用するディスクイメージファイルをダウンロードし、ローカル環境に保存します。たとえば、Ubuntu Server 22.04 です。 IoT Edge デバイスでサポートされているオペレーティングシステムの詳細については、「Azure IoT Edge のサポートされるシステム」を参照してください。
Hyper-V マネージャーの [操作] メニューで、[操作]>[新規]>[仮想マシン] を選びます。
新しい仮想マシンウィザードを、次の構成で完了します。
1. 世代の指定: [世代 2] を選択します。第 2 世代の VM では、入れ子になった仮想化が有効になっており、これは VM で IoT Edge を実行するのに必要です。
2. ネットワークの構成: [接続] の値を、前のセクションで作成した仮想スイッチに設定します。
3. インストールオプション: [ブートイメージファイルからオペレーティングシステムをインストールする] を選択し、ローカルに保存したディスクイメージファイルを参照します。
VM を作成するウィザードで、[完了] を選びます。

新しい VM の作成には数分かかることがあります。

仮想 TPM を有効にする

VM が作成されたら、その設定を開いて、デバイスの自動プロビジョニングに使用する仮想 TPM を有効にします。

Hyper-V マネージャーで、VM を右クリックし、[設定] を選びます。
[セキュリティ] に移動します。
[セキュアブートを有効にする] をオフにします。
[トラステッドプラットフォームモジュールを有効にする] をオンにします。
[OK] を選択します。

仮想マシンの開始

VM を起動して、インストールプロセスを完了します。

Hyper-V マネージャーで、VM を起動して接続します。
VM 内のプロンプトに従ってインストールプロセスを実行し、コンピューターを再起動します。

インストールが完了し、VM に再度サインインすると、続行する準備が整います。

TPM のプロビジョニング情報を取得する

Note

この記事では以前、IoT C SDK の tpm_device_provision ツールを使用してプロビジョニング情報を生成しました。以前にこのツールを利用していた場合、以下の手順に従うと、同じ公開保証キーに対して別の登録 ID が生成されることに注意してください。以前のように登録 ID を作成し直す必要がある場合は、C SDK の tpm_device_provision ツールによって生成する方法を参照してください。 DPS での登録ごとに、登録 ID が、IoT Edge デバイスで使用するように構成されている登録 ID に一致していることを確認してください。

このセクションでは、TPM2 ソフトウェアツールを使用して TPM 用の保証キーを取得してから、一意の登録 ID を生成します。このセクションは、「製造プロセスへの TPM の統合」プロセスの「手順 3: デバイスにファームウェアとソフトウェアがインストールされる」に対応します。

TPM2 ツールのインストール

デバイスにサインインし、tpm2-tools パッケージをインストールします。

sudo apt-get install tpm2-tools

sudo yum install tpm2-tools

sudo snap install tpm2-tools

次のスクリプトを実行して保証キーを読み取り、まだ存在しない場合は作成します。

#!/bin/sh
if [ "$USER" != "root" ]; then
  SUDO="sudo "
fi

$SUDO tpm2_readpublic -Q -c 0x81010001 -o ek.pub 2> /dev/null
if [ $? -gt 0 ]; then
  # Create the endorsement key (EK)
  $SUDO tpm2_createek -c 0x81010001 -G rsa -u ek.pub

  # Create the storage root key (SRK)
  $SUDO tpm2_createprimary -Q -C o -c srk.ctx > /dev/null

  # make the SRK persistent
  $SUDO tpm2_evictcontrol -c srk.ctx 0x81000001 > /dev/null

  # open transient handle space for the TPM
  $SUDO tpm2_flushcontext -t > /dev/null
fi

printf "Gathering the registration information...\n\nRegistration Id:\n%s\n\nEndorsement Key:\n%s\n" $(sha256sum -b ek.pub | cut -d' ' -f1 | sed -e 's/[^[:alnum:]]//g') $(base64 -w0 ek.pub)
$SUDO rm ek.pub srk.ctx 2> /dev/null

出力ウィンドウに、デバイスの保証キーと一意の登録 ID が表示されます。後ほど Device Provisioning Service でデバイスの個別登録を作成するときに使用できるように、これらの値をコピーします。

登録 ID と保証キーを取得したら、次に進むことができます。

ヒント

TPM2 ソフトウェアツールを使用してプロビジョニング情報を取得しない場合は、情報を取得するための別の方法を見つける必要があります。 TPM チップごとに固有の保証キーを、それに関連付けられている TPM チップの製造元から取得します。 TPM デバイス用の一意の登録 ID を生成できます。たとえば、前述のように、保証キーの SHA-256 ハッシュを作成できます。

Device Provisioning Service 登録の作成

TPM のプロビジョニング情報を使用して、Device Provisioning Service で個別登録を作成します。

Device Provisioning Service 内に登録を作成するときに、デバイスツインの初期状態を宣言する機会があります。デバイスツインでは、ソリューションで使用される任意のメトリック (リージョン、環境、場所、デバイスの種類など) によってデバイスをグループ化するためのタグを設定できます。これらのタグは、自動展開を作成するために使用されます。

ヒント

この記事の手順は Azure portal 向けですが、Azure CLI を使用して個別登録を作成することもできます。詳細については、az iot dps enrollment を参照してください。この CLI コマンドの一部として、edge-enabled フラグを使用して、登録の対象が IoT Edge デバイスであることを指定します。

Azure portal で、IoT Hub Device Provisioning Service のインスタンスに移動します。
[設定] の下の [登録の管理] を選択します。
[個別登録の追加] を選択し、登録を構成する次の手順を完了します。
1. [メカニズム] で [TPM] を選択します。
2. VM または物理デバイスからコピーした保証キーと登録 ID を指定します。
3. 必要に応じて、デバイス ID を指定します。デバイス ID を指定しなかった場合は、登録 ID が使用されます。
4. [True] を選択し、VM または物理デバイスが IoT Edge デバイスであることを宣言します。
5. デバイスの接続先になるリンクされた IoT ハブを選択するか、[Link to new IoT Hub]$新しい IoT ハブへのリンク$ を選択します。複数のハブを選択でき、デバイスは、選択した割り当てポリシーに従ってそれらのハブの 1 つに割り当てられます。
6. 必要に応じて、[デバイスツインの初期状態] にタグ値を追加します。タグを使用して、デバイスグループをモジュール展開のターゲットにすることができます。詳細については、大規模な IoT Edge モジュールの展開に関する記事を参照してください。
7. [保存] を選択します。

これで、このデバイスの登録が存在しているので、IoT Edge ランタイムによってインストール時にデバイスを自動的にプロビジョニングできます。

IoT Edge をインストールする

このセクションでは、Linux 仮想マシンまたは IoT Edge の物理デバイスを準備します。次に、IoT Edge をインストールします。

次のコマンドを実行してパッケージリポジトリを追加し、信頼できるキーの一覧に Microsoft パッケージ署名キーを追加します。

重要

2022 年 6 月 30 日に、レベル 1 OS サポートリストから Raspberry Pi OS Stretch が廃止されました。潜在的なセキュリティの脆弱性を回避するために、ホスト OS を Bullseye に更新してください。

レベル 2 でサポートされているプラットフォームオペレーティングシステムの場合、インストールパッケージは、Azure IoT Edge リリースから入手できます。「オフラインまたは特定のバージョンのインストール」のインストール手順を参照してください。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

24.04:

wget https://packages.microsoft.com/config/ubuntu/24.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

22.04:

wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

20.04:

wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

APT を使用したインストールは、少ないコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

12 - Bookworm (arm32v7):

curl https://packages.microsoft.com/config/debian/12/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

11 - Bullseye (arm32v7):

curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

ヒント

OS のインストール中に "root" アカウントにパスワードを指定した場合、'sudo' は不要です。上記のコマンドを 'apt' から始めて実行できます。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

9.x (amd64):

  wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

8.x (amd64):

  wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

オペレーティングシステムのバージョンの詳細については、「Azure IoT Edge でサポートされているプラットフォーム」を参照してください。

Note

Azure IoT Edge ソフトウェアパッケージには、パッケージ内にあるライセンス条項 (usr/share/doc/{package-name} または LICENSE ディレクトリ) が適用されます。パッケージを使用する前に、ライセンス条項をお読みください。インストールし、パッケージを使用すると、これらの条項に同意したものと見なされます。ライセンス条項に同意しない場合は、そのパッケージを使用しないでください。

コンテナーエンジンをインストールする

Azure IoT Edge は、OCI と互換性のあるコンテナーランタイムに依存します。運用環境のシナリオでは、Moby エンジンを使用することをお勧めします。 Moby エンジンは、IoT Edge で公式にサポートされているコンテナーエンジンです。 Docker CE/EE コンテナーイメージは、Moby ランタイムと互換性があります。 Ubuntu Core スナップを使用している場合、Docker スナップは Canonical によって処理され、運用シナリオでサポートされます。

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンと CLI をインストールします。

sudo yum install moby-engine moby-cli

ヒント

Moby コンテナーエンジンをインストールするときにエラーが発生する場合は、Linux カーネルに Moby との互換性があることを確認します。埋め込みデバイスの一部の製造元からは、コンテナーエンジンとの互換性のために必要な機能を備えていないカスタム Linux カーネルを含むデバイスイメージが提供されています。 Moby から提供されている check-config スクリプトを使用する次のコマンドを実行して、カーネルの構成を確認します。

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

スクリプトの出力で、Generally Necessary と Network Drivers の下のすべての項目が有効になっていることを確認します。機能が欠けている場合は、カーネルをソースから再構築し、カーネルの適切な .config に含める関連モジュールを選択することで、それらを有効にします。同様に、defconfig や menuconfig などのカーネル構成ジェネレーターを使用している場合は、それぞれの機能を見つけて有効にし、ご自分のカーネルを適宜再構築します。新たに変更されたカーネルを展開したら、check-config スクリプトをもう一度実行して、必要なすべての機能が正常に有効になっていることを確認します。

IoT Edge には、Docker と IoT ID サービスへの依存関係があります。次のコマンドを使って、依存関係をインストールします。

sudo snap install docker
sudo snap install azure-iot-identity

Docker スナップは Canonical によって提供され、運用シナリオでサポートされます。

既定では、コンテナーエンジンによってコンテナーログサイズの制限は設定されません。これにより、時間の経過と共に、デバイスがログでいっぱいになり、ディスク容量が不足する可能性があります。ただし、ローカルに表示するようにログを構成することはできますが、省略しても構いません。ログ構成の詳細については、「運用環境デプロイのチェックリスト」を参照してください。

次の手順では、ログメカニズムとして local ログドライバーを使用するようにコンテナーを構成する方法を示します。

Ubuntu、Debian、RHEL
Ubuntu Core スナップ

既存の Docker デーモンの構成ファイルを作成または編集します
```
sudo nano /etc/docker/daemon.json
```
例で示すように、既定のログドライバーを local ログドライバーに設定します。
```
   {
      "log-driver": "local"
   }
```
コンテナーエンジンを再起動して、変更を有効にします。
```
sudo systemctl restart docker
```

IoT Edge ランタイムをインストールする

IoT Edge サービスによって、IoT Edge デバイス上にセキュリティ標準が提供されて維持されます。サービスは起動のたびに開始され、IoT Edge ランタイムの残りの部分を開始することでデバイスをブートストラップします。

Note

バージョン 1.2 以降では、IoT ID サービスにより、IoT Edge および IoT Hub と通信する必要があるその他のデバイスコンポーネントの ID プロビジョニングと管理が処理されます。

このセクションの手順では、インターネットに接続されているデバイスに最新バージョンの IoT Edge をインストールする一般的なプロセスが示されています。プレリリースバージョンなどの特定のバージョンをインストールする必要がある場合、またはオフラインの間にインストールする必要がある場合は、この記事で後述する「オフラインまたは特定のバージョンのインストール」の手順に従ってください。

ヒント

以前のバージョンを実行している IoT Edge デバイスが既にあり、最新のリリースにアップグレードする場合は、「IoT Edge セキュリティデーモンおよびランタイムの更新」の手順を使用します。それ以降のバージョンは、以前のバージョンの IoT Edge と十分に異なるため、アップグレードには特定の手順が必要です。

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

22.04:

sudo apt-get update; \
   sudo apt-get install aziot-edge

20.04:

sudo apt-get update; \
   sudo apt-get install aziot-edge defender-iot-micro-agent-edge

オプションの defender-iot-micro-agent-edge パッケージには、セキュリティ態勢管理、脆弱性、脅威検出、フリート管理などのエンドポイントの可視性を提供する Microsoft Defender for IoT セキュリティマイクロエージェントが含まれており、IoT Edge デバイスのセキュリティ保護に役立ちます。 Edge デバイスのセキュリティ監視とセキュリティ強化を有効にするには、Edge エージェントを使ってマイクロエージェントをインストールすることをお勧めします。 Microsoft Defender for IoT の詳細については、「デバイスビルダー向け Microsoft Defender for IoT とは」を参照してください。

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

オプションの defender-iot-micro-agent-edge パッケージには、セキュリティ態勢管理、脆弱性、脅威検出、フリート管理などのエンドポイントの可視性を提供する Microsoft Defender for IoT セキュリティマイクロエージェントが含まれており、IoT Edge デバイスのセキュリティ保護に役立ちます。 Edge デバイスのセキュリティ監視とセキュリティ強化を有効にするには、Edge エージェントを使ってマイクロエージェントをインストールすることをお勧めします。 Microsoft Defender for IoT の詳細については、「デバイスビルダー向け Microsoft Defender for IoT とは」を参照してください。

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

sudo yum install aziot-edge

スナップストアから IoT Edge をインストールします。

sudo snap install azure-iot-edge

スナップを接続する

既定では、スナップは依存関係がなく、信頼されておらず、厳密に制限されています。そのため、インストールの後で、スナップを他のスナップやシステムリソースに接続する必要があります。次のコマンドを使って、IoT ID サービスと IoT Edge スナップを相互に、およびシステムリソースと接続します。始めるには、スナップを手動で接続する必要があります。運用環境のデプロイでは、それらを自動的に接続するように構成して、プロビジョニングの作業量を減らすことができます。

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

クラウド ID を使用してデバイスをプロビジョニングする

ランタイムがデバイスにインストールされたら、Device Provisioning Service と IoT Hub に接続するために使用される情報でデバイスを構成します。

前に集めた Device Provisioning Service の ID スコープとデバイスの登録 ID を把握しておきます。

IoT Edge のインストールの一部として提供されるテンプレートファイルに基づいて、デバイスの構成ファイルを作成します。

Ubuntu、Debian、RHEL
Ubuntu Core スナップ

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

IoT Edge デバイスで構成ファイルを開きます。

sudo nano /etc/aziot/config.toml

IoT Edge のスナップインストールを使用している場合、テンプレートファイルは /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template にあります。ホームディレクトリにテンプレートファイルのコピーを作成し、config.toml という名前を付けます。次に例を示します。

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

IoT Edge デバイスのホームディレクトリで構成ファイルを開きます。

nano ~/config.toml

ファイルのプロビジョニング構成セクションを見つけます。 TPM プロビジョニング行のコメントを解除し、他にもプロビジョニング行があれば、それらのコメントが解除されていることを確認します。

# DPS provisioning with TPM
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "DPS_ID_SCOPE_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "tpm"
registration_id = "REGISTRATION_ID_HERE"

# auto_reprovisioning_mode = Dynamic

id_scope と registration_id の値を、Device Provisioning Service とデバイス情報で更新します。 scope_id の値は、Device Provisioning Service のインスタンスの概要ページにある ID スコープです。

プロビジョニング構成設定の詳細については、「IoT Edge デバイスの設定を構成する」を参照してください。
必要に応じて、ファイルの自動再プロビジョニングモードセクションを見つけます。 auto_reprovisioning_mode パラメーターを使用して、デバイスの再プロビジョニング動作を構成します。動的 - 1 つの IoT Hub から別の IoT Hub にデバイスが移動されたことがデバイスで検出されたときに再プロビジョニングします。これが既定です。 AlwaysOnStartup - デバイスが再起動されたとき、またはクラッシュによってデーモンが再起動されたときに再プロビジョニングします。 OnErrorOnly - デバイスの再プロビジョニングを自動的にトリガーしません。接続エラーが原因で ID プロビジョニング中にデバイスが IoT Hub に接続できない場合、各モードには暗黙的なデバイス再プロビジョニングフォールバックがあります。詳細については、「IoT Hub デバイスの再プロビジョニングの概念」を参照してください。
必要に応じて、payload パラメーターのコメントを解除して、ローカル JSON ファイルへのパスを指定します。デバイスが登録されると、ファイルの内容が追加データとして DPS に送信されます。これは、カスタム割り当てに役立ちます。たとえば、人間の介入なしに IoT プラグアンドプレイモデル ID に基づいてデバイスを割り当てる場合などです。
ファイルを保存して閉じます。

IoT Edge に TPM へのアクセス権を付与する

IoT Edge ランタイムは、デバイスの TPM へのアクセスを仲介する TPM サービスに依存しています。デバイスを自動的にプロビジョニングするには、このサービスが TPM にアクセスする必要があります。

TPM へのアクセス権を付与するには、systemd 設定をオーバーライドして、aziottpm サービスに root 特権を付与します。サービス権限を昇格したくない場合は、次の手順を使用して、TPM へのアクセス権を手動で付与することもできます。

IoT Edge ランタイムに tpm0 と tpmrm0 へのアクセス権を付与する新しいルールを作成します。
```
sudo touch /etc/udev/rules.d/tpmaccess.rules
```

規則ファイルを開きます。

sudo nano /etc/udev/rules.d/tpmaccess.rules

次のアクセス情報を規則ファイルにコピーします。 4.12 より前のカーネルを使用するデバイスには、tpmrm0 が存在しない場合があります。 tpmrm0 が存在しないデバイスでは、そのルールは安全に無視されます。
```
# allow aziottpm access to tpm0 and tpmrm0
KERNEL=="tpm0", SUBSYSTEM=="tpm", OWNER="aziottpm", MODE="0660"
KERNEL=="tpmrm0", SUBSYSTEM=="tpmrm", OWNER="aziottpm", MODE="0660"
```
ファイルを保存して終了します。
udev システムをトリガーして、新しい規則を評価します。
```
/bin/udevadm trigger --subsystem-match=tpm --subsystem-match=tpmrm
```
規則が正常に適用されたことを確認します。
```
ls -l /dev/tpm*
```
成功した場合の出力は、次のようになります。
```
crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpm0
crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpmrm0
```
適切なアクセス許可が適用されない場合は、マシンを再起動して udev を更新してみてください。
デバイスで行った構成の変更を適用します。
- Ubuntu、Debian、RHEL
- Ubuntu Core スナップ
```
sudo iotedge config apply
```
```
sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"
```

インストールの成功を確認する

まだ行っていない場合は、デバイスに加えた構成の変更を適用します。

sudo iotedge config apply

IoT Edge ランタイムが実行されていることを確認します。

sudo iotedge system status

デーモンのログを調べます。

sudo iotedge system logs

プロビジョニングエラーが発生した場合は、構成の変更がまだ有効になっていない可能性があります。 IoT Edge デーモンを再起動してみてください。

sudo systemctl daemon-reload

または、変更が新たな開始時に有効になる場合は、VM の再起動を試してください。

ランタイムが正常に起動した場合は、お使いの IoT ハブに移動して、新しいデバイスが自動的にプロビジョニングされたことを確認できます。これで、デバイスで IoT Edge モジュールを実行する準備ができました。

実行中のモジュールを一覧表示します。

iotedge list

Device Provisioning Service で作成した個々の登録が使用されたことを確認できます。 Azure portal で Device Provisioning Service インスタンスに移動します。作成した個々の登録の詳細を開きます。登録の状態が割り当てられており、デバイス ID が表示されています。

次のステップ

デバイスプロビジョニングサービスの登録プロセスでは、新しいデバイスをプロビジョニングするときに、デバイス ID とデバイスツインタグを同時に設定できます。これらの値を使用して、個々のデバイスまたはデバイスグループをデバイスの自動管理で使用できます。

Azure portal を使用して大規模な IoT Edge モジュールの展開と監視を行う方法または Azure CLI を使用する方法を理解します。

次の方法で共有

Linux で TPM を使用して大規模な IoT Edge デバイスを作成およびプロビジョニングする

前提条件

クラウドリソース

デバイスの要件

デバイスの設定

仮想スイッチを作成する

仮想マシンの作成

仮想 TPM を有効にする

仮想マシンの開始

TPM のプロビジョニング情報を取得する

TPM2 ツールのインストール

Device Provisioning Service 登録の作成

IoT Edge をインストールする

コンテナーエンジンをインストールする

IoT Edge ランタイムをインストールする

スナップを接続する

クラウド ID を使用してデバイスをプロビジョニングする

IoT Edge に TPM へのアクセス権を付与する

インストールの成功を確認する

次のステップ

フィードバック

その他のリソース

次の方法で共有

Linux で TPM を使用して大規模な IoT Edge デバイスを作成およびプロビジョニングする

前提条件

クラウド リソース

デバイスの要件

デバイスの設定

TPM のプロビジョニング情報を取得する

TPM2 ツールのインストール

Device Provisioning Service 登録の作成

IoT Edge をインストールする

コンテナー エンジンをインストールする

IoT Edge ランタイムをインストールする

クラウド ID を使用してデバイスをプロビジョニングする

IoT Edge に TPM へのアクセス権を付与する

インストールの成功を確認する

次のステップ

フィードバック

その他のリソース

クラウドリソース

コンテナーエンジンをインストールする