Criar e provisionar dispositivos IoT Edge em escala para Linux no Windows usando certificados X.509

Aplica-se a: IoT Edge 1.4

Este artigo fornece instruções de ponta a ponta para o provisionamento automático de um ou mais dispositivos IoT Edge para Linux no Windows usando certificados X.509. Você pode provisionar automaticamente dispositivos Azure IoT Edge com o DPS (serviço de provisionamento de dispositivos) no Hub IoT do Azure. Se você não estiver familiarizado com o processo de provisionamento automático, reveja a visão geral de provisionamento antes de continuar.

As tarefas são as seguintes:

1. Gerar certificados e chaves.
2. Crie um registro individual para um único dispositivo ou um registro de grupo para um conjunto de dispositivos.
3. Implante uma máquina virtual do Linux com o runtime do IoT Edge instalado e conecte-o ao Hub IoT.

Usar certificados X.509 como um mecanismo de atestado é uma maneira excelente de escalar a produção e simplificar o provisionamento do dispositivo. Normalmente, os certificados X.509 são organizados em uma cadeia de certificados de confiança. Começando com um certificado raiz confiável ou autoassinado, cada certificado na cadeia assina o próximo certificado inferior. Esse padrão cria uma relação de confiança representante desde o certificado raiz até cada certificado intermediário até o certificado de dispositivo de downstream final instalado em um dispositivo.

Pré-requisitos

Recursos de nuvem

• Um Hub IoT ativo
• Uma instância do Serviço de Provisionamento de Dispositivos no Hub IoT no Azure, vinculada ao seu hub IoT
  • Se você não tiver uma instância do Serviço de Provisionamento de Dispositivos, poderá seguir as instruções nas seções Criar um novo Serviço de Provisionamento de Dispositivos no Hub IoT e Vincular o Hub IoT e o Serviço de Provisionamento de Dispositivos do início rápido do Serviço de Provisionamento de Dispositivos no Hub IoT.
  • Depois de executar o Serviço de Provisionamento de Dispositivo, copie o valor do Escopo de ID da página de visão geral. Você usa esse valor ao configurar o runtime do Azure IoT Edge.

Requisitos do dispositivo

Um dispositivo Windows com os seguintes requisitos mínimos:

• Requisitos do Sistema

  • Windows 10¹/11 (Pro, Enterprise, IoT Enterprise)
  • Windows Server 2019¹/2022
    _{¹ Windows 10 e Windows Server 2019, no mínimo build 17763 com todas as atualizações cumulativas atuais instaladas.}

• Requisitos de hardware

  • Memória livre mínima: 1 GB
  • Espaço em disco livre mínimo: 10 GB

• Suporte à virtualização

  • No Windows 10, habilite o Hyper-V. Para obter mais informações, confira Instalar o Hyper-V no Windows 10.
  • No Windows Server, instale a função Hyper-V e crie um comutador de rede padrão. Para mais informações, confira Virtualização aninhada para Azure IoT Edge para Linux no Windows.
  • Em uma máquina virtual, configure a virtualização aninhada. Para obter mais informações, confira: virtualização aninhada.

• Suporte à rede

  • O não Windows Server vem com um comutador padrão. Para implantar o EFLOW em um dispositivo Windows Server, crie um comutador virtual. Para obter mais informações, confira Criar um comutador virtual para Linux no Windows.
  • As versões do Windows Desktop vêm com um comutador padrão que pode ser usado para a instalação do EFLOW. Se necessário, você pode criar o seu comutador virtual personalizado.

Ferramentas para desenvolvedores

Prepare o dispositivo de destino para a instalação do Azure IoT Edge para Linux no Windows e a implantação da máquina virtual do Linux:

1. Defina a política de execução no dispositivo de destino como AllSigned. Você pode verificar a política de execução atual em um prompt do PowerShell com privilégios elevados usando o seguinte comando:

   Get-ExecutionPolicy -List
   

   Se a política de execução do local machine não for AllSigned, você poderá definir a política de execução usando:

   Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
   

Para obter mais informações sobre o módulo do PowerShell do Azure IoT Edge para Linux no Windows, confira a referência de funções do PowerShell.

Gerar certificados de identidade do dispositivo

O certificado de identidade do dispositivo é um certificado downstream que se conecta por meio de uma cadeia de certificados de confiança ao certificado de autoridade de certificação (CA) X.509 superior. O certificado de identidade do dispositivo deve ter um CN (nome comum) definido como a identidade do dispositivo que você deseja que o dispositivo tenha no hub IoT.

Os certificados de identidade do dispositivo são usados apenas para provisionar o dispositivo do IoT Edge e autenticar o dispositivo com o Hub IoT do Azure. Eles não são certificados de assinatura, ao contrário dos certificados de CA apresentados pelo dispositivo IoT Edge aos módulos ou dispositivos downstream para verificação. Para saber mais, confira Detalhes do uso do certificado do Azure IoT Edge.

Depois de criar o certificado de identidade do dispositivo, você deve ter dois arquivos: um arquivo .cer ou .pem que contém a parte pública do certificado e um arquivo .cer ou .pem com a chave privada do certificado. Se você planeja usar o registro de grupo no DPS, também precisa da parte pública de um certificado de AC raiz ou intermediária na mesma cadeia de certificados de confiança.

Você precisa dos seguintes arquivos para configurar o provisionamento automático com X.509:

• O certificado de identidade do dispositivo e seu certificado de chave privada. O certificado de identidade do dispositivo será carregado no DPS se você criar um registro individual. A chave privada é passada para o runtime do IoT Edge.
• Um certificado de cadeia completo, que deve ter pelo menos a identidade do dispositivo e os certificados intermediários nele. O certificado de cadeia completo é passado para o runtime do IoT Edge.
• Um certificado de AC raiz ou intermediária da cadeia de certificados de confiança. Esse certificado será carregado no DPS se você criar um registro de grupo.

Usar certificados de teste (opcional)

Se você não tem uma autoridade de certificação disponível para criar certificados de identidade e quer experimentar esse cenário, o repositório Git do Azure IoT Edge contém scripts que você pode usar para gerar certificados de teste. Esses certificados foram criados apenas para o teste de desenvolvimento e não devem ser usados na produção.

Para criar certificados de teste, siga as etapas em Criar certificados de demonstração para testar recursos do dispositivo do IoT Edge. Conclua as duas seções necessárias para configurar os scripts de geração de certificado e para criar um certificado de AC raiz. Em seguida, siga as etapas para criar um certificado de identidade do dispositivo. Quando tiver terminado, você deverá ter a cadeia de certificados e o par de chaves a seguir:

• <WRKDIR>\certs\iot-edge-device-identity-<name>-full-chain.cert.pem
• <WRKDIR>\private\iot-edge-device-identity-<name>.key.pem

Você precisa desses dois certificados no dispositivo do IoT Edge. Se você for usar a inscrição individual no DPS, carregue o arquivo .cert.pem. Se você for usar o registro de grupo no DPS, também precisará carregar um certificado de AC raiz ou intermediária na mesma cadeia de certificados de confiança. Se você estiver usando certificados de demonstração, use o certificado <WRKDIR>\certs\azure-iot-test-only.root.ca.cert.pem para registro de grupo.

Criar um registro de DPS

Use os certificados e chaves gerados para criar um registro no DPS de um ou mais dispositivos Azure IoT Edge.

Se você quiser provisionar um único dispositivo IoT Edge, crie um registro individual. Se você precisar de vários dispositivos provisionados, siga as etapas para criar um registro de grupo do DPS.

Ao criar uma inscrição no DPS, tem a oportunidade de declarar um Estado inicial do dispositivo duplo. No dispositivo gêmeo, você pode definir tags para agrupar dispositivos por qualquer métrica que precisar em sua solução, como região, ambiente, local ou tipo de dispositivo. Essas marcas são usadas para criar implantações automáticas.

Para saber mais sobre registros no serviço de provisionamento de dispositivos, confira Como gerenciar registros de dispositivo.

Instalar o Edge IoT

Implante o Azure IoT Edge para Linux no Windows no dispositivo de destino.

1. Em uma sessão elevada do PowerShell, execute um dos comandos a seguir, dependendo da arquitetura do dispositivo de destino para baixar o IoT Edge para Linux no Windows.

   • X64/AMD64

     $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
     $ProgressPreference = 'SilentlyContinue'
     Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_X64" -OutFile $msiPath
     

   • ARM64

     $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
     $ProgressPreference = 'SilentlyContinue'
     Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_ARM64" -OutFile $msiPath
     

2. Instale o IoT Edge para Linux no Windows em seu dispositivo.

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
   

   Você pode especificar diretórios personalizados de instalação do IoT Edge no Linux e no Windows e do VHDX adicionando os parâmetros INSTALLDIR="<FULLY_QUALIFIED_PATH>" e VHDXDIR="<FULLY_QUALIFIED_PATH>" ao comando de instalação. Por exemplo, se você quiser usar a pasta D:\EFLOW para instalação e a pasta D:\EFLOW-VHDX para o VHDX, poderá usar o seguinte cmdlet do PowerShell.

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
   

3. Defina a política de execução no dispositivo de destino como AllSigned, se ainda não estiver definida. Confira os pré-requisitos do PowerShell para comandos para verificar a política de execução atual e definir a política de execução como AllSigned.

4. Crie a implantação do IoT Edge para Linux no Windows. A implantação cria sua máquina virtual do Linux e instala o runtime do IoT Edge para você.

   Deploy-Eflow
   

   Dica

   Por padrão, o comando Deploy-Eflow cria a máquina virtual Linux com 1 GB de RAM, 1 núcleo vCPU e 16 GB de espaço em disco. No entanto, os recursos necessários para a VM são dependem muito das cargas de trabalho implantadas. Se a VM não tiver memória suficiente para dar suporte às cargas de trabalho, ela não será iniciada.

   Você pode personalizar os recursos disponíveis da máquina virtual usando os parâmetros opcionais do comando Deploy-Eflow. Isso é necessário para implantar o EFLOW em um dispositivo com os requisitos mínimos de hardware.

   Por exemplo, o comando abaixo cria uma máquina virtual com 1 núcleo vCPU, 1 GB de RAM (representados em MB) e 2 GB de espaço em disco:

   Deploy-Eflow -cpuCount 1 -memoryInMB 1024 -vmDataSize 2
   

   Para obter informações sobre todos os parâmetros opcionais disponíveis, confira Funções do PowerShell para o IoT Edge para Linux no Windows.

   Aviso

   Por padrão, a máquina virtual do Linux do EFLOW não tem nenhuma configuração de DNS. As implantações que usam o DHCP tentarão obter a configuração de DNS propagada pelo servidor DHCP. Verifique a configuração de DNS para garantir a conectividade com a Internet. Para obter mais informações, confira AzEFLOW-DNS.

   Você pode atribuir uma GPU à implantação para habilitar os módulos do Linux acelerados por GPU. Para obter acesso a esses recursos, você precisará instalar os pré-requisitos detalhados em Aceleração de GPU do Azure IoT Edge para Linux no Windows.

   Para usar uma passagem de GPU, adicione os parâmetros gpuName, gpuPassthroughType e gpuCount ao comando Deploy-Eflow. Para obter informações sobre todos os parâmetros opcionais disponíveis, confira Funções do PowerShell para o IoT Edge para Linux no Windows.

   Aviso

   Habilitar a passagem de dispositivo de hardware pode aumentar os riscos de segurança. A Microsoft recomenda um driver de mitigação de dispositivo do fornecedor da GPU, quando aplicável. Para obter mais informações, confira Implantar dispositivos gráficos usando a atribuição discreta de dispositivo.

5. Insira "Y" para aceitar os termos de licença.

6. Insira "O" ou "R" para ativar ou desativar Dados de diagnóstico opcionais, dependendo de sua preferência.

7. Depois que a implantação for concluída, a janela do PowerShell relatará Implantação bem-sucedida.

   

   Após uma implantação bem-sucedida, você estará pronto para provisionar seu dispositivo.

Provisionar o dispositivo com a identidade de nuvem dele

Depois que o runtime for instalado no seu dispositivo, configure-o com as informações que ele usa para se conectar ao serviço de provisionamento de dispositivos e ao Hub IoT.

Prepare as seguintes informações:

• O valor do Escopo da ID do DPS. É possível recuperar esse valor da página de visão geral da instância do DPS no portal do Azure.
• O arquivo de cadeia de certificados de identidade do dispositivo no dispositivo.
• A chave de identidade do dispositivo no dispositivo.

Execute o seguinte comando em uma sessão do PowerShell com privilégios elevados, atualizando os valores de espaço reservado com seus valores:

Provision-EflowVm -provisioningType DpsX509 -scopeId PASTE_YOUR_ID_SCOPE_HERE -registrationId PASTE_YOUR_REGISTRATION_ID_HERE -identityCertPath PASTE_ABSOLUTE_PATH_TO_IDENTITY_CERTIFICATE_HERE -identityPrivateKey PASTE_ABSOLUTE_PATH_TO_IDENTITY_PRIVATE_KEY_HERE

Verifique se a instalação bem-sucedida

Verifique se o IoT Edge para Linux no Windows foi instalado e configurado com êxito em seu dispositivo IoT Edge.

1. Faça logon na sua máquina virtual IoT Edge para Linux no Windows usando o seguinte comando na sessão do PowerShell:

   Connect-EflowVm
   

   Observação

   A única conta permitida para o SSH da máquina virtual é o usuário que a criou.

2. Depois de fazer logon, você poderá verificar a lista de módulos do IoT Edge em execução usando o seguinte comando do Linux:

   sudo iotedge list
   

3. Se você precisar solucionar problemas de serviço do IoT Edge, use os comandos do Linux a seguir.

   1. Se você precisar solucionar problemas do serviço, recupere os logs de serviço.

      sudo iotedge system logs
      

   2. Use a ferramenta check para verificar a configuração e o status de conexão do dispositivo.

      sudo iotedge check
      

   Observação

   Em um dispositivo recém-provisionado, você pode ver um erro relacionado ao Hub do IoT Edge:

   × preparação para produção: o diretório de armazenamento do Hub do Edge é persistente no sistema de arquivos do host – erro

   Não foi possível verificar o estado atual do contêiner edgeHub

   Esse erro é esperado em um dispositivo recém-provisionado, pois o módulo do Hub do IoT Edge não está em execução. Para resolver o erro, no Hub IoT, defina os módulos para o dispositivo e crie uma implantação. A criação de uma implantação para o dispositivo inicia os módulos no dispositivo, incluindo o módulo Hub do IoT Edge.

Quando você cria um novo dispositivo IoT Edge, ele exibe o código de status 417 -- The device's deployment configuration is not set no portal do Azure. Esse status é normal e significa que o dispositivo está pronto para receber uma implantação do módulo.

Desinstalar o IoT Edge para Linux no Windows

Se você quiser remover a instalação do Azure IoT Edge para Linux no Windows do dispositivo, use os comandos a seguir.

1. Abra as Configurações no Windows
2. Selecione Adicionar ou remover programas
3. Selecione o aplicativo Azure IoT Edge
4. Selecionar Desinstalar

Próximas etapas

O processo de registro do serviço de provisionamento de dispositivo permite definir a ID do dispositivo e as marcas do dispositivo gêmeo ao mesmo tempo, como provisionar o novo dispositivo. Você pode usar esses valores para dispositivos individuais ou grupos de dispositivos usando o gerenciamento automático de dispositivo de destino. Saiba como Implantar e monitorar os módulos de IoT Edge em escala usando o portal do Azure ou usando a CLI do Azure.

Também é possível:

• Prossiga para implantar módulos do IoT Edge para saber como implantar módulos em seu dispositivo.
• Saiba como gerenciar certificados em sua máquina virtual do IoT Edge para Linux no Windows e transferir arquivos do sistema operacional host para sua máquina virtual Linux.
• Saiba como configurar seus dispositivos IoT Edge para se comunicar por meio de um servidor proxy.