Criar e provisionar dispositivos do Azure IoT Edge em escala com um TPM no Linux

Aplica-se a: IoT Edge 1.5 IoT Edge 1.4

Este artigo fornece instruções de provisionamento automático de um Azure IoT Edge de dispositivo Linux usando um Trusted Platform Module (TPM). É possível provisionar automaticamente dispositivos do Azure IoT Edge com o Serviço de provisionamento de dispositivos no Hub IoT do Azure. Se você não estiver familiarizado com o processo de provisionamento automático, reveja a visão geral de provisionamento antes de continuar.

Este artigo descreve duas metodologias. Selecione sua preferência com base na arquitetura de sua solução:

• Provisionar automaticamente um dispositivo Linux com hardware de TPM físico.
• Provisionar automaticamente uma VM (máquina virtual) do Linux com um TPM simulado em execução em um computador de desenvolvimento Windows com o Hyper-V habilitado. É recomendável usar essa metodologia apenas como um cenário de teste. Um TPM simulado não oferece a mesma segurança que um TPM físico.

As instruções são diferentes com base na metodologia, portanto, verifique se você está na guia correta no futuro.

Pré-requisitos

Recursos de nuvem

• Um Hub IoT ativo
• Uma instância do Serviço de Provisionamento de Dispositivos no Hub IoT no Azure, vinculada ao seu hub IoT
  • Se você não tiver uma instância do Serviço de Provisionamento de Dispositivos, poderá seguir as instruções nas seções Criar um novo Serviço de Provisionamento de Dispositivos no Hub IoT e Vincular o Hub IoT e o Serviço de Provisionamento de Dispositivos do início rápido do Serviço de Provisionamento de Dispositivos no Hub IoT.
  • Depois de executar o Serviço de Provisionamento de Dispositivo, copie o valor do Escopo de ID da página de visão geral. Você usa esse valor ao configurar o runtime do Azure IoT Edge.

Requisitos do dispositivo

Configurar seu dispositivo

Recuperar informações de provisionamento para o TPM

Nesta seção, você usará as ferramentas de software TPM2 para recuperar a chave de endosso para o TPM e gerar uma ID de registro exclusiva. Esta seção corresponde à Etapa 3: o dispositivo tem firmware e software instalados no processo para integrar um TPM ao processo de fabricação.

Instalar as ferramentas do TPM2

Entrar no dispositivo e instalar o pacote tpm2-tools.

sudo apt-get install tpm2-tools

sudo yum install tpm2-tools

sudo snap install tpm2-tools

Executar o script a seguir para ler a chave de endosso, criando uma caso ela ainda não exista.

#!/bin/sh
if [ "$USER" != "root" ]; then
  SUDO="sudo "
fi

$SUDO tpm2_readpublic -Q -c 0x81010001 -o ek.pub 2> /dev/null
if [ $? -gt 0 ]; then
  # Create the endorsement key (EK)
  $SUDO tpm2_createek -c 0x81010001 -G rsa -u ek.pub

  # Create the storage root key (SRK)
  $SUDO tpm2_createprimary -Q -C o -c srk.ctx > /dev/null

  # make the SRK persistent
  $SUDO tpm2_evictcontrol -c srk.ctx 0x81000001 > /dev/null

  # open transient handle space for the TPM
  $SUDO tpm2_flushcontext -t > /dev/null
fi

printf "Gathering the registration information...\n\nRegistration Id:\n%s\n\nEndorsement Key:\n%s\n" $(sha256sum -b ek.pub | cut -d' ' -f1 | sed -e 's/[^[:alnum:]]//g') $(base64 -w0 ek.pub)
$SUDO rm ek.pub srk.ctx 2> /dev/null

A janela de saída exibe a ID de Registro exclusiva e a Chave de Endosso do dispositivo. Copie esses valores para uso posterior quando criar um registro individual do dispositivo no serviço de provisionamento de dispositivos.

Depois que tiver a ID de registro e a chave de endosso, você estará pronto para continuar.

Criar um registro de serviço de provisionamento de dispositivos

Use as informações de provisionamento do TPM para criar um registro individual no serviço de provisionamento de dispositivos.

Ao criar um registro no serviço de provisionamento de dispositivos, você tem a oportunidade de declarar um Estado Inicial do Dispositivo Gêmeo. No dispositivo gêmeo, você pode definir marcas para agrupar dispositivos segundo qualquer métrica que precisar em sua solução, como região, ambiente, local ou tipo de dispositivo. Essas marcas são usadas para criar implantações automáticas.

1. No Portal do Azure, navegue até sua instância do Serviço de Provisionamento de Dispositivos no Hub IoT.

2. Em Configurações, selecione Gerenciar registros.

3. Selecione Adicionar registro individual e conclua as seguintes etapas para configurar o registro:

   1. Em Mecanismo, selecione TPM.

   2. Forneça a Chave de endosso e a ID de Registro que você copiou da sua VM ou do dispositivo físico.

   3. Forneça uma ID para seu dispositivo se desejar. Se você não fornecer uma ID de dispositivo, a ID de registro será usada.

   4. Selecione True para declarar que a VM ou o dispositivo físico é um dispositivo do IoT Edge.

   5. Escolha o hub IoT vinculado ao qual deseja conectar o dispositivo ou selecione Vincular ao novo Hub IoT. Você pode escolher vários hubs e o dispositivo será atribuído a um deles, de acordo com a política de atribuição selecionada.

   6. Adicione um valor de marca ao estado inicial do dispositivo gêmeo se desejar. Você pode usar marcas para grupos de dispositivos de destino para a implantação do módulo. Para obter mais informações, confira Implantar módulos do IoT Edge em escala.

   7. Selecione Salvar.

Agora que existe um registro para esse dispositivo, o runtime do IoT Edge pode provisionar automaticamente o dispositivo durante a instalação.

Instalar o Edge IoT

Nesta seção, você preparará a máquina virtual do Linux ou o dispositivo físico para Azure IoT Edge. Em seguida, você instalará o IoT Edge.

Execute os comandos a seguir para adicionar o repositório de pacotes e, em seguida, adicione a chave de assinatura de pacote da Microsoft à sua lista de chaves confiáveis.

Para obter mais informações sobre versões do sistema operacional, veja Plataformas suportadas pelo Azure IoT Edge.

Instalar um mecanismo de contêiner

O Azure IoT Edge depende de um runtime de contêiner compatível com OCI. Em cenários de produção, recomendamos o uso do mecanismo Moby. O mecanismo Moby é o mecanismo de contêiner com suporte oficial do Azure IoT Edge. Imagens de contêiner do docker CE/EE são compatíveis com o runtime Moby. Se você estiver usando snaps do Ubuntu Core, o snap do Docker será atendido pela Canonical e terá suporte para cenários de produção.

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

sudo snap install docker
sudo snap install azure-iot-identity

Por padrão, o mecanismo de contêiner não define limites de tamanho de log de contêiner. Com o tempo, isso pode levar ao dispositivo que está se enchendo com os logs e ficando sem espaço em disco. No entanto, você pode configurar seu log para ser exibido localmente, embora seja opcional. Para saber mais sobre a configuração de log, confira Lista de verificação de implantação em produção.

As etapas a seguir mostram como configurar seu contêiner para usar local driver de log como mecanismo de log.

Instalar o runtime do Azure IoT Edge

O serviço do IoT Edge fornece e mantém padrões de segurança no dispositivo IoT Edge. O serviço é iniciado a cada inicialização e inicializa o dispositivo iniciando o restante do runtime do IoT Edge.

As etapas dessa seção representam o processo típico de instalação da versão mais recente do IoT Edge em um dispositivo que tenha conexão com a Internet. Se precisar instalar uma versão específica, como uma versão de pré-lançamento, ou precisar instalar enquanto estiver offline, siga as etapas de Instalação offline ou de versão específica mais adiante neste artigo.

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

sudo yum install aziot-edge

sudo snap install azure-iot-edge

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

Provisionar o dispositivo com a identidade de nuvem dele

Depois que o runtime for instalado no dispositivo, configure o dispositivo com as informações usadas para se conectar ao serviço de provisionamento de dispositivos e ao Hub IoT do Azure.

Conheça o escopo da ID do serviço de provisionamento de dispositivos e a ID de registro do dispositivo que foram coletados anteriormente.

Crie um arquivo de configuração no dispositivo com base em um arquivo de modelo fornecido como parte da instalação do Azure IoT Edge.

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

sudo nano /etc/aziot/config.toml

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

nano ~/config.toml

1. Localize a seção de configurações de provisionamento do arquivo. Remova a marca de comentário das linhas de provisionamento do TPM e verifique se todas as outras linhas de provisionamento estão com a marca de comentário.

   # DPS provisioning with TPM
   [provisioning]
   source = "dps"
   global_endpoint = "https://global.azure-devices-provisioning.net"
   id_scope = "DPS_ID_SCOPE_HERE"
   
   # Uncomment to send a custom payload during DPS registration
   # payload = { uri = "PATH_TO_JSON_FILE" }
   
   [provisioning.attestation]
   method = "tpm"
   registration_id = "REGISTRATION_ID_HERE"
   
   # auto_reprovisioning_mode = Dynamic
   

2. Atualize os valores de id_scope e registration_id com as informações do dispositivo e do serviço de provisionamento de dispositivos. O valor scope_id é o escopo de ID da página de visão geral da instância do serviço de provisionamento de dispositivos.

   Para obter mais informações sobre as definições de configuração de provisionamento, veja Configurar as configurações do dispositivo IoT Edge.

3. Opcionalmente, localize a seção modo de reprovisionamento automático do arquivo. Use o parâmetro auto_reprovisioning_mode para configurar o comportamento de reprovisionamento do seu dispositivo. Dinâmico - Reprovisionar quando o dispositivo detectar que ele pode ter sido movido de um Hub IoT para outro. Esse é o padrão. AlwaysOnStartup – Reprovisionar quando o dispositivo for reinicializado ou uma falha fizer com que os daemons sejam reiniciados. OnErrorOnly – Nunca dispare o reprovisionamento de dispositivo automaticamente. Cada modo terá um fallback de reprovisionamento de dispositivo implícito se o dispositivo não puder se conectar ao Hub IoT durante o provisionamento de identidade devido a erros de conectividade. Para obter mais informações, confira Conceitos de reprovisionamento de dispositivo do Hub IoT.

4. Opcionalmente, remova a marca de comentário do parâmetro payload para especificar o caminho para um arquivo JSON local. O conteúdo do arquivo é enviado ao DPS como dados adicionais quando o dispositivo é registrado. Isso é útil para alocação personalizada. Por exemplo, se você desejar alocar seus dispositivos com base em uma ID do modelo de IoT Plug and Play sem intervenção humana.

5. Salve e feche o arquivo.

Conceder acesso de IoT Edge no TPM

O runtime do IoT Edge depende de um serviço TPM que intermedia o acesso ao TPM de um dispositivo. O serviço precisa acessar o TPM para provisionar automaticamente o seu dispositivo.

Você pode conceder acesso ao TPM, substituindo as configurações do systemd, de modo que o serviço aziottpm tenha privilégios de raiz. Se você não deseja elevar os privilégios de serviço, você também pode usar as etapas a seguir para fornecer manualmente o acesso TPM.

1. Crie uma nova regra que conceda ao tempo de execução do IoT Edge acesso a tpm0 e tpmrm0.

   sudo touch /etc/udev/rules.d/tpmaccess.rules
   

2. Abra o arquivo de regras.

   sudo nano /etc/udev/rules.d/tpmaccess.rules
   

3. Copie as seguintes informações de acesso para o arquivo de regras. O tpmrm0 pode não estar presente em dispositivos que usam um kernel anterior a 4.12. Dispositivos que não têm tpmrm0 ignorarão com segurança essa regra.

   # allow aziottpm access to tpm0 and tpmrm0
   KERNEL=="tpm0", SUBSYSTEM=="tpm", OWNER="aziottpm", MODE="0660"
   KERNEL=="tpmrm0", SUBSYSTEM=="tpmrm", OWNER="aziottpm", MODE="0660"
   

4. Salve e feche o arquivo.

5. Dispare o sistema udev para avaliar a nova regra.

   /bin/udevadm trigger --subsystem-match=tpm --subsystem-match=tpmrm
   

6. Verifique se a regra foi aplicada com êxito.

   ls -l /dev/tpm*
   

   A saída de sucesso é exibida da seguinte maneira:

   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpm0
   crw-rw---- 1 root aziottpm 10, 224 Jul 20 16:27 /dev/tpmrm0
   

   Se você não perceber que as permissões corretas foram aplicadas, tente reiniciar sua máquina para atualizar udev.

7. Aplique as alterações de configuração feitas no dispositivo.

   • Ubuntu / Debian / RHEL
   • Snaps do Ubuntu Core

   sudo iotedge config apply
   

Verifique se a instalação bem-sucedida

Se você ainda não fez isso, aplique as alterações de configuração feitas no dispositivo.

sudo iotedge config apply

Verifique se o runtime do IoT Edge está sendo executado.

sudo iotedge system status

Examine os logs do daemon.

sudo iotedge system logs

Se você vê erros de provisionamento, é possível que as alterações de configuração ainda não entraram em vigor. Tente reiniciar o daemon do IoT Edge.

sudo systemctl daemon-reload

Ou tente reiniciar a VM para ver se as alterações entram em vigor em um novo início.

Se o runtime foi iniciado com êxito, é possível entrar no hub IoT e ver que o novo dispositivo foi provisionado automaticamente. Agora seu dispositivo está pronto para executar os módulos do IoT Edge.

Módulos de execução da lista.

iotedge list

Você pode verificar se o registro individual criado no serviço de provisionamento de dispositivos foi usado. No portal do Azure, acesse a instância do serviço de provisionamento de dispositivos. Abra os detalhes de registro para o registro individual que você criou. Observe que o status do registro é atribuído e a ID do dispositivo está listada.

Próximas etapas

O processo de registro do serviço de provisionamento de dispositivos permite definir a ID do dispositivo e as marcas do dispositivo gêmeo ao mesmo tempo quando você provisiona o novo dispositivo. Você pode usar esses valores e o gerenciamento automático de dispositivos para direcionar a dispositivos individuais ou grupos de dispositivos.

Saiba como implantar e monitorar os módulos de IoT Edge em escala usando o portal do Azure ou a CLI do Azure.