Criar e provisionar dispositivos de Azure IoT Edge em escala no Linux usando certificados X.509

Criar um registro individual de DPS

Os registros individuais usam a parte pública do certificado de identidade de um dispositivo e correspondem ao certificado no dispositivo.

1. No portal do Azure, navegue até sua instância do serviço de provisionamento de dispositivos no Hub IoT.

2. Em Configurações, selecione Gerenciar registros.

3. Selecione adicionar registro individual, em seguida, conclua as seguintes etapas para configurar o registro:

   • Mecanismo: selecione X.509.

   • Arquivo .pem ou .cer do certificado primário: carregue o arquivo público do certificado de identidade do dispositivo. Se você usou os scripts para gerar um certificado de teste, escolha o seguinte arquivo:

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • ID de Dispositivo do Hub IoT: forneça uma ID para o seu dispositivo, se desejar. Você pode usar IDs de dispositivo para um dispositivo individual para a implantação do módulo de destino. Se você não fornecer uma ID de dispositivo, o CN (nome comum) no certificado X.509 será usado.

   • Dispositivo do IoT Edge: selecione True para declarar que o registro é para um dispositivo do IoT Edge.

   • Selecione os hubs IoT aos quais este dispositivo pode ser atribuído: escolha o Hub IoT vinculado ao qual você deseja conectar o dispositivo. Você pode escolher vários hubs e o dispositivo será atribuído a um deles de acordo com a política de alocação selecionada.

   • Estado inicial do dispositivo gêmeo: adicione um valor de marca a ser adicionado ao dispositivo gêmeo se desejar. Você pode usar marcas para grupos de dispositivos de destino para a implantação automática. Por exemplo:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Selecione Salvar.

Em Gerenciar Registros, você pode ver a ID do Registro que acabou de criar. Anote-a, pois ela pode ser usada quando você provisiona seu dispositivo.

Agora que existe um registro para esse dispositivo, o runtime do IoT Edge pode provisionar automaticamente o dispositivo durante a instalação.

Criar um registro de grupo de DPS

Os registros de grupo usam um certificado de AC raiz ou intermediária da cadeia de certificados de confiança usada para gerar os certificados de identidade do dispositivo individual.

Verificar seu certificado raiz

Ao criar um grupo de registro, você tem a opção de usar um certificado verificado. Você pode verificar um certificado com o DPS comprovando que tem a propriedade do certificado raiz. Para obter mais informações, consulte Como fazer uma prova de posse para certificados de autoridade de certificação X.509.

1. No portal do Azure, navegue até sua instância do serviço de provisionamento de dispositivos no Hub IoT.

2. Selecione Certificados no menu da esquerda.

3. Selecione Adicionar para adicionar um novo certificado.

4. Insira um nome amigável para seu certificado e, em seguida, navegue até o arquivo .cer ou .pem que representa a parte pública do seu certificado X.509.

   Se você estiver usando os certificados de demonstração, carregue o certificado <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem.

5. Selecione Salvar.

6. O certificado agora deve estar listado na página Certificados. Selecione-o para abrir os detalhes do certificado.

7. Selecione Gerar Código de Verificação e, em seguida, copie o código gerado.

8. Se você trouxer seu próprio certificado de autoridade de certificação ou estiver usando os certificados de demonstração, poderá usar a ferramenta de verificação fornecida no repositório IoT Edge para verificar a prova de posse. A ferramenta de verificação usa seu certificado de autoridade de certificação para assinar um novo certificado com o código de verificação fornecido como o nome da entidade.

   New-CACertsVerificationCert "<verification code>"
   

9. Na mesma página de detalhes do certificado no portal do Azure, carregue o certificado de verificação gerado recentemente.

10. Selecione Verificar.

Criar o grupo de registro

Para saber mais sobre registros no serviço de provisionamento de dispositivos, confira Como gerenciar registros de dispositivo.

1. No portal do Azure, navegue até sua instância do serviço de provisionamento de dispositivos no Hub IoT.

2. Em Configurações, selecione Gerenciar registros.

3. Selecione Adicionar grupo de registro, em seguida, conclua as seguintes etapas para configurar o registro:

   • Nome do grupo: forneça um nome fácil de memorizar para este registro de grupo.

   • Tipo de atestado: selecione Certificado.

   • Dispositivo do IoT Edge: selecione True. Para um registro de grupo, todos os dispositivos devem ser dispositivos do IoT Edge ou nenhum deles pode ser.

   • Tipo de Certificado: selecione Certificado de Autoridade de Certificação.

   • Certificado primário: escolha o certificado na lista suspensa.

   • Selecione os hubs IoT aos quais este dispositivo pode ser atribuído: escolha o Hub IoT vinculado ao qual você deseja conectar o dispositivo. Você pode escolher vários hubs e o dispositivo será atribuído a um deles de acordo com a política de alocação selecionada.

   • Estado inicial do dispositivo gêmeo: adicione um valor de marca a ser adicionado ao dispositivo gêmeo se desejar. Você pode usar marcas para grupos de dispositivos de destino para a implantação automática. Por exemplo:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Selecione Salvar.

Em Gerenciar Registros, você pode ver a ID do Registro que acabou de criar. Anote-a, pois ela pode ser usada quando você provisiona seu dispositivo.

Agora que existe um registro desses dispositivos, o runtime do IoT Edge pode provisionar automaticamente os dispositivos durante a instalação.

A instalação pode ser feita com alguns comandos. Abra um terminal e execute os seguintes comandos:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

A instalação com a APT pode ser feita com alguns comandos. Abra um terminal e execute os seguintes comandos:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

A instalação pode ser feita com alguns comandos. Abra um terminal e execute os seguintes comandos:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Você instala o runtime do IoT Edge do armazenamento instantâneo em uma etapa posterior. Siga para a próxima seção.

Instale o mecanismo de Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Instale o mecanismo de Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Instale o mecanismo Moby e a CLI.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

O IoT Edge tem dependências do Docker e do IoT Identity Service. Instale as dependências usando os seguintes comandos:

sudo snap install docker
sudo snap install azure-iot-identity

O snap do Docker é atendido pela Canonical e tem suporte para cenários de produção.

1. Crie ou edite o arquivo de configuração do daemon Docker existente

   sudo nano /etc/docker/daemon.json
   

2. Configure o driver de log padrão para o driver de log local conforme mostrado no exemplo.

      {
         "log-driver": "local"
      }
   

3. Reinicie o mecanismo de contêiner para que as alterações entrem em vigor.

   sudo systemctl restart docker
   

Atualmente, a configuração do driver de log local não é compatível com o snap do Docker.

Instale a versão mais recente do IoT Edge e o pacote de serviço de identidade IoT (se ainda não estiver atualizado):

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

O pacote opcional defender-iot-micro-agent-edge inclui o microagente de segurança Microsoft Defender para IoT que fornece visibilidade de ponto de extremidade sobre gerenciamento de postura de segurança, vulnerabilidades, detecção de ameaças, gerenciamento de frota e muito mais para ajudá-lo a proteger seus dispositivos IoT Edge. É recomendável instalar o micro agente com o agente do Edge para habilitar o monitoramento de segurança e a proteção de seus dispositivos do Edge. Para saber mais sobre o Microsoft Defender para IoT, consulte O que é o Microsoft Defender para IoT para compiladores de dispositivos.

Instale a versão mais recente do IoT Edge e o pacote de serviço de identidade IoT (se ainda não estiver atualizado):

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

O pacote opcional defender-iot-micro-agent-edge inclui o microagente de segurança Microsoft Defender para IoT que fornece visibilidade do ponto de extremidade sobre gerenciamento de postura de segurança, vulnerabilidades, detecção de ameaças, gerenciamento de frota e muito mais para ajudá-lo a proteger seus dispositivos IoT Edge. É recomendável instalar o micro agente com o agente do Edge para habilitar o monitoramento de segurança e a proteção de seus dispositivos do Edge. Para saber mais sobre o Microsoft Defender para IoT, consulte O que é o Microsoft Defender para IoT para compiladores de dispositivos.

Instale a versão mais recente do IoT Edge e o pacote de serviço de identidade IoT (se ainda não estiver atualizado):

sudo yum install aziot-edge

Instale o IoT Edge da loja instantânea:

sudo snap install azure-iot-edge

Conectar snaps

Por padrão, os snaps são livres de dependências, não confiáveis e estritamente confinados. Portanto, os snaps devem ser conectados a outros snaps e recursos do sistema após a instalação. Use os comandos a seguir para conectar o Serviço de Identidade IoT e os snaps do IoT Edge entre si e aos recursos do sistema. Para começar, os snaps precisam ser conectados manualmente. Para implantações de produção, eles podem ser configurados para se conectarem automaticamente para reduzir a carga de trabalho de provisionamento.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

Abra o arquivo de configuração no dispositivo do IoT Edge.

sudo nano /etc/aziot/config.toml

Localize a seção Provisionamento do arquivo. Remova a marca de comentário das linhas do provisionamento do certificado X.509 do DPS e verifique se todas as outras linhas de provisionamento estão com a marca de comentário.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

Se estiver usando uma instalação de ajuste do IoT Edge, o arquivo de modelo estará localizado em /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template. Crie uma cópia do arquivo de modelo no diretório inicial e nomeie-a como config.toml. Por exemplo:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Abra o arquivo de configuração em seu diretório inicial no dispositivo IoT Edge.

nano ~/config.toml

Localize a seção Provisionamento do arquivo. Remova a marca de comentário das linhas do provisionamento do certificado X.509 do DPS e verifique se todas as outras linhas de provisionamento estão com a marca de comentário. O caminho usado para os arquivos de certificado deve ser o caminho para o diretório compartilhado acessível para os snaps azure-iot-edge e azure-iot-identity. Por exemplo, /var/snap/azure-iot-identity/current/shared/.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

Você pode verificar se o registro individual criado no serviço de provisionamento de dispositivos foi usado. Navegue até a sua instância do serviço de provisionamento de dispositivos do portal do Azure. Abra os detalhes de registro para o registro individual que você criou. Observe que o status do registro é atribuído e a ID do dispositivo está listada.

Verifique se o registro de grupo criado no serviço de provisionamento de dispositivos foi usado. Navegue até a sua instância do serviço de provisionamento de dispositivos do portal do Azure. Abra os detalhes de registro do registro de grupo que você criou. Vá para a guia Registros para exibir todos os dispositivos registrados nesse grupo.