Создание и подготовка устройств IoT Edge в масштабе в Linux с помощью сертификатов X.509

Создание индивидуальной регистрации DPS

Отдельные регистрации принимают открытую часть сертификата удостоверения устройства и сопоставляют ее с сертификатом на устройстве.

1. В портал Azure перейдите к экземпляру службы подготовки устройств Центр Интернета вещей.

2. В разделе Параметрывыберите Управление регистрациями.

3. Выберите Добавить отдельную регистрацию и выполните следующие действия для настройки регистрации.

   • Механизм: выберите X.509.

   • Файл первичного сертификата PEM или CER: отправьте открытый файл из сертификата удостоверения устройства. Если вы использовали сценарии для создания тестового сертификата, выберите следующий файл:

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • Идентификатор устройства в Центре Интернета вещей: если необходимо, укажите идентификатор устройства. Идентификаторы устройств можно использовать, чтобы указать отдельное устройство для развертывания модуля. Если не указать идентификатор устройства, используется общее имя (CN) в сертификате X.509.

   • Устройство IoT Edge: выберите значение True, чтобы указать, что это регистрация устройства IoT Edge.

   • Выберите центры Интернета вещей, которым может быть назначено это устройство: выберите связанный центр Интернета вещей, к которому вы хотите подключить устройство. Можно выбрать несколько центров, и устройство будет назначено одному из них в соответствии с выбранной политикой распределения.

   • Начальное состояние двойника устройства: при желании добавьте значение тега в двойник устройства. Теги можно использовать для указания групп устройств для автоматического развертывания. Например:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Выберите Сохранить.

В разделе "Управление регистрацией" можно просмотреть идентификатор регистрации для только что созданной регистрации. Запишите его, так как его можно использовать при подготовке устройства.

После создания регистрации для устройства среда выполнения IoT Edge может автоматически подготавливать устройство во время установки.

Создание групповой регистрации в DPS

Для групповых регистраций используется промежуточный или корневой сертификат ЦС из цепочки сертификатов доверия, используемой для создания отдельных сертификатов удостоверений устройств.

Проверка корневого сертификата

При создании группы регистрации у вас есть возможность использовать проверенный сертификат. Вы можете проверить сертификат с помощью DPS, доказав, что владеете корневым сертификатом. Дополнительные сведения см. в разделе Проверка владения для сертификатов ЦС X.509.

1. В портал Azure перейдите к экземпляру службы подготовки устройств Центр Интернета вещей.

2. Выберите Сертификаты в меню слева.

3. Выберите Добавить, чтобы добавить новый сертификат.

4. Введите понятное имя для сертификата, а затем перейдите к CER-или PEM-файлу, который представляет открытую часть сертификата X.509.

   Если вы используете демонстрационные сертификаты, отправьте сертификат <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem.

5. Выберите Сохранить.

6. Теперь сертификат должен быть указан на странице Сертификаты. Выберите его, чтобы открыть сведения о сертификате.

7. Выберите Создать код проверки и скопируйте созданный код.

8. Если вы предоставили свой собственный сертификат ЦС или используете демонстрационные сертификаты, вы можете воспользоваться средством проверки, предоставленным в репозитории IoT Edge, чтобы проверить подтверждение владения. Средство проверки использует сертификат ЦС для подписывания нового сертификата с предоставленным кодом проверки в качестве имени субъекта.

   New-CACertsVerificationCert "<verification code>"
   

9. На той же странице сведений о сертификате на портале Azure отправьте только что созданный сертификат проверки.

10. Нажмите кнопку Проверить.

Создание группы регистрации

Дополнительные сведения о регистрации в службе подготовки устройств см. в статье "Управление регистрацией устройств".

1. В портал Azure перейдите к экземпляру службы подготовки устройств Центр Интернета вещей.

2. В разделе Параметрывыберите Управление регистрациями.

3. Выберите Добавить группу регистрации и выполните следующие действия для настройки регистрации:

   • Имя группы: укажите запоминающееся имя для этой группы регистрации.

   • Тип аттестации: выберите Сертификат.

   • Устройство IoT Edge: выберите True. Для групповой регистрации все устройства должны быть устройствами IoT Edge — или вы не сможете зарегистрировать ни одно из них.

   • Тип сертификата: выбор сертификата ЦС.

   • Основной сертификат: выберите сертификат из раскрывающегося списка.

   • Выберите центры Интернета вещей, которым может быть назначено это устройство: выберите связанный центр Интернета вещей, к которому вы хотите подключить устройство. Можно выбрать несколько центров, и устройство будет назначено одному из них в соответствии с выбранной политикой распределения.

   • Начальное состояние двойника устройства: при желании добавьте значение тега в двойник устройства. Теги можно использовать для указания групп устройств для автоматического развертывания. Например:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Выберите Сохранить.

В разделе "Управление регистрацией" можно просмотреть идентификатор регистрации для только что созданной регистрации. Запишите его, так как его можно использовать при подготовке устройств.

Теперь, когда для этих устройств существует регистрация, среда выполнения IoT Edge может автоматически подготавливать устройства во время установки.

Установка может выполняться с помощью нескольких команд. Откройте терминал и выполните следующие команды:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

Для установки версии с помощью APT потребуется выполнить несколько команд. Откройте терминал и выполните следующие команды:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

Установка может выполняться с помощью нескольких команд. Откройте терминал и выполните следующие команды:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

Среда выполнения IoT Edge устанавливается из хранилища оснастки на следующем шаге. Переходите к следующему разделу.

Установите модуль Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Установите модуль Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Установите модуль Moby и CLI.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge имеет зависимости от Docker и Службы удостоверений Интернета вещей. Установите зависимости с помощью следующих команд:

sudo snap install docker
sudo snap install azure-iot-identity

Оснастка Docker обслуживается каноническим и поддерживается для рабочих сценариев.

1. Создание или изменение существующего файла конфигурации управляющей программы Docker

   sudo nano /etc/docker/daemon.json
   

2. Задайте драйвер ведения журнала по умолчанию драйверу local ведения журнала, как показано в примере.

      {
         "log-driver": "local"
      }
   

3. Перезапустите обработчик контейнеров, чтобы изменения вступили в силу.

   sudo systemctl restart docker
   

В настоящее время параметр локального ведения журнала не поддерживается для оснастки Docker.

Установите последнюю версию IoT Edge и пакет службы удостоверений Интернета вещей (если вы еще не обновлены):

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

Дополнительный defender-iot-micro-agent-edge пакет включает микроагент безопасности Microsoft Defender для Интернета вещей, который обеспечивает видимость конечных точек в управлении безопасностью, уязвимостях, обнаружении угроз, управлении парками и многое другое, чтобы обеспечить безопасность устройств IoT Edge. Рекомендуется установить микроагент с агентом Edge, чтобы обеспечить мониторинг безопасности и защиту устройств Edge. Дополнительные сведения о Microsoft Defender для Интернета вещей см. в статье "Что такое Microsoft Defender для Интернета вещей для разработчиков устройств".

Установите последнюю версию IoT Edge и пакет службы удостоверений Интернета вещей (если вы еще не обновлены):

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

Необязательный пакет defender-iot-micro-agent-edge включает микроагент безопасности Microsoft Defender для Интернета вещей, который обеспечивает видимость конечных точек в управлении безопасностью, уязвимостях, обнаружении угроз, управлении парком и многое другое для защиты устройств IoT Edge. Рекомендуется установить микроагент с агентом Edge, чтобы обеспечить мониторинг безопасности и защиту устройств Edge. Дополнительные сведения о Microsoft Defender для Интернета вещей см. в статье "Что такое Microsoft Defender для Интернета вещей для разработчиков устройств".

Установите последнюю версию IoT Edge и пакет службы удостоверений Интернета вещей (если вы еще не обновлены):

sudo yum install aziot-edge

Установите IoT Edge из хранилища оснастки:

sudo snap install azure-iot-edge

Подключение оснастки

По умолчанию привязки являются свободными от зависимостей, ненадежными и строго ограничены. Поэтому привязки должны быть подключены к другим оснасткам и системным ресурсам после установки. Используйте следующие команды, чтобы подключить службу удостоверений IoT и IoT Edge друг к другу и системные ресурсы. Чтобы приступить к работе, привязки должны быть подключены вручную. Для рабочих развертываний их можно настроить для автоматического подключения для уменьшения рабочей нагрузки подготовки.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

Откройте файл конфигурации на устройстве IoT Edge.

sudo nano /etc/aziot/config.toml

Найдите в файле раздел подготовки. Раскомментируйте строки для подготовки DPS с сертификатом X.509 и убедитесь, что все остальные строки подготовки закомментированы.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

При использовании оснастки установки IoT Edge файл шаблона находится по адресу /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template. Создайте копию файла шаблона в домашнем каталоге и назовите его config.toml. Например:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Откройте файл конфигурации в домашнем каталоге на устройстве IoT Edge.

nano ~/config.toml

Найдите в файле раздел подготовки. Раскомментируйте строки для подготовки DPS с помощью сертификата X.509 и убедитесь, что любые другие строки подготовки закомментированы. Путь, используемый для файлов сертификатов, должен быть путь к общему каталогу, доступным как для оснастки azure-iot-edge, так и azure-iot-identity. Например, /var/snap/azure-iot-identity/current/shared/.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

Можно проверить, используется ли отдельная регистрация, созданная в службе подготовки устройств. Перейдите к экземпляру службы подготовки устройств в портал Azure. Откройте сведения о регистрации для созданной индивидуальной регистрации. Обратите внимание, что регистрация имеет состояние назначено и указан идентификатор устройства.

Вы можете убедиться, что была использована регистрация группы, созданная в службе подготовки устройств. Перейдите к экземпляру службы подготовки устройств в портал Azure. Откройте сведения о регистрации для созданной группы. Перейдите на вкладку "Записи регистрации", чтобы просмотреть все устройства, зарегистрированные в этой группе.