X.509 sertifikalarını kullanarak Linux üzerinde büyük ölçekte IoT Edge cihazları oluşturma ve sağlama

DPS bireysel kaydı oluşturma

Bireysel kayıtlar, bir cihazın kimlik sertifikasının genel bölümünü alır ve bunu cihazdaki sertifikayla eşleştirir.

1. Azure portalında IoT Hub cihaz sağlama hizmeti örneğine gidin.

2. Ayarlar'ın altında Kayıtları yönet'i seçin.

3. Bireysel kayıt ekle'yi seçin ve kaydı yapılandırmak için aşağıdaki adımları tamamlayın:

   • Mekanizma: X.509'ı seçin.

   • Birincil Sertifika .pem veya .cer dosyası: Cihaz kimliği sertifikasından genel dosyayı karşıya yükleyin. Betikleri test sertifikası oluşturmak için kullandıysanız aşağıdaki dosyayı seçin:

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • IoT Hub Cihaz Kimliği: İsterseniz cihazınız için bir kimlik belirtin. Modül dağıtımı için tek bir cihazı hedeflemek için cihaz kimliklerini kullanabilirsiniz. Cihaz kimliği sağlamazsanız, X.509 sertifikasındaki ortak ad (CN) kullanılır.

   • IoT Edge cihazı: Kaydın bir IoT Edge cihazına yönelik olduğunu bildirmek için True'yu seçin.

   • Bu cihazın atanabileceği IoT hub'larını seçin: Cihazınızı bağlamak istediğiniz bağlı IoT hub'ını seçin. Birden çok hub seçebilirsiniz ve cihaz seçilen ayırma ilkesine göre bunlardan birine atanır.

   • İlk Cihaz İkizi Durumu: İstersenize cihaz ikizine eklenecek bir etiket değeri ekleyin. Otomatik dağıtım için cihaz gruplarını hedeflemek için etiketleri kullanabilirsiniz. Örneğin:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Kaydet'i seçin.

Kayıtları Yönet'in altında, yeni oluşturduğunuz kaydın Kayıt Kimliğini görebilirsiniz. Cihazınızı sağlarken kullanılabileceğini unutmayın.

Artık bu cihaz için bir kayıt var olduğuna göre, IoT Edge çalışma zamanı yükleme sırasında cihazı otomatik olarak sağlayabilir.

DPS grup kaydı oluşturma

Grup kayıtları, tek tek cihaz kimliği sertifikalarını oluşturmak için kullanılan güven sertifika zincirinden bir ara veya kök CA sertifikası kullanır.

Kök sertifikanızı doğrulama

Bir kayıt grubu oluşturduğunuzda, doğrulanmış bir sertifika kullanma seçeneğiniz vardır. Kök sertifikanın sahipliğine sahip olduğunuzu kanıtlayarak DPS ile bir sertifikayı doğrulayabilirsiniz. Daha fazla bilgi için bkz . X.509 CA sertifikaları için sahiplik kanıtı yapma.

1. Azure portalında IoT Hub cihaz sağlama hizmeti örneğine gidin.

2. Sol taraftaki menüden Sertifikalar'ı seçin.

3. Yeni bir sertifika eklemek için Ekle'yi seçin.

4. Sertifikanız için kolay bir ad girin, ardından X.509 sertifikanızın genel bölümünü temsil eden .cer veya .pem dosyasına göz atın.

   Tanıtım sertifikalarını kullanıyorsanız sertifikayı <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem karşıya yükleyin.

5. Kaydet'i seçin.

6. Sertifikanız artık Sertifikalar sayfasında listelenmelidir. Sertifika ayrıntılarını açmak için seçin.

7. Doğrulama Kodu Oluştur'a tıklayın ve oluşturulan kodu kopyalayın.

8. İster kendi CA sertifikanızı getirdiniz ister tanıtım sertifikalarını kullanıyor olun, sahiplik kanıtını doğrulamak için IoT Edge deposunda sağlanan doğrulama aracını kullanabilirsiniz. Doğrulama aracı, konu adı olarak sağlanan doğrulama kodunu içeren yeni bir sertifika imzalamak için CA sertifikanızı kullanır.

   New-CACertsVerificationCert "<verification code>"
   

9. Azure portalındaki sertifika ayrıntıları sayfasında yeni oluşturulan doğrulama sertifikasını karşıya yükleyin.

10. Doğrula seçeneğini belirleyin.

Kayıt grubu oluşturma

Cihaz sağlama hizmetindeki kayıtlar hakkında daha fazla bilgi için bkz . Cihaz kayıtlarını yönetme.

1. Azure portalında IoT Hub cihaz sağlama hizmeti örneğine gidin.

2. Ayarlar'ın altında Kayıtları yönet'i seçin.

3. Kayıt grubu ekle'yi seçin ve kaydı yapılandırmak için aşağıdaki adımları tamamlayın:

   • Grup adı: Bu grup kaydı için akılda kalıcı bir ad sağlayın.

   • Kanıtlama Türü: Sertifika'ya tıklayın.

   • IoT Edge cihazı: Doğru'yu seçin. Grup kaydı için tüm cihazların IoT Edge cihazları olması gerekir veya hiçbiri olamaz.

   • Sertifika Türü: CA Sertifikası'nın seçin.

   • Birincil sertifika: Açılan listeden sertifikanızı seçin.

   • Bu cihazın atanabileceği IoT hub'larını seçin: Cihazınızı bağlamak istediğiniz bağlı IoT hub'ını seçin. Birden çok hub seçebilirsiniz ve cihaz seçilen ayırma ilkesine göre bunlardan birine atanır.

   • İlk Cihaz İkizi Durumu: İstersenize cihaz ikizine eklenecek bir etiket değeri ekleyin. Otomatik dağıtım için cihaz gruplarını hedeflemek için etiketleri kullanabilirsiniz. Örneğin:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Kaydet'i seçin.

Kayıtları Yönet'in altında, yeni oluşturduğunuz kaydın Kayıt Kimliğini görebilirsiniz. Cihazlarınızı sağlarken kullanılabildiği için not alın.

Artık bu cihazlar için bir kayıt bulunduğuna göre, IoT Edge çalışma zamanı yükleme sırasında cihazları otomatik olarak sağlayabilir.

Yükleme birkaç komutla yapılabilir. Bir terminal açın ve aşağıdaki komutları çalıştırın:

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

APT ile yükleme birkaç komutla yapılabilir. Bir terminal açın ve aşağıdaki komutları çalıştırın:

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

Yükleme birkaç komutla yapılabilir. Bir terminal açın ve aşağıdaki komutları çalıştırın:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

IoT Edge çalışma zamanını sonraki bir adımda ek bileşen deposundan yükleyebilirsiniz. Sonraki bölüme geçin.

Moby motorunu yükleyin.

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby motorunu yükleyin.

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby altyapısını ve CLI'yi yükleyin.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge'in Docker ve IoT Kimlik Hizmeti'ne bağımlılıkları vardır. Aşağıdaki komutları kullanarak bağımlılıkları yükleyin:

sudo snap install docker
sudo snap install azure-iot-identity

Docker snap canonical tarafından sağlanır ve üretim senaryoları için desteklenir.

1. Mevcut Docker daemon'un yapılandırma dosyasını oluşturma veya düzenleme

   sudo nano /etc/docker/daemon.json
   

2. Varsayılan günlük sürücüsünü local örnekte gösterildiği gibi günlük sürücüsüne ayarlayın.

      {
         "log-driver": "local"
      }
   

3. Değişikliklerin etkili olması için kapsayıcı altyapısını yeniden başlatın.

   sudo systemctl restart docker
   

Şu anda Docker snap için yerel günlük sürücüsü ayarı desteklenmiyor.

IoT Edge'in en son sürümünü ve IoT kimlik hizmeti paketini yükleyin (henüz güncel değilseniz):

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

İsteğe bağlı defender-iot-micro-agent-edge paket, IoT Edge cihazlarınızın güvenliğini sağlamanıza yardımcı olmak için güvenlik duruşu yönetimi, güvenlik açıkları, tehdit algılama, filo yönetimi ve daha fazlası için uç nokta görünürlüğü sağlayan IoT için Microsoft Defender güvenlik mikro aracısını içerir. Edge cihazlarınızın güvenlik izlemesini ve sağlamlaştırmasını sağlamak için mikro aracıyı Edge aracısıyla yüklemeniz önerilir. IoT için Microsoft Defender hakkında daha fazla bilgi edinmek için bkz . Cihaz oluşturucuları için IoT için Microsoft Defender nedir?

IoT Edge'in en son sürümünü ve IoT kimlik hizmeti paketini yükleyin (henüz güncel değilseniz):

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

İsteğe bağlı defender-iot-micro-agent-edge paketi, IoT Edge cihazlarınızın güvenliğini sağlamanıza yardımcı olmak için güvenlik duruşu yönetimi, güvenlik açıkları, tehdit algılama, filo yönetimi ve daha fazlası için uç nokta görünürlüğü sağlayan IoT için Microsoft Defender güvenlik mikro aracısını içerir. Edge cihazlarınızın güvenlik izlemesini ve sağlamlaştırmasını sağlamak için mikro aracıyı Edge aracısıyla yüklemeniz önerilir. IoT için Microsoft Defender hakkında daha fazla bilgi edinmek için bkz . Cihaz oluşturucuları için IoT için Microsoft Defender nedir?

IoT Edge'in en son sürümünü ve IoT kimlik hizmeti paketini yükleyin (henüz güncel değilseniz):

sudo yum install aziot-edge

IoT Edge'i snap store'dan yükleyin:

sudo snap install azure-iot-edge

Tutturmaları bağlama

Varsayılan olarak, tutturmalar bağımlılık içermez, güvenilmezdir ve kesinlikle kısıtlanır. Bu nedenle, yüklemeden sonra tutturmaların diğer tutturmalara ve sistem kaynaklarına bağlanması gerekir. IoT Kimlik Hizmeti'ni ve IoT Edge'i birbirine ve sistem kaynaklarına bağlamak için aşağıdaki komutları kullanın. Başlamak için tutturmaların el ile bağlanması gerekir. Üretim dağıtımları için, sağlama iş yükünü azaltmak üzere otomatik olarak bağlanacak şekilde yapılandırılabilirler.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

IoT Edge cihazında yapılandırma dosyasını açın.

sudo nano /etc/aziot/config.toml

Dosyanın Sağlama bölümünü bulun. X.509 sertifikasıyla DPS sağlama satırlarının açıklamasını kaldırın ve diğer sağlama satırlarının açıklama satırı eklendiğinden emin olun.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

IoT Edge'in anında yüklemesini kullanıyorsanız, şablon dosyası konumunda /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.templatebulunur. Şablon dosyasının bir kopyasını giriş dizininizde oluşturun ve config.toml olarak adlandırın. Örneğin:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Yapılandırma dosyasını IoT Edge cihazında giriş dizininizde açın.

nano ~/config.toml

Dosyanın Sağlama bölümünü bulun. X.509 sertifikasıyla DPS sağlama satırlarının açıklamasını kaldırın ve diğer sağlama satırlarının açıklama satırı eklendiğinden emin olun. Sertifika dosyaları için kullanılan yol, hem azure-iot-edge hem de azure-iot-identity snaps tarafından erişilebilen paylaşılan dizinin yolu olmalıdır. Örneğin, /var/snap/azure-iot-identity/current/shared/.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

Cihaz sağlama hizmetinde oluşturduğunuz bireysel kaydın kullanıldığını doğrulayabilirsiniz. Azure portalında cihaz sağlama hizmeti örneğine gidin. Oluşturduğunuz bireysel kayıt için kayıt ayrıntılarını açın. Kaydın durumunun atandığını ve cihaz kimliğinin listelendiğine dikkat edin.

Cihaz sağlama hizmetinde oluşturduğunuz grup kaydının kullanıldığını doğrulayabilirsiniz. Azure portalında cihaz sağlama hizmeti örneğine gidin. Oluşturduğunuz grup kaydı için kayıt ayrıntılarını açın. Bu grupta kayıtlı tüm cihazları görüntülemek için Kayıt Kayıtları sekmesine gidin.