使用 X.509 证书在 Linux 上大规模创建和预配 IoT Edge 设备

创建 DPS 单独注册

单独注册采用设备标识证书的公共部分，并将其与设备上的证书进行匹配。

1. 在 Azure 门户中，导航到 IoT 中心设备预配服务实例。

2. 在“设置”下，选择“管理注册”。

3. 选择“添加个人注册”，然后完成以下步骤以配置注册：

   • 机制：选择“X.509”。

   • 主要证书 .pem 或 .cer 文件：上传设备标识证书中的公共文件。 如果使用脚本生成了测试证书，请选择以下文件：

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • IoT 中心设备 ID：根据需要，为设备提供一个 ID。 可以使用设备 ID 将单个设备指定为模块部署的目标。 如果未提供设备 ID，将使用 X.509 证书中的公用名 (CN)。

   • IoT Edge 设备：选择“True”，声明该注册适用于 IoT Edge 设备。

   • 选择此设备可分配到的 IoT 中心：选择要将设备连接到的链接 IoT 中心。 可以选择多个中心，设备将根据所选的分配策略分配到其中的一个中心。

   • 初始设备孪生状态：如果需要，请添加要添加到设备孪生的标记值。 可以使用标记将设备组指定为自动部署的目标。 例如：

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. 选择“保存” 。

在“管理注册”下，可以查看刚创建的注册的“注册 ID”。 请记下该注册 ID，因为预配设备时可能会使用它。

既然此设备已存在注册，IoT Edge 运行时在安装期间可以自动预配设备。

创建 DPS 组注册

组注册使用证书信任链中的某个中间证书或根 CA 证书，该证书用于生成单个设备标识证书。

验证根证书

创建注册组时，可以选择使用已验证的证书。 可以在 DPS 通过证明你拥有根证书来验证某个证书。 有关详细信息，请参阅如何对 X.509 CA 证书执行所有权证明。

1. 在 Azure 门户中，导航到 IoT 中心设备预配服务实例。

2. 在左侧菜单中选择“证书”。

3. 选择“添加”以添加新证书。

4. 输入证书的易记名称，然后浏览到表示 X.509 证书公共部分的 .cer 或 .pem 文件。

   如果使用演示证书，请上传 <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem 证书。

5. 选择“保存” 。

6. 该证书现在应会列在“证书”页上。 选择该证书打开其详细信息。

7. 选择“生成验证码”，然后复制生成的代码。

8. 无论你是使用自己的 CA 证书还是演示证书，都可以使用 IoT Edge 存储库中提供的验证工具来执行所有权证明。 验证工具将使用你的 CA 证书，来为使用提供的验证码作为使用者名称的新证书签名。

   New-CACertsVerificationCert "<verification code>"
   

9. 在 Azure 门户上的相同证书详细信息页中，上传新生成的验证证书。

10. 选择“验证” 。

创建注册组

有关设备预配服务中的注册的详细信息，请参阅如何管理设备注册。

1. 在 Azure 门户中，导航到 IoT 中心设备预配服务实例。

2. 在“设置”下，选择“管理注册”。

3. 选择“添加注册组”，然后完成以下步骤以配置注册：

   • 组名称：为此组注册提供一个易记的名称。

   • 证明类型：选择“证书”。

   • IoT Edge 设备：选择“True”。 对于组注册，所有设备必须是 IoT Edge 设备，或者都不是 IoT Edge 设备。

   • 证书类型：选择“CA 证书”。

   • 主证书：从下拉列表中选择证书。

   • 选择此设备可分配到的 IoT 中心：选择要将设备连接到的链接 IoT 中心。 可以选择多个中心，设备将根据所选的分配策略分配到其中的一个中心。

   • 初始设备孪生状态：如果需要，请添加要添加到设备孪生的标记值。 可以使用标记将设备组指定为自动部署的目标。 例如：

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. 选择“保存” 。

在“管理注册”下，可以查看刚创建的注册的“注册 ID”。 请记下该注册 ID，因为预配设备时可能会使用它。

这些设备存在注册后，IoT Edge 运行时就可以在安装期间自动预配设备。

安装可通过几个命令来完成。 打开终端并运行以下命令：

• 22.04：

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04：

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

使用 APT 进行安装可通过几个命令来完成。 打开终端并运行以下命令：

• 11 - Bullseye (arm32v7)：

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

安装可通过几个命令来完成。 打开终端并运行以下命令：

• 9.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

你将在后面的步骤中从 snap store 安装 IoT Edge 运行时。 请继续阅读下一节。

安装 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安装 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安装 Moby 引擎和 CLI。

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge 依赖于 Docker 和 IoT 标识服务。 使用以下命令安装依赖项：

sudo snap install docker
sudo snap install azure-iot-identity

Docker snap 由 Canonical 提供服务，并支持将其用于生产场景中。

1. 创建或编辑现有 Docker 守护程序的配置文件

   sudo nano /etc/docker/daemon.json
   

2. 将默认日志记录驱动程序设置为 local 日志记录驱动程序，如示例中所示。

      {
         "log-driver": "local"
      }
   

3. 重启容器引擎以使更改生效。

   sudo systemctl restart docker
   

目前，Docker snap 不支持本地日志记录驱动程序设置。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

• 22.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

可选的 defender-iot-micro-agent-edge 包中包含 Microsoft Defender for IoT 安全性微代理，用于为安全态势管理、漏洞、威胁检测、群队管理等提供终结点可见性，以帮助保护 IoT Edge 设备。 建议使用 Edge 代理安装微代理，以便启用 Edge 设备的安全监视和强化。 若要详细了解 Microsoft Defender for IoT，请参阅什么是适用于设备生成器的 Microsoft Defender for IoT。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

可选的 defender-iot-micro-agent-edge 包中包含 Microsoft Defender for IoT 安全性微代理，用于为安全状况管理、漏洞、威胁检测、群队管理等提供终结点可见性，以帮助保护 IoT Edge 设备。 建议使用 Edge 代理安装微代理，以便启用 Edge 设备的安全监视和强化。 若要详细了解 Microsoft Defender for IoT，请参阅什么是适用于设备生成器的 Microsoft Defender for IoT。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

sudo yum install aziot-edge

从 snap store 安装 IoT Edge：

sudo snap install azure-iot-edge

连接 snap

默认情况下，snap 无依赖项、不受信任且严格受限。 因此，安装之后，snap 必须连接到其他 snap 和系统资源。 使用以下命令将 IoT 标识服务和 IoT Edge snap 彼此相连并连接到系统资源。 若要开始操作，需要手动连接 snap。 对于生产部署，可以将其配置为自动连接以减少预配工作负载。

#------------------------
# IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
# IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

在 IoT Edge 设备上打开配置文件。

sudo nano /etc/aziot/config.toml

找到文件的 Provisioning 节。 取消注释使用 X.509 证书进行 DPS 预配的行，并确保注释掉任何其他预配行。

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

如果使用 IoT Edge 的 snap 安装，则模板文件位于 /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template。 在主目录中创建模板文件的副本，并将其命名为 config.toml。 例如：

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

在 IoT Edge 设备上打开主目录中的配置文件。

nano ~/config.toml

找到文件的 Provisioning 节。 取消注释使用 X.509 证书进行 DPS 预配的行，并确保注释掉任何其他预配行。用于证书文件的路径应该是可供 azure-iot-edge 和 azure-iot-identity snap 访问的共享目录的路径。 例如 /var/snap/azure-iot-identity/current/shared/。

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"

# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

可以验证是否使用了在设备预配服务中创建的单独注册。 在 Azure 门户中导航到你的设备预配服务实例。 打开创建的个人注册的注册详细信息。 注意注册状态是否为“已分配”并且设备 ID 已列出。

可以验证是否使用了你在设备预配服务中创建的组注册。 在 Azure 门户中导航到你的设备预配服务实例。 打开创建的组注册的注册详细信息。 转到“注册记录”选项卡，查看该组中注册的所有设备。