在 Linux 上使用 X.509 证书创建和预配 IoT Edge 设备

Azure 订阅中的免费或标准 IoT 中心。

• Azure 订阅中的免费或标准 IoT 中心
• Visual Studio Code
• Azure IoT Edge 扩展。 适用于 Visual Studio Code 的 Azure IoT Edge 工具扩展处于维护模式。
• Azure IoT 中心扩展

• Azure 订阅中的免费或标准 IoT 中心

• 环境中的 Azure CLI

  Azure CLI 版本必须至少是 2.0.70 或更新版本。 请使用 az --version 验证版本。 此版本支持 az 扩展命令，并引入了 Knack 命令框架。

在 Azure 门户中的 IoT 中心内，IoT Edge 设备的创建和管理独立于不支持边缘的 IoT 设备。

1. 登录 Azure 门户，导航到 IoT 中心。

2. 在左侧窗格中，从菜单中选择“设备”，然后选择“添加设备”。

3. 在“创建设备”页面上，提供以下信息：

   • 创建描述性设备 ID。 记下此设备 ID，因为稍后会用到它。
   • 选中“IoT Edge 设备”复选框。
   • 选择“X.509 自签名”作为身份验证类型。
   • 提供主要和辅助标识证书指纹。 SHA-1 哈希的指纹值为 40 个十六进制字符，SHA-256 哈希的指纹值为 64 个十六进制字符。 Azure 门户仅支持十六进制值。 在门户中输入指纹值之前，请从指纹值中删除列分隔符和空格。 例如，将 D2:68:D9:04:9F:1A:4D:6A:FD:84:77:68:7B:C6:33:C0:32:37:51:12 输入为 D268D9049F1A4D6AFD8477687BC633C032375112。

   提示

   如果正在测试并且想要使用一个证书，则可以对主要和辅助指纹使用相同的证书。

4. 选择“保存”。

目前，适用于 Visual Studio Code 的 Azure IoT 扩展不支持使用 X.509 证书进行设备注册。

使用 az iot hub device-identity create 命令在 IoT 中心创建新设备标识。 例如：

az iot hub device-identity create --device-id <device_id_here> --hub-name <hub_name_here> --edge-enabled --auth-method x509_thumbprint --primary-thumbprint <primary_SHA_thumbprint_here> --secondary-thumbprint <secondary_SHA_thumbprint_here>

此命令包含多个参数：

• --device-id 或 -d：提供对 IoT 中心唯一的描述性名称。 记下此设备 ID，因为在下一部分会用到它。
• hub-name 或 -n：提供 IoT 中心的名称。
• --edge-enabled 或 --ee：声明该设备是 IoT Edge 设备。
• --auth-method 或 --am：声明设备将要使用的授权类型。 在本例中，我们将使用 X.509 证书指纹。
• --primary-thumbprint 或 --ptp：提供一个 X.509 证书指纹用作主密钥。
• --secondary-thumbprint 或 --stp：提供一个 X.509 证书指纹用作辅助密钥。

连接到 IoT 中心并已启用 Edge 的设备将在“设备”页上列出。 可以按设备类型 IoT Edge 设备筛选列表。

虽然不支持通过 Visual Studio Code 使用 X.509 证书进行设备注册，但你仍可以根据需要查看 IoT Edge 设备。

Visual Studio Code 资源管理器的“Azure IoT 中心”部分中列出了连接到 IoT 中心的所有设备 。 IoT Edge 设备和非 Edge 设备可通过不同的图标加以区别。事实上， $edgeAgent 和 $edgeHub 模块会部署到每个 IoT Edge 设备。

使用 az iot hub device-identity list 命令在 IoT 中心查看所有设备。 例如：

az iot hub device-identity list --hub-name <hub_name_here>

注册为 IoT Edge 设备的任何设备的 capabilities.iotEdge 属性会设置为 true。

安装可通过几个命令来完成。 打开终端并运行以下命令：

• 22.04：

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04：

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

使用 APT 进行安装可通过几个命令来完成。 打开终端并运行以下命令：

• 11 - Bullseye (arm32v7)：

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

安装可通过几个命令来完成。 打开终端并运行以下命令：

• 9.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

你将在后面的步骤中从 snap store 安装 IoT Edge 运行时。 请继续阅读下一节。

安装 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安装 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安装 Moby 引擎和 CLI。

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge 依赖于 Docker 和 IoT 标识服务。 使用以下命令安装依赖项：

sudo snap install docker
sudo snap install azure-iot-identity

Docker snap 由 Canonical 提供服务，并支持将其用于生产场景中。

1. 创建或编辑现有 Docker 守护程序的配置文件

   sudo nano /etc/docker/daemon.json
   

2. 将默认日志记录驱动程序设置为 local 日志记录驱动程序，如示例中所示。

      {
         "log-driver": "local"
      }
   

3. 重启容器引擎以使更改生效。

   sudo systemctl restart docker
   

目前，Docker snap 不支持本地日志记录驱动程序设置。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

• 22.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge defender-iot-micro-agent-edge
  

可选的 defender-iot-micro-agent-edge 包中包含 Microsoft Defender for IoT 安全性微代理，用于为安全态势管理、漏洞、威胁检测、群队管理等提供终结点可见性，以帮助保护 IoT Edge 设备。 建议使用 Edge 代理安装微代理，以便启用 Edge 设备的安全监视和强化。 若要详细了解 Microsoft Defender for IoT，请参阅什么是适用于设备生成器的 Microsoft Defender for IoT。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

sudo apt-get update; \
  sudo apt-get install aziot-edge defender-iot-micro-agent-edge

可选的 defender-iot-micro-agent-edge 包中包含 Microsoft Defender for IoT 安全性微代理，用于为安全状况管理、漏洞、威胁检测、群队管理等提供终结点可见性，以帮助保护 IoT Edge 设备。 建议使用 Edge 代理安装微代理，以便启用 Edge 设备的安全监视和强化。 若要详细了解 Microsoft Defender for IoT，请参阅什么是适用于设备生成器的 Microsoft Defender for IoT。

安装最新版本的 IoT Edge 和 IoT 标识服务包（如果不是最新版本）：

sudo yum install aziot-edge

从 snap store 安装 IoT Edge：

sudo snap install azure-iot-edge

连接 snap

默认情况下，snap 无依赖项、不受信任且严格受限。 因此，安装之后，snap 必须连接到其他 snap 和系统资源。 使用以下命令将 IoT 标识服务和 IoT Edge snap 彼此相连并连接到系统资源。 若要开始操作，需要手动连接 snap。 对于生产部署，可以将其配置为自动连接以减少预配工作负载。

#------------------------
# IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
# IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

1. 基于在安装 IoT Edge 的过程中提供的模板文件为你的设备创建配置文件。

   sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml
   

2. 在 IoT Edge 设备上，打开配置文件。

   sudo nano /etc/aziot/config.toml
   

3. 找到文件的预配部分，并取消注释“使用 X.509 标识证书进行手动预配”行。 确保所有其他预配部分都已被注释掉。

   # Manual provisioning with x.509 certificates
   [provisioning]
   source = "manual"
   iothub_hostname = "REQUIRED_IOTHUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   method = "x509"
   
   identity_cert = "REQUIRED_URI_OR_POINTER_TO_DEVICE_IDENTITY_CERTIFICATE"
   
   identity_pk = "REQUIRED_URI_TO_DEVICE_IDENTITY_PRIVATE_KEY"
   

更新以下字段：

• iothub_hostname：设备连接到的 IoT 中心的主机名。 例如 {IoT hub name}.azure-devices.cn。
• device_id：注册设备时提供的 ID。
• identity_cert：设备上标识证书的 URI，例如 file:///path/identity_certificate.pem。 或者，使用 EST 或本地证书颁发机构动态颁发证书。
• identity_pk：所提供标识证书的私钥文件 URI，例如 file:///path/identity_key.pem。 或者，提供 PKCS#11 URI，然后在

配置文件的后续 PKCS#11 部分提供你的配置信息。

有关证书的详细信息，请参阅管理 IoT Edge 证书。

保存并关闭该文件。

CTRL + X, Y, Enter

在配置文件中输入预配信息后，应用所做的更改：

sudo iotedge config apply

1. 在 /var/snap/azure-iot-identity/common/provisioning 目录中复制标识密钥文件和证书。 创建目录（如果不存在）。

2. 在主目录中创建 config.toml 文件，并配置 IoT Edge 设备以使用 X.509 标识证书进行手动预配。

   sudo nano ~/config.toml
   

3. 可以使用 X.509 证书进行手动预配，方法是向文件中添加以下预配设置：

   [provisioning]
   source = "manual"
   iothub_hostname = "IOT_HUB_HOSTNAME"
   device_id = "REQUIRED_DEVICE_ID_PROVISIONED_IN_IOTHUB"
   
   [provisioning.authentication]
   
   method = "x509"
   identity_cert = "file:///var/snap/azure-iot-identity/common/provisioning/IDENTITY_CERT_FILENAME"
   identity_pk = "file:///var/snap/azure-iot-identity/common/provisioning/IDENTITY_PK_FILENAME"
   

   更新以下字段：

   • iothub_hostname：设备连接到的 IoT 中心的主机名。 例如 example.azure-devices.cn。
   • device_id：注册设备时提供的 ID。
   • identity_cert：设备上标识证书的 URI，例如 file:///var/snap/azure-iot-identity/common/provisioning/identity_certificate.pem。
   • identity_pk：所提供标识证书的私钥文件 URI，例如 file:///var/snap/azure-iot-identity/common/provisioning/identity_key.pem。

   有关预配配置设置的详细信息，请参阅配置 IoT Edge 设备设置。

4. 保存并关闭该文件。

   CTRL + X, Y, Enter

5. 使用以下命令设置 IoT Edge 和标识服务的配置：

   sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"