Bereitstellen von Azure IoT Hub mit Geräteregistrierungsintegration und Zertifikatverwaltung (Vorschau)

Weitere Voraussetzungen für Azure Portal

Bevor Sie beginnen, stellen Sie sicher, dass Sie folgendes haben:

• Eine Azure Ressourcengruppe zum Organisieren Ihres IoT-Hubs und verwandter Ressourcen. Erstellen Sie die Ressourcengruppe und Ressourcen in einer unterstützten Region. Weitere Informationen finden Sie unter Erstellen einer Ressourcengruppe.
• Die Rolle Mitwirkender, die Azure IoT Hub auf Ressourcengruppenebene zugewiesen ist. Wenn Sie Mitglieder während der Rollenzuweisung auswählen, suchen Sie in der Liste der Dienstprinzipale nach Azure IoT Hub und wählen sie sie aus. Weitere Informationen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Überblick

Verwenden Sie das Azure-Portal, um einen IoT-Hub mit der Geräteregistrierungs- und Zertifikatverwaltungsintegration zu erstellen.

Der Setupprozess in diesem Artikel enthält die folgenden Schritte:

1. Richten Sie Ihren Device Registry-Namespace mit aktivierter Zertifikatverwaltung ein und weisen Sie die erforderlichen Rollen zu.
2. Erstellen Sie eine benutzerdefinierte Anmeldeinformationsrichtlinie für Ihren Namespace.
3. Erstellen Sie einen IoT-Hub, der mit Ihrem Geräteregistrierungsnamespace mit einer vom Benutzer zugewiesenen verwalteten Identität verknüpft ist.
4. Erstellen Sie eine DPS-Instanz, und verknüpfen Sie sie mit Ihrem Device Registry-Namespace.
5. Verknüpfen Sie Ihren IoT-Hub mit der DPS-Instanz.
6. Synchronisieren Sie Anmeldeinformationsrichtlinien aus Ihrem Namespace mit Ihren IoT-Hubs.
7. Erstellen Sie eine Registrierungsgruppe, und weisen Sie eine Richtlinie zum Aktivieren des Geräte-Onboardings zu.

Einrichten des Device Registry-Namespace

In diesem Abschnitt richten Sie Ihren Device Registry-Namespace ein, aktivieren die Zertifikatverwaltung, weisen die erforderliche Mitwirkenderolle zu und erstellen eine benutzerdefinierte Zertifikatrichtlinie. Diese Schritte bereiten Ihre Umgebung auf die sichere Verwaltung von Geräteidentitäten und Zertifikaten vor und stellen sicher, dass Ihr IoT-Hub die Geräteregistrierung für die Geräte-Onboarding- und Zertifikatverwaltung verwenden kann.

Erstellen eines Geräteregistrierungsnamespaces mit aktivierter Zertifikatverwaltung

Wenn Sie einen Namespace mit aktivierter Zertifikatverwaltung erstellen, erstellt der Prozess ein Anmeldeobjekt, das als Stammzertifizierungsstelle (Root Certificate Authority, CA) bezeichnet wird, sowie eine Standardrichtlinie mit der Bezeichnung Intermediate CA. Die Zertifikatverwaltung verwendet diese Anmeldeinformationen und Richtlinien, um Geräte in den Namespace zu integrieren.

1. Melden Sie sich beim portal Azure an.

2. Suchen und wählen Sie Azure Geräte-Registry aus.

3. Wählen Sie "Namespaces>erstellen" aus.

4. Füllen Sie auf der Registerkarte "Grundlagen " die folgenden Felder aus:

   Eigentum	Wert
   Subscription	Wählen Sie das Abonnement aus, das für Ihren Device Registry-Namespace verwendet werden soll.
   Ressourcengruppe	Wählen Sie die Ressourcengruppe aus, die Sie für Ihren IoT-Hub verwenden möchten, oder erstellen Sie sie.
   Name	Geben Sie einen Namen für Den Device Registry-Namespace ein. Der Namespacename kann nur Kleinbuchstaben und Bindestriche (-) in der Mitte des Namens enthalten, aber nicht am Anfang oder Ende. Beispielsweise ist der Name msft-namespace gültig.
   Region	Geräteregistrierungsintegration und Zertifikatverwaltungsfunktionen befinden sich in der Vorschau und sind nur in bestimmten Regionen verfügbar. Siehe die unterstützten Regionen. Wählen Sie die Region aus, die Ihnen am nächsten kommt, wo Sich Ihr Hub befinden soll.

   

5. Wählen Sie Weiteraus.

6. Wählen Sie auf der Registerkarte " Zertifikatverwaltung " die Option "Aktiviert" aus.

   Die Zertifikatsverwaltung speichert und verwaltet Geräteauthentifizierungsdaten wie API-Schlüssel oder Zertifikate für Geräte, die sich mit Ihrem Namespace verbinden. Wenn Sie dieses Feature aktivieren, können Sie Richtlinien festlegen, um zu steuern, wie Zertifikate für Ihre Geräte ausgestellt und verwaltet werden.

   

7. Wählen Sie Weiteraus.

8. Auf der Registerkarte "Kategorien " können Sie optional Tags hinzufügen, um den Geräteregistrierungsnamespace zu organisieren. Tags sind Schlüssel-Wert-Paare, mit denen Sie Ihre Ressourcen verwalten und identifizieren können. Verwenden Sie Tags, um Ihre Ressourcen im Azure-Portal zu filtern und zu gruppieren.

9. Wählen Sie Weiteraus.

10. Überprüfen Sie Ihre Einstellungen, und wählen Sie dann "Erstellen" aus, um den Geräteregistrierungsnamespace zu erstellen.

    Der Namespaceerstellungsprozess kann bis zu fünf Minuten dauern.

Abrufen der Principal-ID für Ihren Namespace

Um einige Konfigurationsschritte auszuführen, nachdem Sie den IoT-Hub erstellt haben, benötigen Sie die Prinzipal-ID für Den Device Registry-Namespace. Dieser Wert wird verwendet, um Berechtigungen zu erteilen und Ressourcen sicher zu verknüpfen.

1. Wechseln Sie im Azure-Portal zum von Ihnen erstellten Device Registry-Namespace.
2. Wählen Sie auf der Seite "Übersicht" oben rechts die JSON-Ansicht aus.
3. Suchen Sie den Identitätsbereich auf, und ermitteln Sie den Wert für principalId.
4. Kopieren Sie den Prinzipal-ID-Wert, der mit Rollenzuweisungen für Ihre IoT-Hubinstanz verwendet werden soll.

Weisen Sie Rollen Ihrer verwalteten Identität zu

Nachdem Sie ihren Device Registry-Namespace erstellt haben, erteilen Sie den erforderlichen Berechtigungen für Ihre vom Benutzer zugewiesene verwaltete Identität. Die vom Benutzer zugewiesene verwaltete Identität wird verwendet, um sicher auf andere Azure Ressourcen zuzugreifen, z. B. einen Device Registry-Namespace und DPS. Wenn Sie keine vom Benutzer zugewiesene verwaltete Identität haben, erstellen Sie eine im Azure-Portal. Weitere Informationen finden Sie unter Erstellen einer benutzerdefinierten verwalteten Identität im Azure-Portal.

Gewähren Sie zunächst Ihrer vom Benutzer verwalteten Identität die Rolle Azure Device Registry Onboarding:

1. Wählen Sie im von Ihnen erstellten Device Registry-Namespace im Menü der Randleiste die Zugriffssteuerung (IAM) aus.
2. Wählen Sie +Hinzufügen>Rollenzuweisung hinzufügen aus.
3. Suchen Sie im Feld Rolle nach Azure Device Registry Onboarding und wählen Sie das Element aus. Diese Rolle ermöglicht es Ihrer verwalteten Identität, Geräte mithilfe von Anmeldeinformationsrichtlinien der Geräteregistrierung einzubinden.
4. Wählen Sie Weiteraus.
5. Wählen Sie unter "Zugriff zuweisen"die Option "Verwaltete Identität" aus.
6. Wählen Sie "Mitglieder auswählen" und dann " Vom Benutzer zugewiesene verwaltete Identität" aus. Suchen Sie nach Ihrer Identität, und wählen Sie sie aus.
7. Wählen Sie "Überprüfen" und "Zuweisen " aus, um den Vorgang abzuschließen. Nachdem die Aufgabe weitergegeben wurde, verfügt Ihre verwaltete Identität über die erforderlichen Onboardingberechtigungen.

Wiederholen Sie diese Schritte, um die Rolle „Azure Device Registry Contributor“ zuzuweisen:

1. Wählen Sie im selben Bereich „Zugriffssteuerung (IAM)” für Ihren Device Registry-Namespace erneut + Hinzufügen>Rollenzuweisung hinzufügen aus.
2. Suchen Sie im Feld Rolle nach Azure Device Registry Contributor. Diese Rolle gibt Ihrer verwalteten Identität die Berechtigungen, die die Geräteregistrierung für Setup und Betrieb benötigt.
3. Wählen Sie Weiteraus.
4. Wählen Sie unter "Zugriff zuweisen"die Option "Verwaltete Identität" aus.
5. Wählen Sie "Mitglieder auswählen" und dann " Vom Benutzer zugewiesene verwaltete Identität" aus. Suchen Sie nach Ihrer Identität, und wählen Sie sie aus.
6. Wählen Sie "Überprüfen" und "Zuweisen " aus, um den Vorgang abzuschließen. Nachdem die Aufgabe verteilt wurde, können Sie die vom Benutzer zugewiesene verwaltete Identität auswählen, wenn Sie Ihren IoT-Hub erstellen.

Erstellen einer benutzerdefinierten Richtlinie für Ihren Namespace

Erstellen Sie benutzerdefinierte Richtlinien im Geräteregistrierungsnamespace, um zu definieren, wie Zertifikate für Ihre Geräte ausgestellt und verwaltet werden. Mithilfe von Richtlinien können Sie Parameter festlegen, z. B. Zertifikatgültigkeitszeiträume und Subjekte. Das Bearbeiten oder Deaktivieren einer Richtlinie wird in der Vorschau nicht unterstützt.

1. Wählen Sie im Device Registry-Namespace, den Sie erstellt haben, unter Namespace-Ressourcen die Option Anmelderichtlinien (Vorschau).

   Wählen Sie im Dialogfeld "Zertifikatverwaltung aktivieren" die Option "Aktivieren" aus.

   

2. Wählen Sie auf der Seite Berechtigungsrichtlinien die Option + Richtlinie erstellen.

3. Ein Bereich wird angezeigt, in dem Sie die Richtlinieneinstellungen konfigurieren können. Füllen Sie auf der Registerkarte "Grundlagen " die folgenden Felder aus:

   Eigentum	Wert
   Name	Geben Sie einen eindeutigen Namen für Ihre Richtlinie ein. Der Name muss zwischen 3 und 50 alphanumerischen Zeichen bestehen und kann Bindestriche (-) enthalten.
   Gültigkeitszeitraum (Tage)	Geben Sie die Anzahl der Tage ein, an denen die ausgestellten Zertifikate gültig sind.
   Auswählen einer Stammzertifizierungsstelle für Zertifikate in dieser Richtlinie	Übernehmen Sie den Standardwert Verwenden Sie die von Microsoft ausgestellte Root-CA dieses Namensraums (Standard).

4. Wählen Sie "Weiter" und dann " Überprüfen+ Erstellen" aus.

5. Um die Richtlinie zu überprüfen, wählen Sie Zugangsrichtlinien aus, um den Richtliniennamen und den Gültigkeitszeitraum zu analysieren.

Erstellen eines IoT-Hubs im Azure-Portal

Um einen IoT Hub zu erstellen, der mit einem ADR-Namespace verknüpft ist, müssen Sie die Azure CLI verwenden.

Weisen Sie der Prinzipal-ID des Device Registry-Namespace auf Ihrem IoT-Hub Rollen zu

Um die sichere Integration zwischen Ihrem IoT-Hub- und Device Registry-Namespace zu ermöglichen, weisen Sie der Prinzipal-ID des Geräteregistrierungsnamespaces in Ihrer IoT-Hubinstanz Rollen zu. Dieser Schritt stellt sicher, dass der Device Registry-Namespace Geräteidentitäten und Registrierungsvorgänge in Ihrem Hub verwalten kann.

1. Wechseln Sie im Azure-Portal zu Ihrer IoT-Hubressource.
2. Wählen Sie im Menü der Randleiste Die Option Zugriffssteuerung (IAM) aus.
3. Wählen Sie +Hinzufügen>Rollenzuweisung hinzufügen aus.
4. Wählen Sie im Feld "Rolle " die Registerkarte "Privilegierte Administratorrollen " aus.
5. Suchen und wählen Sie Mitwirkender aus.
6. Wählen Sie Weiteraus.
7. Wählen Sie unter Zugriff zuweisen auf die Option Benutzer, Gruppe oder Dienstprinzipal aus.
8. Wählen Sie "Mitglieder auswählen" aus, und fügen Sie dann die Prinzipal-ID des Geräteregistrierungsnamespaces ein, die Sie in einem vorherigen Schritt kopiert haben. Wählen Sie die übereinstimmende Identität aus.
9. Wählen Sie "Überprüfen" und "Zuweisen " aus, um den Vorgang abzuschließen.

Wiederholen Sie diese Schritte, um die Rolle IoT Hub Registrierungsmitwirkender zuzuweisen:

1. Wählen Sie erneut + Hinzufügen>Rolle zuweisen aus.
2. Suchen Sie im Feld Role nach IoT Hub Registry Contributor.
3. Wählen Sie Weiteraus.
4. Wählen Sie unter Zugriff zuweisen auf die Option Benutzer, Gruppe oder Dienstprinzipal aus.
5. Wählen Sie "Mitglieder auswählen" aus, und fügen Sie dann die Prinzipal-ID des Geräteregistrierungsnamespaces ein, die Sie in einem vorherigen Schritt kopiert haben. Wählen Sie die übereinstimmende Identität aus.
6. Wählen Sie "Überprüfen" und "Zuweisen " aus, um den Vorgang abzuschließen.

Erstellen einer DPS-Instanz

Nachdem Sie Ihren IoT-Hub und Ihren Namespace erstellt haben, erstellen Sie eine neue DPS-Instanz.

1. Suchen Sie im portal Azure nach Device Provisioning Service.

2. Wählen Sie in Device Provisioning Services+Create aus, um eine neue DPS-Instanz zu erstellen.

3. Füllen Sie auf der Registerkarte "Grundlagen " die folgenden Felder aus:

   Eigentum	Wert
   Subscription	Wählen Sie das Abonnement aus, das für Ihre DPS-Instanz verwendet werden soll.
   Ressourcengruppe	Wählen Sie dieselbe Ressourcengruppe aus, die den IoT-Hub enthält, den Sie in den vorherigen Schritten erstellt haben. Wenn Sie alle verwandten Ressourcen in einer Gruppe zusammenfassen, können Sie sie zusammen verwalten.
   Name	Geben Sie einen eindeutigen Namen für Ihre neue DPS-Instanz an. Wenn der eingegebene Name verfügbar ist, wird ein grünes Häkchen angezeigt.
   Region	Wählen Sie in den vorherigen Schritten denselben Bereich aus, in dem Sie Ihren IoT-Hub- und Geräteregistrierungsnamespace erstellt haben.

   

4. Wählen Sie Überprüfen und erstellen aus, um Ihren Bereitstellungsdienst zu überprüfen.

5. Wählen Sie "Erstellen" aus, um die Bereitstellung Ihrer DPS-Instanz zu starten.

6. Wählen Sie nach Abschluss der Bereitstellung die Option "Zur Ressource wechseln " aus, um Ihre DPS-Instanz anzuzeigen.

Hinzufügen Ihres Namespaces zum DPS

Nachdem Sie Ihre DPS-Instanz erstellt haben, verknüpfen Sie diese mit Ihrem Geräteregistrierungs-Namespace, damit Geräte mithilfe von Geräteregistrierungs-Anmeldeinformationsrichtlinien bereitgestellt werden können.

1. Wechseln Sie im Azure-Portal zu der von Ihnen erstellten DPS-Instanz.

2. Suchen Sie auf der Seite "Übersicht" den Abschnitt " ADR-Namespace ".

3. Wählen Sie den Link aus, um den Namespace hinzuzufügen.

   

4. Wählen Sie Ihren Geräteregistrierungsnamespace und die vom Benutzer zugewiesene verwaltete Identität aus.

5. Wählen Sie Speichern aus.

Nachdem der Link eingerichtet wurde, kann Ihre DPS-Instanz den Device Registry-Namespace für die Gerätebereitstellung und die Zertifikatverwaltung verwenden.

Verknüpfen des IoT-Hubs und Ihrer DPS-Instanz

Fügen Sie der DPS-Instanz eine Konfiguration hinzu, die den IoT-Hub festlegt, auf den die Instanz IoT-Geräte festlegt.

1. Wählen Sie unter "Einstellungen" im Randleistenmenü Ihrer DPS-Instanz "Verknüpfte IoT-Hubs" aus.

2. Wählen Sie Hinzufügen aus.

3. Geben Sie im Bereich Link zu IoT-Hub hinzufügen die folgenden Informationen an:

   Eigentum	Wert
   Subscription	Wählen Sie das Abonnement aus, das den IoT-Hub enthält, den Sie mit Ihrer neuen DPS-Instanz verknüpfen möchten.
   IoT-Hub	Wählen Sie den IoT-Hub aus, um eine Verknüpfung mit Ihrer neuen DPS-Instanz zu erstellen.
   Zugriffsrichtlinie	Wählen Sie iothubowner (RegistryWrite, ServiceConnect, DeviceConnect) als Anmeldeinformationen für die Verknüpfung mit der IoT-Hub-Instanz aus.

   

4. Wählen Sie Speichern aus.

5. Wählen Sie "Aktualisieren" aus. Der ausgewählte Hub sollte jetzt in der Liste Verknüpfte IoT-Hubs angezeigt werden.

Synchronisieren von Richtlinien mit IoT-Hubs

Synchronisieren Sie eine Richtlinie, die Sie im Geräteregistrierungsnamespace erstellt haben, mit dem IoT-Hub, der mit diesem Namespace verknüpft ist. Mit dieser Synchronisierung kann IoT Hub allen Geräten vertrauen, die mit einem Blattzertifikat authentifiziert werden, das von der ausstellenden Zertifizierungsstelle der Richtlinie ausgestellt wurde.

1. Wechseln Sie im portal Azure zur Zuvor erstellten Device Registry-Namespaceressource.
2. Wählen Sie in der Seitenleiste die Option Namespace-Ressourcen>Berechtigungsrichtlinien (Preview).
3. Wählen Sie in der Liste die Anmeldeinformationsrichtlinie aus, die Sie synchronisieren möchten.
4. Wählen Sie oben " Alle synchronisieren" aus.
5. Warten Sie auf die Bestätigungsmeldung, die angibt, dass die Synchronisierung erfolgreich war.

Wenn Sie sich dafür entscheiden, mehrere Richtlinien zu synchronisieren, synchronisiert der Prozess Richtlinien mit den jeweiligen IoT-Hubs. Sie können einen Synchronisierungsvorgang nicht rückgängigmachen.

Registrierungsgruppe erstellen und Richtlinie zuweisen

Um Geräte mit Blattzertifikaten bereitzustellen, müssen Sie eine Registrierungsgruppe erstellen und die Richtlinie zuweisen, die Sie im Geräteregistrierungsnamespace erstellt haben. Die Zuordnungsrichtlinie definiert den Onboarding-Authentifizierungsmechanismus, der den DPS vor dem Ausgeben eines Blattzertifikats verwendet. Der Standardnachweismechanismus ist ein symmetrischer Schlüssel.

1. Suchen Sie im portal Azure nach Device Provisioning Services.

2. Suchen Sie nach der zuvor erstellten DPS-Instanz, und wählen Sie sie aus.

3. Wählen Sie unter "Einstellungen" im Randleistenmenü Ihrer DPS-Instanz die Option "Registrierungen verwalten" aus.

4. Wählen Sie auf der Seite "Registrierungen verwalten " entweder die Registerkarte " Registrierungsgruppen " oder "Einzelne Registrierungen" basierend auf Ihren Bereitstellungsanforderungen aus.

5. Wählen Sie +Registrierungsgruppe hinzufügen oder + Einzelne Registrierung hinzufügen , um eine neue Registrierung zu erstellen.

6. Füllen Sie auf der Seite "Registrierung + Bereitstellung " die folgenden Felder aus:

   Eigentum	Wert
   Beglaubigungsmechanismus	Wählen Sie jede unterstützte Attestationsmethode aus, wie symmetrische Schlüssel, X.509, TPM und mehr. Weitere Informationen finden Sie unter Attestationsmechanismus.
   Gruppenname	Geben Sie einen Namen für Ihre Registrierungsgruppe ein. Überspringen Sie dieses Feld, wenn Sie eine einzelne Registrierung erstellen.
   Bereitstellungsstatus	Wählen Sie Aktivier" aus, um die Registrierung aus der Bereitstellung zu aktivieren.
   Richtlinie für die erneute Bereitstellung	Geben Sie die Neuprovisionierungsrichtlinie für die Registrierung an. Diese Richtlinie legt fest, wie sich die Registrierung während der erneuten Gerätebereitstellung verhält.

7. Wählen Sie die Registerkarten „IoT-Hubs“ und „Geräteeinstellungen“ aus und füllen Sie sie entsprechend Ihrer Umgebung aus.

8. Wählen Sie die Registerkarte Anmeldeinformationsrichtlinien (Vorschau) aus und wählen Sie die Richtlinie aus, die Sie der Registrierungsgruppe oder der Einzelregistrierung zuweisen möchten.

   

9. Wählen Sie "Überprüfen" und "Erstellen" und dann " Erstellen" aus, um die Registrierung abzuschließen.

Weitere Voraussetzungen für die Azure CLI

Bevor Sie beginnen, stellen Sie sicher, dass Sie folgendes haben:

• Die Azure CLI installiert. Führen Sie die Schritte aus, um das Azure CLI zu installieren.

• Die Azure IoT CLI-Erweiterung mit aktivierter Vorschaufunktion muss installiert sein, um auf die Azure-Device-Registry-Integration und die Funktionen für die Zertifikatverwaltung für Azure IoT Hub zugreifen zu können:

  1. Überprüfen Sie auf vorhandene Azure CLI Erweiterungsinstallationen.

     az extension list
     

  2. Entfernen Sie alle vorhandenen azure-iot Installationen.

     az extension remove --name azure-iot
     

  3. Installieren Sie die azure-iot Erweiterung aus dem Index mit aktivierten Vorschauen.

     az extension add --name azure-iot --allow-preview
     

     Oder Sie können die .whl-Datei von der GitHub-Releases-Seite herunterladen, um die Erweiterung manuell zu installieren.

     az extension add --upgrade --source https://github.com/Azure/azure-iot-cli-extension/releases/tag/v0.30.0b2
     

  4. Überprüfen Sie nach der Installation, ob Die azure-iot Erweiterungsversion mindestens 0.30.0b2 ist.

     az extension list
     

Überblick

Verwenden Sie die Azure CLI Befehle, um einen IoT-Hub mit Geräteregistrierungsintegration und Zertifikatverwaltung zu erstellen.

Der Setupprozess in diesem Artikel enthält die folgenden Schritte:

1. Erstellen Sie eine Ressourcengruppe.
2. Konfigurieren Sie die erforderlichen App-Berechtigungen.
3. Erstellen Sie eine vom Benutzer zugewiesene verwaltete Identität.
4. Erstellen Sie einen Geräteregistrierungsnamespace mit vom System zugewiesener verwalteter Identität.
5. Erstellen Sie eine Zertifizierungsstelle für Anmeldedaten (Stammzertifizierungsstelle) und eine Richtlinie (ausstellende Zertifizierungsstelle), die auf diesen Namespace beschränkt sind.
6. Erstellen Sie einen IoT-Hub (Vorschau) mit einem verknüpften Namespace und einer verwalteten Identität.
7. Erstellen Sie eine DPS-Instanz mit einem verknüpften IoT-Hub und -Namespace.
8. Synchronisieren Sie Zugangsdaten und Richtlinien (Zertifizierungsstellenzertifikate) mit IoT Hub.
9. Erstellen Sie eine Registrierungsgruppe, und erstellen Sie einen Link zu Ihrer Richtlinie, um die Zertifikatbereitstellung zu aktivieren.

Vorbereiten der Umgebung

Führen Sie die folgenden Schritte aus, um Ihre Umgebung für die Verwendung der Geräteregistrierung vorzubereiten:

1. Öffnen Sie ein Terminalfenster.

2. Um sich bei Ihrem Azure Konto anzumelden, führen Sie az login aus.

3. Um alle Abonnements und Mandanten aufzulisten, auf die Sie Zugriff haben, führen Sie az account list aus.

4. Wenn Sie Zugriff auf mehrere Azure-Abonnements haben, legen Sie Ihr aktives Abonnement fest, in dem Ihre IoT-Geräte erstellt werden, indem Sie den folgenden Befehl ausführen:

   az account set --subscription "<your subscription name or ID>"
   

5. Führen Sie az account show aus, um die Details Ihres aktuellen Kontos anzuzeigen. Kopieren Sie beide der folgenden Werte aus der Ausgabe des Befehls, und speichern Sie sie an einem sicheren Speicherort, z. B.:

   • Die id GUID. Sie verwenden diesen Wert, um Ihre Abonnement-ID anzugeben.
   • Die tenantId GUID. Sie verwenden diesen Wert, um Ihre Berechtigungen mithilfe der Mandanten-ID zu aktualisieren.

Konfigurieren Sie Ihre Ressourcengruppe, Berechtigungen und verwaltete Identität

Führen Sie die folgenden Schritte aus, um eine Ressourcengruppe, Rolle und Berechtigungen für Ihre IoT-Lösung zu erstellen:

1. Erstellen Sie eine Ressourcengruppe für Ihre Umgebung.

   az group create --name <RESOURCE_GROUP_NAME> --location <REGION>
   

2. Weisen Sie die Rolle des Mitwirkenden dem IoT Hub auf der Ebene der Ressourcengruppe zu. Der wert AppId, der die Prinzipal-ID für IoT Hub ist, ist 89d10474-74af-4874-99a7-c23c2f643083 und ist für alle IoT Hub Apps identisch.

   az role assignment create --assignee "89d10474-74af-4874-99a7-c23c2f643083" --role "Contributor" --scope "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP_NAME>"
   

3. Erstellen Sie eine neue benutzerseitig zugewiesene verwaltete Identität.

   az identity create --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME> --location <REGION>
   

4. Rufen Sie die Ressourcen-ID der verwalteten Identität ab. Sie benötigen die Ressourcen-ID, um Rollen zuzuweisen, Zugriffsrichtlinien zu konfigurieren oder die Identität mit anderen Ressourcen zu verknüpfen.

   UAMI_RESOURCE_ID=$(az identity show --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME> --query id -o tsv)
   

Erstellen eines neuen Geräteregistrierungsnamespaces

In diesem Abschnitt erstellen Sie einen neuen Geräteregistrierungsnamespace mit einer vom System zugewiesenen verwalteten Identität. Dieser Prozess erzeugt automatisch eine Stamminformation der Zertifizierungsstelle und eine ausstellende CA-Richtlinie für den Namespace. Weitere Informationen dazu, wie Anmeldeinformationen und Richtlinien verwendet werden, um Geräteblattzertifikate während der Bereitstellung zu signieren, finden Sie unter Zertifikatverwaltung.

Zugangsdaten sind optional. Sie können auch einen Namespace ohne verwaltete Identität erstellen, indem Sie die --enable-certificate-management und --policy-name Flags weglassen.

1. Erstellen Sie einen neuen Device Registry-Namespace. Ihr Namespace name kann nur Kleinbuchstaben und Bindestriche (-) in der Mitte des Namens enthalten, aber nicht am Anfang oder Ende. Beispielsweise ist der Name msft-namespace gültig. Der --enable-certificate-management Befehl erstellt Berechtigungen (Stammzertifizierungsstelle) und Standardrichtlinie (ausstellende Zertifizierungsstelle) für diesen Namespace. Sie können den Namen für diese Richtlinie mithilfe des --policy-name Befehls konfigurieren. Standardmäßig kann eine Richtlinie Zertifikate mit einer Gültigkeit von 30 Tagen ausstellen.

   az iot adr ns create --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --location <REGION> --enable-certificate-management true --policy-name <POLICY_NAME>
   

   Sie können optional eine benutzerdefinierte Richtlinie erstellen, indem Sie die Parameter --cert-subject und --cert-validity-days hinzufügen. Weitere Informationen finden Sie unter Erstellen einer benutzerdefinierten Richtlinie.

   Die Erstellung des Device Registry-Namespace mit vom System zugewiesener verwalteter Identität kann bis zu fünf Minuten dauern.

2. Stellen Sie sicher, dass der Namespace mit einer vom System zugewiesenen verwalteten Identität oder Prinzipal-ID erstellt wird.

   az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

3. Überprüfen Sie, ob ein Anmeldedatensatz und eine Richtlinie erstellt wurden.

   az iot adr ns credential show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   az iot adr ns policy show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --name <POLICY_NAME>
   

   Wenn Sie keinen Richtliniennamen zugewiesen haben, wird die Richtlinie mit dem Namen defaulterstellt.

Zuweisen einer vom Benutzer zugewiesenen verwalteten Identitätsrolle für den Zugriff auf den Device Registry-Namespace

In diesem Abschnitt weisen Sie der verwalteten Identität die Rolle Azure Device Registry Contributor zu und legen den Geltungsbereich für den Namespace fest. Diese benutzerdefinierte Rolle ermöglicht den vollständigen Zugriff auf IoT-Geräte im Device Registry-Namespace.

1. Rufen Sie die Principal-ID der benutzerdefinierten verwalteten Identität ab. Diese ID wird benötigt, um der Identität Rollen zuzuweisen.

   UAMI_PRINCIPAL_ID=$(az identity show --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP> --query principalId -o tsv)
   

2. Rufen Sie die Ressourcen-ID des Device Registry-Namespace ab. Diese ID wird als Bereich für die Rollenzuweisung verwendet.

   NAMESPACE_RESOURCE_ID=$(az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP> --query id -o tsv)
   

3. Weisen Sie die Rolle Azure Device Registry Contributor der verwalteten Identität zu. Diese Rolle gewährt der verwalteten Identität die erforderlichen, auf den Namespace beschränkten Berechtigungen.

   az role assignment create --assignee $UAMI_PRINCIPAL_ID --role "a5c3590a-3a1a-4cd4-9648-ea0a32b15137" --scope $NAMESPACE_RESOURCE_ID
   

4. Weise die Azure Device Registry Onboarding-Rolle der verwalteten Identität zu:

   az role assignment create --assignee "$UAMI_PRINCIPAL_ID" --role "547f7f0a-69c0-4807-bd9e-0321dfb66a84" --scope "$NAMESPACE_RESOURCE_ID"
   

Erstellen eines IoT-Hubs mit Geräteregistrierungsintegration

1. Erstellen Sie einen neuen IoT-Hub, der mit dem Device Registry-Namespace und mit der zuvor erstellten vom Benutzer zugewiesenen verwalteten Identität verknüpft ist.

   az iot hub create --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --location <HUB_LOCATION> --sku GEN2 --mi-user-assigned $UAMI_RESOURCE_ID --ns-resource-id $NAMESPACE_RESOURCE_ID --ns-identity-id $UAMI_RESOURCE_ID
   

   Dieser Befehl erstellt einen IoT-Hub mit SKU = GEN2 und verknüpft eine vom Benutzer zugewiesene verwaltete Identität mit dem IoT-Hub.

   Von Bedeutung

   Der IoT-Hub ist öffentlich als DNS-Endpunkt ermittelbar. Stellen Sie daher sicher, dass Sie beim Vergeben des Namens keine sensiblen oder personenbezogenen Informationen verwenden.

2. Stellen Sie sicher, dass der IoT-Hub die richtigen Identitäts- und Geräteregistrierungseigenschaften konfiguriert hat.

   az iot hub show --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --query identity --output json
   

IoT Hub-Rollen zum Zugriff auf den Device Registry-Namespace zuweisen

1. Rufen Sie die Prinzipal-ID der verwalteten Identität des Geräteregistrierungsnamespaces ab. Diese Identität benötigt Berechtigungen für die Interaktion mit dem IoT-Hub.

   ADR_PRINCIPAL_ID=$(az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP> --query identity.principalId -o tsv)
   

2. Rufen Sie die Ressourcen-ID des IoT-Hubs ab. Diese ID wird als Geltungsbereich für Rollenzuweisungen verwendet.

   HUB_RESOURCE_ID=$(az iot hub show --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --query id -o tsv)
   

3. Weisen Sie der Geräteregistrierungsidentität die Rolle „Mitwirkender“ zu. Diese Rolle gewährt dem Verwalteten Identitätsmitwirkenden des Device Registry-Namespace Zugriff auf den IoT-Hub. Die Rolle ermöglicht den allgemeinen Zugriff, einschließlich der Verwaltung von Ressourcen, aber nicht das Zuweisen von Rollen.

   az role assignment create --assignee $ADR_PRINCIPAL_ID --role "Contributor" --scope $HUB_RESOURCE_ID
   

4. Weisen Sie der Identität der Geräteregistrierung die Rolle „Mitwirkender für die IoT Hub-Registrierung“ zu. Diese Rolle gewährt spezifischeren Berechtigungen zum Verwalten von Geräteidentitäten im IoT-Hub. Diese Berechtigungen sind für die Geräteregistrierung unerlässlich, um Geräte im Hub zu registrieren und zu verwalten.

   az role assignment create --assignee $ADR_PRINCIPAL_ID --role "IoT Hub Registry Contributor" --scope $HUB_RESOURCE_ID
   

Erstellen einer DPS-Instanz mit Geräteregistrierungsintegration

1. Erstellen Sie eine neue DPS-Instanz, die mit Ihrem Device Registry-Namespace verknüpft ist, den Sie in den vorherigen Abschnitten erstellt haben. Ihre DPS-Instanz muss sich in derselben Region wie Der Device Registry-Namespace befinden.

   az iot dps create --name <DPS_NAME> --resource-group <RESOURCE_GROUP> --location <LOCATION> --mi-user-assigned $UAMI_RESOURCE_ID --ns-resource-id $NAMESPACE_RESOURCE_ID --ns-identity-id $UAMI_RESOURCE_ID
   

2. Stellen Sie sicher, dass DPS die richtigen Identitäts- und Geräteregistrierungseigenschaften konfiguriert hat.

   az iot dps show --name <DPS_NAME> --resource-group <RESOURCE_GROUP> --query identity --output json
   

Verknüpfen Ihres IoT-Hubs mit der DPS-Instanz

1. Verknüpfen Sie den IoT-Hub mit Ihrer DPS-Instanz.

   az iot dps linked-hub create --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP> --hub-name <HUB_NAME>
   

2. Stellen Sie sicher, dass der IoT-Hub in der Liste der verknüpften Hubs für die DPS-Instanz angezeigt wird.

   az iot dps linked-hub list --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP>
   

Anmeldedatensynchronisierung der Geräteregistrierung ausführen

Synchronisieren Sie Ihre Anmeldeinformationen und Richtlinien mit dem IoT-Hub. Dieser Schritt stellt sicher, dass der IoT Hub die Zertifizierungsstellenzertifikate registriert und allen blattbasierten Zertifikaten vertraut, die von Ihren konfigurierten Richtlinien ausgestellt wurden.

az iot adr ns credential sync --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP>

Überprüfen Sie das Hub-CA-Zertifikat

Überprüfen Sie, ob Ihr IoT-Hub das Zertifizierungsstellenzertifikat registriert hat.

az iot hub certificate list --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP>

Erstellen einer Registrierung in DPS

Um Geräte mithilfe von Blattzertifikaten zu registrieren, erstellen Sie in DPS eine Registrierungsgruppe, und weisen Sie sie mit dem Parameter --credential-policy der entsprechenden Anmelderichtlinie zu.

Mit dem folgenden Befehl wird standardmäßig eine Registrierungsgruppe erstellt, die den symmetrischen Schlüsselnachweis verwendet:

az iot dps enrollment-group create --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP> --enrollment-id <ENROLLMENT_ID> --credential-policy <POLICY_NAME>

Ihr IoT-Hub mit Geräteregistrierungsintegration und Zertifikatverwaltung ist jetzt eingerichtet und einsatzbereit.

Optionale Befehle

Mit den folgenden Befehlen können Sie Ihre Geräteregistrierungsnamespaces verwalten, Geräte deaktivieren, benutzerdefinierte Richtlinien erstellen und Ressourcen löschen, wenn sie nicht mehr benötigt werden.

Verwalten Ihrer Namespaces

1. Listet alle Namespaces in Ihrer Ressourcengruppe auf.

   az iot adr ns list --resource-group <RESOURCE_GROUP_NAME>
   

2. Zeigen Sie die Details eines bestimmten Namespaces an.

   az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

3. Listet alle Richtlinien in Ihrem Namespace auf.

   az iot adr ns policy list --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

4. Zeigen Sie die Details einer bestimmten Richtlinie an.

   az iot adr ns policy show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --name <POLICY_NAME>
   

5. Listet alle Anmeldeinformationen in Ihrem Namespace auf.

   az iot adr ns credential list --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

Geräte deaktivieren

1. Auflisten aller Geräte in Ihrem IoT-Hub.

   az iot hub device-identity list --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

2. Deaktivieren Sie ein Gerät, indem Sie den Status auf disabled aktualisieren. Ersetzen Sie <MY_DEVICE_ID> durch die Geräte-ID, die Sie deaktivieren möchten.

   az iot hub device-identity update --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME> -d <MY_DEVICE_ID> --status disabled
   

3. Führen Sie das Gerät erneut aus, und stellen Sie sicher, dass keine Verbindung mit einem IoT-Hub hergestellt werden kann.

Erstellen einer benutzerdefinierten Richtlinie

Erstellen Sie eine benutzerdefinierte Richtlinie mithilfe des az iot adr ns policy create Befehls. Legen Sie den Namen, das Zertifikatsubjekt und den Gültigkeitszeitraum für die Richtlinie folgendermaßen fest:

• Der Richtlinienwert name muss innerhalb des Namespace eindeutig sein. Wenn Sie versuchen, eine Richtlinie mit einem bereits vorhandenen Namen zu erstellen, wird eine Fehlermeldung angezeigt.
• Der Zertifikatsubjektwert cert-subject muss für alle Richtlinien im Namespace eindeutig sein. Wenn Sie versuchen, eine Richtlinie mit einem bereits vorhandenen Betreff zu erstellen, wird eine Fehlermeldung angezeigt.
• Der Gültigkeitszeitraumswert cert-validity-days muss zwischen 1 und 30 Tagen liegen. Wenn Sie versuchen, eine Richtlinie mit einem Gültigkeitszeitraum außerhalb dieses Bereichs zu erstellen, wird eine Fehlermeldung angezeigt.

Im folgenden Beispiel wird eine Richtlinie erstellt, die mit einem Betreff custom-policy und einem Gültigkeitszeitraum von 30 Tagen benannt CN=TestDevice ist.

az iot adr ns policy create --name "custom-policy" --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --cert-subject "CN=TestDevice" --cert-validity-days "30"

Löschen von Ressourcen

Um den Device Registry-Namespace zu löschen, müssen Sie zunächst alle IoT-Hubs löschen, die mit dem Namespace verknüpft sind.

az iot hub delete --name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME>
az iot adr ns delete --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
az iot dps delete --name <DPS_NAME> --resource-group <RESOURCE_GROUP_NAME> 
az identity delete --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME>

Überblick

Verwenden Sie das bereitgestellte PowerShell-Skript, um die Einrichtung Ihres IoT-Hubs mit Azure Geräteregistrierungsintegration zu automatisieren. Das Skript führt alle erforderlichen Schritte aus, um die erforderlichen Ressourcen zu erstellen und sie miteinander zu verknüpfen, einschließlich der Schritte zu:

1. Erstellen Sie eine Ressourcengruppe.
2. Konfigurieren Sie die erforderlichen App-Berechtigungen.
3. Erstellen Sie eine vom Benutzer zugewiesene verwaltete Identität.
4. Erstellen Sie einen Geräteregistrierungsnamespace mit vom System zugewiesener verwalteter Identität.
5. Erstellen Sie eine Anmeldeinformations-Stammzertifizierungsstelle (Root-CA) und eine Richtlinie (ausstellende CA), die auf diesen Namespace beschränkt ist.
6. Erstellen Sie einen IoT-Hub (Vorschau) mit einem verknüpften Namespace und einer verwalteten Identität.
7. Erstellen Sie eine DPS-Instanz mit einem verknüpften IoT-Hub und -Namespace.
8. Synchronisieren Sie Zugangsdaten und Richtlinien (Zertifizierungsstellenzertifikate) mit IoT Hub.
9. Erstellen Sie eine Registrierungsgruppe, und verknüpfen Sie sie mit Ihrer Richtlinie, um die Zertifikatbereitstellung zu aktivieren.

Vorbereiten der Umgebung

1. Laden Sie PowerShell 7 für Windows herunter.

2. Wechseln Sie zum Repository GitHub, und laden Sie den Ordner Scripts herunter, der die Skriptdatei iothub-adr-certs-setup-preview.ps1 enthält.

Anpassen der Skriptvariablen

Öffnen Sie die Skriptdatei in einem Text-Editor, und ändern Sie die folgenden Variablen so, dass sie der gewünschten Konfiguration entsprechen:

• TenantId: Ihre Mandanten-ID. Um diesen Wert zu ermitteln, führen Sie az account show in Ihrem Terminal aus.
• SubscriptionId: Ihre Abonnement-ID. Um diesen Wert zu ermitteln, führen Sie az account show in Ihrem Terminal aus.
• ResourceGroup: Der Name der neuen Ressourcengruppe.
• Location: Die Azure-Region, in der Sie Ihre Ressourcen erstellen möchten. Sehen Sie sich die verfügbaren Speicherorte für Vorschaufunktionen im Abschnitt Unterstützte Regionen an.
• NamespaceName: Der Namespacename kann nur Kleinbuchstaben und Bindestriche (-) in der Mitte des Namens enthalten, aber nicht am Anfang oder Ende. Beispiel: "msft-namespace " ist ein gültiger Name.
• HubName: Der Hubname darf nur Kleinbuchstaben und Ziffern enthalten.
• DpsName: Der Name Ihrer neuen DPS-Instanz.
• UserIdentity: Die neue vom Benutzer zugewiesene verwaltete Identität für Ihre Ressourcen.
• WorkingFolder: Der lokale Ordner, in dem sich Ihr Skript befindet.

Interaktives Ausführen des Skripts

1. Öffnen Sie das Skript, und führen Sie es in PowerShell 7+ als Administrator aus. Wechseln Sie zu dem Ordner, der Ihr Skript enthält, und führen Sie es aus .\iothub-adr-certs-setup-preview.ps1.

2. Wenn ein Ausführungsrichtlinienproblem auftritt, versuchen Sie, powershell -ExecutionPolicy Bypass -File .\iothub-adr-certs-setup-preview.ps1 auszuführen.

3. Wenn Sie eine Meldung erhalten, dass der Namespace Microsoft.DeviceRegistry nicht registriert ist, versuchen Sie, az provider register --namespace Microsoft.DeviceRegistry auszuführen.

4. Folgen Sie den angeleiteten Anweisungen:

   • Wählen Sie die EINGABETASTE aus, um mit einem Schritt fortzufahren.
   • Wählen Sie s oder S aus, um einen Schritt zu überspringen.
   • Wählen Sie STRG + C aus, um abzubrechen.

Die Erstellung Ihres Device Registry-Namespaces, IoT Hub, Ihrer DPS-Instanz und der anderen Ressourcen kann jeweils bis zu fünf Minuten dauern.

Überwachen der Ausführung und Überprüfen der Ressourcen

1. Das Skript setzt die Ausführung fort, wenn Warnungen auftreten, und stoppt nur, wenn ein Befehl einen Exit-Code ungleich null zurückgibt. Überwachen Sie die Konsole auf rote FEHLERMELDUNGen , die auf Probleme hinweisen, die Aufmerksamkeit erfordern.

2. Überprüfen Sie nach Abschluss des Skripts die Erstellung Ihrer Ressourcen, indem Sie ihre neue Ressourcengruppe im portal Azure besuchen. Die folgenden Ressourcen sollten erstellt werden:

   • IoT Hub-Instanz
   • DPS-Instanz
   • Namespace der Azure Device Registry
   • Vom Benutzer zugewiesene verwaltete Identität