Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Die Gerätezertifikatausstellung ist der Prozess, mit dem Geräte ein Zertifikat als Teil der Bereitstellung anfordern und empfangen. Dieser Artikel erklärt die Verantwortung eines Geräts, eine Zertifikatsanfrage (CSR) zu senden, wie Azure Device Registry (ADR) und Device Provisioning Service (DPS) zusammenarbeiten, um Zertifikate in großem Umfang auszustellen, und wie IoT Hub den ausgestellten Zertifikaten vertraut.
Important
Azure IoT Hub mit Azure Geräteregistrierungsintegration und Microsoft gesicherten X.509-Zertifikatverwaltung befindet sich in public preview und wird für Produktionsworkloads nicht empfohlen. Weitere Informationen finden Sie unter FAQ: Neuerungen in IoT Hub?.
Funktionsweise der Gerätezertifikatausstellung
Die folgenden Schritte beschreiben den Gesamtablauf der Ausstellung:
Das IoT-Gerät verbindet sich mit dem DPS-Endpunkt und authentifiziert sich mithilfe seiner Onboarding-Anmeldeinformation, wie z. B. eines symmetrischen Schlüssels, eines X.509-Zertifikats oder des Trusted Platform Module (TPM). Im Rahmen dieses Registrierungsaufrufs sendet das Gerät eine Zertifikatsignaturanforderung (CSR), die den öffentlichen Schlüssel des Geräts und seine Registrierungs-ID enthält.
Nach erfolgreicher Validierung der Onboarding-Berechtigung wird die Geräteidentität in ADR erstellt und basierend auf der Einschreibungskonfiguration dem entsprechenden IoT Hub zugewiesen.
DPS leitet das CSR an die Zertifizierungsstelle (CA) weiter, die Sie im ADR erstellt und in der DPS-Registrierung referenziert haben. Die CA validiert die Anfrage und stellt dann ein unterschriebenes X.509-Zertifikat aus.
DPS gibt das ausgestellte Zertifikat und IoT Hub Verbindungsdetails an das Gerät zurück.
Das Gerät authentifiziert sich mit IoT Hub, indem die vollständige Zertifikatkette präsentiert wird.
Anforderungen für die Zertifikatsignierungsanforderung
Wenn ein Gerät bereitgestellt oder erneut bereitgestellt wird, sendet es eine CSR an DPS. DPS erwartet, dass die CSR die folgenden Anforderungen erfüllt:
- Format: Base64-kodierte Distinguished Encoding Rules (DER) gemäß der Public Key Cryptography Standards (PKCS) #10-Spezifikation. PEM-Kopf- und Fußzeilen (Privacy-Enhanced Mail) können nicht einbezogen werden.
- Allgemeiner Name (CN): Das Feld "CN" muss exakt mit der DPS-Registrierungs-ID des Geräts übereinstimmen. Für Implementierungshinweise siehe Unified Azure IoT SDKs (Vorschau) für IoT Hub und Azure Device Registry.
Kryptografische Algorithmen
Die von Ihnen erstellten Zertifizierungsstellen im Azure Device Registry verwenden für alle von ihnen ausgestellten Zertifikate folgende kryptografische Standards:
| Eigentum | Wert |
|---|---|
| Schlüsselalgorithmus | ECC (ECDSA) |
| Kurve | NIST P-384 (secp384r1) |
| Hashalgorithmus | SHA-384 |
| Schlüsselspeicher | Verwaltetes Azure-HSM |
ECC mit P-384 bietet eine gleichwertige Sicherheit für RSA bei viel kleineren Schlüsselgrößen. Dieser Algorithmus erzeugt kleinere Zertifikate, schnellere TLS-Handshakes und einen geringeren Stromverbrauch auf eingeschränkten IoT-Geräten.
IoT Hub-Vertrauen und CA-Synchronisation
Damit ein Gerät sich mit seinem ausgestellten Zertifikat beim IoT Hub authentifizieren kann, muss IoT Hub der Zwischenzertifizierungsstelle vertrauen, die das Gerätezertifikat signiert hat. Wenn Sie die CA erstellen, überträgt ADR automatisch das öffentliche CA-Zertifikat an Ihre verbundenen IoT-Hubs. IoT Hub speichert das Zwischen-CA-Zertifikat und verwendet es, um die Zertifikatskette zu validieren, die Ihre Geräte während der TLS-Authentifizierung präsentieren.
Beginnen Sie mit der Ausstellung von Gerätezertifikaten
IoT-Geräte können Gerätezertifikate von ADR anfordern, indem sie standardisierte Geräte-Workflows verwenden. Um zu starten, siehe Unified Azure IoT SDKs (Vorschau) für IoT Hub und Azure Device Registry.