Konzepte zum Zertifikatswiderruf und Richtlinienmanagement (Vorschau)

Mit der Zertifikatverwaltung in Azure IoT Hub können Sie X.509-Zertifikate während des gesamten Lebenszyklus ausstellen, verwalten und widerrufen. In diesem Artikel werden die wichtigsten Konzepte zum Widerrufen von Gerätezertifikaten, zum Widerrufen von Richtlinien, zum Löschen von Richtlinien und zum Löschen von Anmeldeinformationsressourcen vorgestellt. Diese Vorgänge sind Teil einer koordinierten Lebenszyklusverwaltungsstrategie, die Ihnen hilft, Ihren Sicherheitsstatus beizubehalten, wenn Zertifikate ablaufen, Geräte außer Betrieb genommen werden oder geschäftliche Anforderungen geändert werden.

Important

Azure IoT Hub mit Azure Geräteregistrierungsintegration und Microsoft gesicherten X.509-Zertifikatverwaltung befindet sich in public preview und wird für Produktionsworkloads nicht empfohlen. Weitere Informationen finden Sie unter FAQ: Neuerungen in IoT Hub?.

Beziehung zwischen Zertifikatlebenszyklusvorgängen

Der Zertifikatlebenszyklus in Azure Device Registry (ADR) folgt einer strukturierten Hierarchie: Eine Anmeldeinformationsressource richtet die Stammzertifizierungsstelle auf Namespaceebene ein, eine Richtlinie definiert die ausstellende Zertifizierungsstelle, die Gerätezertifikate signiert, und jedes Gerät verwendet ein eigenes Zertifikat. Verknüpfte IoT-Hubs vertrauen der ausstellenden ZS, die ADR aus der Richtlinie synchronisiert. Mit Sperr- und Löschvorgängen können Sie auf der richtigen Ebene für das Problem handeln, das Sie lösen müssen:

  • Widerrufen von Gerätezertifikaten , wenn das Problem auf ein Gerät beschränkt ist.
  • Richtlinie widerrufen, wenn das Problem jedes von dieser Richtlinie ausgestellte Zertifikat betrifft.
  • Löschen Sie eine Richtlinie , wenn Sie diesen Ausstellenpfad für zukünftige Zertifikatausstellungen nicht mehr benötigen.
  • Löschen Sie eine Zertifikatsressource, wenn Sie die Zertifikatverwaltung im Namespace nicht mehr nutzen müssen.

Voraussetzungen

Um Zertifikatsperr- und Richtlinienverwaltungsvorgänge auszuführen, müssen Sie über die Rolle "Azure Device Registry Credentials Contributor" für den Namespace "Azure Device Registry" verfügen. Diese Rolle gewährt vollzugriff auf die Verwaltung von Anmeldeinformationen und Richtlinien (microsoft.deviceregistry/namespaces/credentials/* und microsoft.deviceregistry/namespaces/credentials/policies/*).

Wenn Sie diese Rolle nicht zugewiesen haben, wenden Sie sich an Ihren Azure-Administrator, um die erforderlichen Berechtigungen anzufordern.

Widerrufen von Gerätezertifikaten

Wenn Sie ein Gerätezertifikat im Azure Device Registry (ADR) widerrufen, widerrufen Sie alle jemals an dieses Gerät ausgestellten Zertifikate. Im Rahmen dieses Prozesses wird die eindeutige Kennung des Gerätezertifikats in die Certificate Revocation List (CRL) der ausstellenden CA aufgenommen, wodurch verhindert wird, dass sich das Gerät durch Verwendung eines zuvor ausgestellten Zertifikats beim IoT Hub authentifiziert.

Um die Konnektivität wiederherzustellen, muss das Gerät neu bereitgestellt und ein neues Zertifikat angefordert werden. Diese Aktion wird empfohlen, wenn ein Gerät kompromittiert, außer Betrieb genommen oder nicht mehr vertrauenswürdig ist. Standardmäßig bleibt das Gerät in IoT Hub aktiviert und kann erneut verbunden werden, sobald ein neues Zertifikat ausgestellt wurde. Wenn jedoch der sofortige Zugriff blockiert werden muss, können Sie das Zertifikat widerrufen und das Gerät deaktivieren, um weitere Verbindungen zu verhindern.

Important

IoT Hub wertet die Zertifikatsperrliste der Zertifizierungsstelle während der Geräteverbindung nicht aus. Stattdessen wird die Sperrung mithilfe eines eindeutigen Bezeichners pro Gerät erzwungen, der zum Zeitpunkt der Ausstellung in das Zertifikat eingebettet ist. Wenn ein Gerät sich mit seinem Zertifikat verbindet, extrahiert IoT Hub diese Kennung und vergleicht sie mit der aktuellen, im Dienst gespeicherten Kennung des Geräts, um festzustellen, ob das Zertifikat widerrufen wurde. Wenn das Zertifikat eines Geräts widerrufen wird, wird sein eindeutiger Bezeichner ausgetauscht. Alle nach dem Widerruf ausgestellten Zertifikate enthalten den neuen Bezeichner, während zuvor ausgestellte Zertifikate nicht mehr übereinstimmen und als widerrufen behandelt werden.

Auswirkungen des Widerrufens eines Gerätezertifikats

Das Widerrufen der Zertifikate eines Geräts wirkt sich nur auf das Zielgerät aus und wirkt sich nicht auf andere Geräte oder die Richtlinie aus, die das Zertifikat ausgestellt hat.

  • Device-Zertifikat wird erneuert: Azure-Geräteregistrierung macht alle jemals für dieses Gerät ausgestellten Gerätezertifikate ungültig. Geräte müssen erneut konfiguriert werden, um ein neues Zertifikat zu erhalten.

  • IoT Hub Vertrauensupdates: Das zertifikat der ausstellenden Zertifizierungsstelle, das in IoT hub gespeichert ist, akzeptiert neue von der Richtlinie ausgestellte Zertifikate.

  • Das Gerät kann aktiviert bleiben: Standardmäßig bleibt die Geräteidentität aktiviert, sodass das Gerät nach dem Abrufen des neuen Zertifikats erneut verbunden werden kann.

  • Zurücksetzen und Blockieren des Zugriffs: Wenn Sie das Gerät zurücksetzen und blockieren, kann das Gerät erst eine Verbindung herstellen, wenn Sie es erneut aktivieren.

  • Keine Auswirkungen auf Richtlinien oder andere Geräte: Andere Geräte, die dieselbe Richtlinie verwenden, behalten ihre Zertifikate bei.

Widerrufen einer Richtlinie

Wenn Sie eine Richtlinie widerrufen, wird die ausstellende Zertifizierungsstelle für diese Richtlinie ausgetauscht. Dies wirkt sich auf alle Gerätezertifikate aus, die diese Richtlinie ausgestellt hat. Verwenden Sie diese Aktion, wenn das Problem auf den gesamten Zertifikatpfad angewendet wird, z. B. eine verdächtige Kompromittierung des Zertifizierungsstellenschlüssels.

Der Widerrufsfluss unterscheidet sich je nach Richtlinientyp:

  • Von der Microsoft Stamm-ZS signierte Richtlinie: Das ausstellende ZS-Zertifikat wird zur Zertifikatswiderrufsliste (CRL) der Stamm-ZS auf Namespace-Ebene hinzugefügt. Azure Geräteregistrierung generiert eine Ersetzungszertifizierungsstelle und synchronisiert die neue Zertifizierungsstelle automatisch mit verknüpften IoT-Hubs.

  • Richtlinie einer externen Zertifizierungsstelle: Sie können keine Richtlinie widerrufen, die bei einer externen Zertifizierungsstelle konfiguriert wurde. Sie müssen sicherstellen, dass der Widerruf auch an die Zertifikatsperrliste (CRL) oder den OCSP-Responder der externen Zertifizierungsstelle weitergegeben wird.

Auswirkungen der Widerrufung einer Richtlinie

Da eine Richtlinie als ausstellende Zertifizierungsstelle fungiert, wirkt sich das Widerrufen auf jedes Gerät aus, dessen Zertifikat sie ausgestellt hat.

  • Die ausstellende CA wird gewechselt: Die Richtlinie beendet die Nutzung der aktuellen CA und wechselt zu einer neuen ausstellenden CA.

  • Alle ausgestellten Gerätezertifikate sind betroffen: Geräte, die Zertifikate von der vorherigen ausstellenden Zertifizierungsstelle verwenden, müssen neue Gerätezertifikate anfordern und empfangen, bevor sie die normale Authentifizierung fortsetzen können.

  • IoT Hub Vertrauensänderungen: Verknüpfte IoT-Hubs vertrauen nicht mehr der vorherigen ausstellenden Zertifizierungsstelle und müssen der Ersatzzertifizierungsstelle vertrauen.

  • Standardmäßiger Richtlinienablauf wird in ADR abgeschlossen: Bei einer dienstseitig verwalteten Richtlinie synchronisiert ADR die Ersatz-ZS automatisch mit den verknüpften Hubs.

  • BYOR-Ablauf benötigt Benutzeraktion: Für eine BYOR-Richtlinie müssen Sie die neue CSR signieren, die Richtlinie aktivieren und Anmeldeinformationen synchronisieren.

  • Andere Richtlinien bleiben getrennt: Wenn Ihre Bereitstellung mehrere Richtlinien verwendet, wirkt sich das Widerrufen einer Richtlinie nicht auf Zertifikate aus, die andere Richtlinien ausgestellt haben.

  • Sicherheitseindämmung: Diese Aktion ist nützlich, wenn Sie vermuten, dass die ausstellende Zertifizierungsstelle oder der private Schlüssel kompromittiert ist oder wenn Sie eine vollständige Zertifikataktualisierung für diese Richtlinie benötigen.

  • Microsoft-managed Root CA: Azure PKI-Infrastruktur verarbeitet den Widerruf. Microsoft führt und verwaltet die Sperrliste.

  • Externe Stammzertifizierungsstelle: Wenn eine externe Stammzertifizierungsstelle Ihre Richtlinie signiert, müssen Sie sicherstellen, dass der Widerruf auch an die Zertifikatsperrliste der externen Zertifizierungsstelle (Certificate Revocation List, CRL) oder OCSP-Responder weitergegeben wird.

Löschen einer Richtlinie

Durch das Löschen einer Richtlinie wird die ausstellende Zertifizierungsstelle-Konfiguration für zukünftige Zertifikatausstellungen entfernt. Diese Aktion ist ein letzter Bereinigungsschritt. Im Gegensatz zum Widerruf entfernt das Löschen die Richtlinienkonfiguration, anstatt die ausstellende Zertifizierungsstelle zu rotieren. Löschen Sie eine Richtlinie nur, nachdem Sie bestätigt haben, dass Sie die Richtlinie nicht mehr für zukünftige Gerätezertifikatvorgänge benötigen. Um eine Richtlinie zu löschen, suchen Sie die Richtlinie im Azure-Portal, und wählen Sie Delete aus.

Nachdem Sie eine Richtlinie gelöscht haben, kann sie keine neuen Gerätezertifikate mehr ausgeben, aber der IoT Hub nimmt weiterhin neue gültige Gerätezertifikate an. Wenn Sie alle vorhandenen Gerätezertifikate unter dieser Richtlinie außer Betrieb setzen möchten, müssen Sie das Zertifizierungsstellenzertifikat aus dem IoT-Hub löschen.

Important

Für Richtlinien, die mit einer externen Zertifizierungsstelle konfiguriert sind, müssen Sie jedes Gerätezertifikat widerrufen, bevor Sie die Richtlinie löschen. Wenn Sie nicht jedes Gerätezertifikat widerrufen können, müssen Sie Ihre Zugangsinformationen-Ressource löschen und eine neue Richtlinie konfigurieren.

Auswirkungen des Löschens einer Richtlinie

Durch das Dauerhafte Löschen einer Richtlinie wird die Richtlinienkonfiguration entfernt. Im Gegensatz zur Löschung wird die Richtlinie nicht nur als ungültig markiert.

  • Richtlinie wird dauerhaft entfernt: Die Richtlinie und ihre Konfiguration werden aus Ihrem ADR-Namespace gelöscht. Dieser Vorgang kann nicht rückgängig gemacht werden.
  • Abhängige Ressourcen: Jede Geräteregistrierung, die mit dieser Richtlinie in Device Provisioning Service (DPS) verknüpft ist, kann keine neuen Zertifikate ausgeben. DPS-Registrierungen, die auf die gelöschte Richtlinie verweisen, müssen aktualisiert werden, um eine andere Richtlinie zu verwenden oder deaktiviert zu werden.
  • Überwachungsinformationen: Während die Richtlinie gelöscht wird, können Sie verlaufsbezogene Datensätze und Überwachungsprotokolle im Zusammenhang mit der Richtlinie basierend auf Ihren Complianceanforderungen aufbewahren.
  • Keine Auswirkungen auf aktive Zertifikate: Wenn von dieser Richtlinie ausgestellte Zertifikate weiterhin gültig sind, führt das Löschen der Richtlinie nicht dazu, dass diese sofort ungültig werden. Eine neue Zertifikatausstellung über diese Richtlinie ist jedoch nicht möglich. Um alle vorhandenen Gerätezertifikate unter dieser Richtlinie außer Betrieb zu setzen, müssen Sie das Zertifizierungsstellenzertifikat aus dem IoT-Hub löschen.

Löschen einer Anmeldeinformationsressource

** Wenn Sie eine Zertifikatsressource löschen, entfernen Sie den Vertrauensanker der Namespace-Ebene für diese Zertifikatskette. Dabei wird der Pfad für Anmeldeinformation aufgehoben, von dem die Richtlinien abhängen. Löschen Sie eine Zertifikatsressource nur, wenn Sie sicher sind, dass keine nachgelagerten Richtlinien oder Geräte darauf angewiesen sind, z. B. wenn Sie eine vollständige Zertifikatkette zurückziehen oder ältere Zertifikatsinfrastruktur entfernen. Um eine Anmeldeinformationsressource zu löschen, wechseln Sie zu Azure Geräteregistrierung, wählen Sie den Namespace aus, und wählen Sie unter Credential policies die Anmeldeinformationsressource und Delete aus.

Auswirkungen beim Löschen einer Anmeldedatenressource

Durch das Löschen von Anmeldeinformationen wird die Vertrauensbasis für die gesamte Zertifikatshierarchie eines ADR-Namespaces entfernt.

  • Die Anmeldeinformationsressource wird dauerhaft entfernt: Die Anmeldeinformationsressource und die zugehörigen Metadaten werden aus Ihrem ADR-Namespace gelöscht.
  • Übergreifendes Löschen: Falls noch Richtlinien mit diesem Berechtigungsnachweis verknüpft sind, müssen Sie zuerst diese Richtlinien widerrufen oder löschen, bevor Sie den Berechtigungsnachweis löschen können.
  • Keine Neuausstellung von Zertifikaten: Die Ausstellung eines neuen Zertifikats durch eine mit diesen Anmeldeinformationen signierte Richtlinie ist nicht möglich.
  • Irreversibeler Vorgang: Das Löschen von Anmeldeinformationen kann nicht rückgängig gemacht werden. Um die Zertifikatsverwaltung mit dieser Kette erneut zu verwenden, müssen Sie neue Anmeldeinformationen und Richtlinien erstellen.

Bewährte Methoden für den Zertifikatlebenszyklus

Das Widerrufen von Zertifikaten und das Löschen von Richtlinien sind vorgänge mit hoher Auswirkung, die schwierig oder unmöglich sind, rückgängig zu machen. Eine gut definierte Lebenszyklusstrategie hilft Ihnen, ungeplante Geräteausfälle zu vermeiden, Ihre Sicherheitsrisiken zu verringern und schnell zu reagieren, wenn Vorfälle auftreten. Die folgenden Methoden gelten unabhängig davon, ob Sie eine Handvoll Geräte oder eine Flotte von Tausenden verwalten.

  • Überwachung des Zertifikatsablaufs: Verfolgen Sie aktiv, wann Zertifikate ablaufen und planen Sie Erneuerungstermine, um Dienstunterbrechungen zu vermeiden.
  • Verwenden Sie separate Richtlinien für Gerätekohorten, wenn Ihr Design dies ermöglicht: Trennen Sie Richtlinien nach Modell, Hersteller, Standort oder Umgebung, um die Auswirkungen eines Richtlinien-Widerrufs zu reduzieren. In der aktuellen Vorschauversion unterstützt jeder Satz von Anmeldeinformationen eine Richtlinie, so dass Sie möglicherweise Kohorten auf mehrere Anmeldeinformationen verteilen müssen.
  • Überwachungsdatensätze verwalten: Verwenden Sie Azure-Überwachungsprotokolle, um alle Zertifikatswiderrufs-, Richtlinienlösch- und Entfernungsvorgänge von Anmeldeinformationen für Compliance- und Sicherheitsuntersuchungen nachzuverfolgen.

Verwandte Inhalte

  • Last updated on