Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Das Zertifikatsmanagement im Azure Device Registry (ADR) vereinfacht die Ausstellung und das Lebenszyklusmanagement von X.509-Zertifikaten und ermöglicht es IoT-Geräten, sichere, zertifikatsbasierte Identitäten zu etablieren und zu pflegen. Sie können Zertifizierungsstellen (CAs) erstellen und verwalten, Gerätezertifikate ausstellen und Vertrauen in Azure IoT-Dienste aufbauen. Anstatt Ihre eigene PKI-Umgebung zu verwalten, werden Zertifizierungsstellen automatisch innerhalb einer privaten Cloud-PKI bereitgestellt, die Ihrem Namespace gewidmet ist und eine isolierte, hardwaregestützte Vertrauensgrenze bereitstellt.
Zertifikatsverwaltung unterstützt die Ausstellung und Erneuerung von Gerätezertifikaten durch standardisierte Geräteworkflows, stellt Vertrauen her, indem CAs mit vertrauenswürdigen Azure IoT-Diensten synchronisiert werden, und ermöglicht eine fortlaufende Governance durch Widerruf und Lebenszykluskontrollen.
Um das Zertifikatsmanagement zu nutzen, müssen Sie den IoT Hub und den Device Provisioning Service (DPS) verwenden.
Übersicht über Features
Die folgenden Funktionen werden bei der Zertifikatsverwaltung für IoT Hub-Geräte unterstützt:
| Funktion | Beschreibung |
|---|---|
| Erstelle mehrere Zertifizierungsstellen (CA) in einem einzigen ADR-Namensraum | Erstelle eine zweistufige PKI-Hierarchie mit Root- und Zwischen-CAs in der Cloud. Man kann bis zu einer Root-CA und bis zu drei Zwischen-CAs in einem einzigen Namespace erstellen. |
| Bringen Sie Ihre eigene CA mit | Wenn Sie bereits eine PKI-Umgebung haben, können Sie dieselbe Stamm-ZS pflegen und eine Zwischen-ZS in ADR erstellen, die mit Ihrer externe Stamm-ZS verkettet ist. |
| Kryptografische Algorithmen | In ADR verwaltete Zertifikatsbehörden unterstützen ECC (ECDSA), NIST P-384 und SHA-384. |
| HSM-Schlüssel (Signieren und Verschlüsselung) | Schlüssel werden mithilfe Azure Key Vault Managed Hardware Security Module (Azure Managed HSM) bereitgestellt. In Ihrem ADR-Namespace erstellte CAs verwenden automatisch HSM-Signatur- und Verschlüsselungsschlüssel. Für Azure HSM ist kein Azure Abonnement erforderlich. |
| Erstellen Sie eine Zertifikatsrichtlinie | Jede zwischenliegende CA unterstützt eine einzige Zertifikatsrichtlinie. Eine Zertifikatsrichtlinie definiert die Lebensdauer von Gerätezertifikaten, die von dieser Zwischen-CA ausgestellt werden. |
| Veröffentlichung und Verlängerung von Gerätezertifikaten | Gerätezertifikate werden von der Intermediate CA ausgestellt und erneuert. Die Ausstellung und Erneuerung von Zertifikaten erfolgt über Azure IoT-Geräte-APIs, einschließlich DPS- und IoT Hub-Geräte-Workflows. |
| Gerätezertifikatswiderruf | Widerrufen Sie einzelne Gerätezertifikate, um Geräteverbindungen zu blockieren, bis ein neues Zertifikat für das Gerät ausgestellt wird. Widerrufene Zertifikate werden der Certificate Revocation List (CRL) der zwischengeschalteten CA hinzugefügt. |
| Sperrung der Zwischen-ZS | Widerrufen Sie eine Zwischen-CA, um das zugehörige CA-Zertifikat aus dem IoT Hub zu entfernen, und fügen Sie die CA in die Certificate Revocation List (CRL) der Root-CA ein. Ein Widerruf wird nicht für zwischenliegende CAs unterstützt, die von einer externen CA signiert wurden. |
| Verteilungspunkte der Zertifikatsperrliste (Certificate Revocation List, CRL) | Azure hosten den CRL-Verteilungspunkt (CDP) für jede Zertifizierungsstelle. Die CDP-URL ist in jedes Zertifikat eingebettet. Die Gültigkeitsdauer der CRL beträgt sieben Tage. Veröffentlichung und Aktualisierung erfolgen alle 3,5 Tage. Die Zertifikatsperrliste wird mit jeder Zertifikatsperrung aktualisiert. |
| Endpunkte für den Zugriff auf Autoritätsinformationen (Authority Information Access, AIA) | Azure hostet den AIA-Endpunkt für jede zwischenliegende CA. Die AIA-URL ist in jedes Zertifikat eingebettet. Der AIA-Endpunkt kann von vertrauenswürdigen Stellen verwendet werden, um Stammzertifikate abzurufen. |
| Synchronisieren Sie CA-Zertifikate mit IoT-Hubs | Synchronisieren Sie CA-Zertifikate automatisch mit verbundenen IoT-Hubs und aktivieren Sie die Gerätekonnektivität. |
Onboarding vs. Betriebszugangsdaten für Geräte
Eine Anmeldeinformation ist ein Artefakt, das ein Gerät verwendet, um seine Identität zu beweisen, wie zum Beispiel ein X.509-Zertifikat oder ein symmetrischer Schlüssel. In Azure IoT gibt es zwei Arten von Geräteanmeldeinformationen: eine Onboarding-Anmeldeinformation und eine Betriebs-Anmeldeinformation. Onboarding- und operative Anmeldeinformationen erfüllen unterschiedliche Zwecke und haben unterschiedliche Lebenszyklen:
- Onboarding-Anmeldeinformation: Bietet eine dauerhafte Geräteidentität, die typischerweise während der Herstellung bereitgestellt wird und während der gesamten Lebensdauer des Geräts stabil bleibt. Ein Gerät verwendet diese Zugangsberechtigung, um sich während der Bereitstellung beim Device Provisioning Service (DPS) zu authentifizieren. Zu den unterstützten Onboarding-Anmeldeinformationstypen gehören X.509-Zertifikate von einer Zertifizierungsstelle eines Drittanbieters, symmetrischen Schlüsseln und Trusted Platform Modules (TPM).
- Betriebsnachweis: Dies sind X.509-Zertifikate, die vom Azure Device Registry ausgestellt werden, typischerweise kurzlebig, im gesamten Gerätelebenszyklus erneuert werden und zur Authentifizierung bei Cloud-Diensten wie dem IoT Hub verwendet werden. Diese Anmeldeinformation kann widerrufen werden, ohne die grundlegende Identität des Geräts zu ersetzen, was die Sicherheit verbessert und die betriebliche Komplexität im großen Maßstab reduziert.
Das Zertifikatsmanagement in der Azure-Geräteregistrierung unterstützt die Ausstellung, Verlängerung und die Sperrung von Betriebsanmeldeinformationen für Geräte. Es stellt keine Onboarding-Anmeldeinformationen für Geräte aus oder verwaltet sie.
Architektur
Das Zertifikatsmanagement kombiniert Azure Device Registry (ADR), Device Provisioning Service (DPS) und Azure IoT Hub, um die Ausgabe, Vertrauensverteilung und das Lebenszyklusmanagement von Gerätebetriebszertifikaten bereitzustellen.
Wie Zertifikatsverwaltung Azure IoT-Dienste verwendet
Azure Device Registry (ADR) fungiert als Kontrollebene für das Zertifikatsmanagement. Sie verwenden ADR, um Root- und Zwischenzertifikatsstellen (CAs) zu erstellen und zu verwalten, Zertifikatsrichtlinien zu konfigurieren und Gerätezertifikate zu widerrufen. ADR hostet die Cloud-PKI für Ihren Namespace und verwaltet den Lebenszyklus der Zertifikatsverwaltungsressourcen. Weitere Informationen finden Sie unter Einrichten einer Stammzertifizierungsstelle und Zwischenzertifizierungsstelle.
Der Device Provisioning Service (DPS) führt zur Laufzeit das Onboarding von Geräten und die Ausstellung von Zertifikaten durch. Während der Bereitstellung validiert DPS die Onboarding-Credential des Geräts und bestimmt, welche Zertifikatsrichtlinie basierend auf der Registrierungskonfiguration angewendet werden soll. Das Gerät muss im Rahmen der Bereitstellungstransaktion eine Zertifikatsignieranforderung (Certificate Signing Request, CSR) stellen, sodass ADR ein Betriebszertifikat für das Gerät ausstellen kann. Weitere Informationen finden Sie unter Zertifikatausstellung in der Zertifikatverwaltung von Azure Device Registry.
Azure IoT Hub ist der Laufzeitdienst, mit dem Geräte nach der Bereitstellung verbunden werden. ADR synchronisiert ZS-Zertifikate mit verknüpften IoT-Hubs, sodass der IoT Hub während der Authentifizierung Betriebszertifikaten von Geräten vertrauen und diese validieren kann. IoT Hub unterstützt außerdem die Erneuerung von Betriebszertifikaten, ohne dass das Gerät erneut bereitgestellt werden muss. Weitere Informationen finden Sie unter Zertifikatsverlängerung in Azure Device Registry Zertifikatsverwaltung.
Optionen für Zertifizierungsstellen
Das Zertifikatsmanagement im Azure Device Registry unterstützt zwei Arten von zwischenliegenden Zertifizierungsstellen:
Von der Microsoft Cloud Stamm-ZS signiert ADR erstellt und verwaltet eine Zwischen-ZS, die mit einer einzigartigen, von Microsoft verwalteten Stamm-ZS für Ihren Namespace verkettet ist. Microsoft verwaltet den Lebenszyklus sowohl der Namensraum-Root-CA als auch der Zwischen-CA.
Von einer externen ZS signiert ADR erstellt und verwaltet eine Zwischen-ZS, die von einer externen ZS im Besitz Ihrer Organisation signiert wird. Ihre Organisation behält das Eigentum und die Governance der externen CA, während Microsoft die Zwischen-CA und den Workflow zur Erteilung von operativen Zertifikaten verwaltet. Diese Option ist nützlich, wenn sich Geräte mit einer Unternehmens-PKI oder einem gemeinsamen Unternehmensvertrauensanker verketten müssen.
Weitere Informationen finden Sie unter Zertifizierungsstellen in Azure Device Registry.
Grenzen und Kontingente
Für die neuesten Informationen zu Limits und Quoten für das Zertifikatsmanagement in der Azure Device Registry siehe Azure-Abonnement- und Servicelimits.