Autoridades certificadoras en Azure Device Registry

La gestión de certificados en Azure Device Registry utiliza una jerarquía de dos niveles de autoridad certificadora (CA), que consiste en una CA raíz y una CA intermedia. Una CA raíz actúa como ancla de confianza para los dispositivos en el espacio de nombres, mientras que la CA intermedia (ICA), también conocida como CA emisora, es responsable de emitir y renovar los certificados de dispositivo en nombre de la CA raíz. Cada CA intermedia gestiona una única política de certificado, que define el periodo de validez de los certificados que firma. Cuando creas una autoridad certificadora intermedia, Azure Device Registry:

• Genera y almacena de forma segura el certificado intermedio de la CA y la clave privada en Azure Key Vault Managed HSM. La protección respaldada por hardware ayuda a prevenir accesos no autorizados al material criptográfico.

• Gestiona el ciclo de vida intermedio de la CA, incluyendo el seguimiento de la validez del certificado y el apoyo a las operaciones de rotación. Para las CA intermedias creadas con BYOCA, debes asegurarte de que tu CA externa reemita una nueva CA intermedia antes de que expire.

• Utiliza la CA intermedia para emitir certificados de dispositivo mientras que la CA raíz sigue siendo el ancla de confianza para la jerarquía.

Opciones de implementación

En un solo espacio de nombres, puedes crear hasta tres CAs intermedias. Tienes dos opciones de despliegue para tus autoridades certificadoras intermedias:

• Uso de una entidad de certificación raíz de nivel de espacio de nombres: implemente una entidad de certificación intermedia que firme y envíe una entidad de certificación raíz en su espacio de nombres. Esta CA raíz se crea en Microsoft cloud PKI.

• Trae tu propia autoridad de certificación (BYOCA): Despliega una CA intermedia firmada y emitida por tu propia CA privada. Esta opción requiere que tengas acceso a tu CA privada para firmar.

También puedes usar una combinación de modelos de despliegue en un único espacio de nombres.

Opción 1: Usar una CA raíz a nivel de espacio de nombres

Autoridad de certificación raíz

En un Registro de Dispositivos de Azure, puedes crear hasta una CA raíz por espacio de nombres. Utiliza esta CA raíz para firmar CAs intermedias que luego emiten certificados de dispositivo:

Cuando creas una CA raíz en un espacio de nombres, Azure Device Registry:

• Utiliza PKI en la nube de Microsoft para generar y almacenar de forma segura el certificado raíz de la CA y la clave privada en Azure Key Vault Managed HSM. La protección respaldada por hardware ayuda a prevenir accesos no autorizados al material criptográfico.
• Gestiona el ciclo de vida de la CA raíz, incluyendo el seguimiento de la validez de los certificados y el apoyo a las operaciones de rotación. La CA raíz es válida durante 10 años.
• Utiliza la CA raíz para firmar las CA intermedias mientras mantiene la CA raíz aislada de las operaciones diarias de certificados de dispositivos.

Cadena de certificados

Cuando Azure Device Registry emite un certificado de dispositivo, el certificado se encadena a la CA raíz del espacio de nombres a través de la CA intermedia. La cadena consta de:

• Certificado del dispositivo: Identifica un dispositivo IoT específico y está firmado por la CA intermedia.
• Certificado de CA intermedio: Firma y gestiona los certificados de dispositivo y está firmado por la CA raíz del espacio de nombres.
• Certificado raíz de la CA del espacio de nombres: Establece la raíz de confianza para el espacio de nombres.

Esta jerarquía limita el uso de la CA raíz, separa las operaciones de certificados de dispositivo del ancla de confianza y asegura que los certificados emitidos dentro de la cadena de espacio de nombres se encadenen hasta una raíz de confianza común.

Para empezar con una CA raíz gestionada por espacio de nombres, consulta configurar una CA raíz e intermedia.

Opción 2: Traiga su propia CA (BYOCA)

BYOCA le permite crear una entidad de certificación intermedia en el Registro de dispositivos de Azure que esté vinculada a una entidad de certificación administrada fuera de ADR. Esta CA emite certificados de dispositivo, pero la raíz de confianza sigue siendo la CA externa. Cuando creas una CA intermedia usando BYOCA, ADR crea una solicitud de firma de certificado para completar la activación.

Cuando configuras una CA intermedia firmada por una CA externa, Microsoft:

• Genera y almacena de forma segura el certificado intermedio de la CA y la clave privada en Azure Key Vault Managed HSM, proporcionando protección respaldada por hardware para operaciones criptográficas y ayudando a prevenir accesos no autorizados al material clave.

• Utiliza un modelo de responsabilidad compartida en el que Microsoft gestiona el ciclo de vida intermedio de la CA, incluyendo la monitorización y la rotación, mientras que la organización es responsable de renovar y mantener la validez del certificado externo que firma la CA intermedia. Esta CA intermedia tiene una validez de un año.

• Permite emitir certificados de dispositivo firmados por la CA intermedia, mientras que la CA externa sigue siendo el ancla confiable de la jerarquía.

Cadena de certificados

Cuando un dispositivo solicita un certificado a través del Registro de Dispositivos de Azure, el certificado se encadena a la CA externa a través de la CA intermedia. La cadena consta de:

• El certificado de dispositivo: Único para el dispositivo IoT específico.

• La CA emisora de Microsoft (ICA): la CA gestionada por el Registro de Dispositivos que firma la solicitud del dispositivo.

• La raíz externa CA: La raíz fiable de su organización, que firma la ICA de Microsoft.

Cualquier servicio que confíe en la entidad de certificación raíz corporativa confía automáticamente en los certificados emitidos para los dispositivos IoT por Azure.

Para comenzar con BYOCA, consulte Traiga su propia entidad de certificación.

Contenido relacionado

• ¿Qué es la gestión de certificados en Azure Device Registry?

• Fundamentos de PKI

• Autoridades certificadoras en Azure Device Registry

• Configura una CA raíz e intermedia

• Emisión de certificados en Azure Device Registry

• Revocación de certificados en Azure Device Registry