Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
La gestión de certificados en Azure Device Registry (ADR) simplifica la emisión y gestión del ciclo de vida de los certificados X.509, permitiendo que los dispositivos IoT establezcan y mantengan identidades seguras basadas en certificados. Puedes crear y gestionar autoridades certificadoras (CAs), emitir certificados de dispositivos y establecer confianza con los servicios de Azure IoT. En lugar de gestionar tu propio entorno PKI, las autoridades certificadoras se provisionan automáticamente dentro de una PKI en la nube privada dedicada a tu espacio de nombres, proporcionando un límite de confianza aislado y respaldado por hardware.
La Gestión de Certificados soporta la emisión y renovación de certificados de dispositivos mediante flujos de trabajo estándar de dispositivos, establece confianza sincronizando las CAs con servicios de Azure IoT de confianza y permite una gobernanza continua mediante revocaciones y controles del ciclo de vida.
Para utilizar la gestión de certificados, debes utilizar IoT Hub y Device Provisioning Service (DPS).
Información general sobre las características
Las siguientes funciones están soportadas con la gestión de certificados para dispositivos IoT Hub:
| Feature | Descripción |
|---|---|
| Crear múltiples autoridades certificadoras (CA) en un único espacio de nombres ADR | Crea una jerarquía PKI de dos niveles con CAs raíz e intermedias en la nube. Puedes crear hasta una CA raíz y hasta tres CA intermedias en un solo espacio de nombres. |
| Traiga su propia autoridad de certificación | Si tienes un entorno PKI existente, puedes mantener la misma CA raíz y crear una CA intermedia en ADR que se encadena a tu raíz externa. |
| Algoritmos criptográficos | Las autoridades certificadoras gestionadas en ADR admiten ECC (ECDSA), NIST P-384 y SHA-384. |
| Claves de HSM (firma y cifrado) | Las claves se aprovisionan mediante el Azure Key Vault Managed Hardware Security Module (Azure Managed HSM). Las CA creadas en el espacio de nombres de ADR usan automáticamente claves de cifrado y firma de HSM. No se requiere ninguna suscripción Azure para Azure HSM. |
| Crear una política de certificado | Cada CA intermedia soporta una única política de certificado. Una política de certificados define la vida útil de los certificados de dispositivo emitidos por esa CA intermedia. |
| Emisión y renovación de certificados de dispositivo | Los certificados de dispositivo son emitidos y renovados por la CA intermedia. La emisión y renovación de certificados se realiza a través de APIs de dispositivos Azure IoT, incluyendo los flujos de trabajo de dispositivos DPS y IoT Hub. |
| Revocación de certificados de dispositivo | Revoque certificados de dispositivo individuales para bloquear las conexiones de dispositivo hasta que se emita un certificado nuevo en el dispositivo. Los certificados revocados se añaden a la Lista de Revocación de Certificados (CRL) de la CA intermedia. |
| Revocación de CA intermedia | Revoca una CA intermedia para eliminar el certificado de CA asociado del IoT Hub y añade la CA a la Lista de Revocación de Certificados (CRL) de la CA raíz. La revocación no está soportada para las CA intermedias firmadas por una CA externa. |
| Puntos de distribución de lista de revocación de certificados (CRL) | Azure hospeda el punto de distribución CRL (CDP) para cada CA. La dirección URL de CDP está incrustada en cada certificado. El período de validez de CRL es de siete días. La publicación y actualización se realizan cada 3,5 días. La CRL se actualiza con cada revocación de certificados. |
| Puntos de conexión de Acceso a información de entidad emisora (AIA) | Azure aloja el endpoint AIA para cada CA intermedia. La dirección URL de AIA se inserta en cada certificado. Los usuarios de confianza pueden usar el punto de conexión de AIA para recuperar certificados primarios. |
| Sincronización de certificados de Autoridad Certificadora (AC) con IoT Hubs | Sincroniza automáticamente los certificados de CA con los Hubs IoT vinculados y habilita la conectividad del dispositivo. |
Aprovisionamiento vs. credenciales operativas para dispositivos
Una credencial es un artefacto que un dispositivo utiliza para demostrar su identidad, como un certificado X.509 o una clave simétrica. En Azure IoT, existen dos tipos de credenciales de dispositivo: una credencial de incorporación y una credencial operativa. Las credenciales de incorporación y operativas cumplen funciones diferentes y tienen ciclos de vida distintos:
- Credencial de incorporación: Proporciona una identidad duradera del dispositivo que normalmente se proporciona durante la fabricación y permanece estable durante toda la vida útil del dispositivo. Un dispositivo utiliza esta credencial para autenticarse con Device Provisioning Service (DPS) durante la provisión. Los tipos de credenciales de incorporación admitidos incluyen certificados X.509 de una entidad de certificación (CA) de terceros, claves simétricas y módulos de plataforma segura (TPM).
- Credencial operativa: Estos son certificados X.509 emitidos por Azure Device Registry, normalmente de corta duración, que se renuevan a lo largo del ciclo de vida del dispositivo y se utilizan para autenticarse en servicios en la nube como IoT Hub. Esta credencial puede revocarse sin reemplazar la identidad fundamental del dispositivo, mejorando la seguridad y reduciendo la complejidad operativa a gran escala.
La gestión de certificados en Azure Device Registry permite la emisión, renovación y revocación de credenciales operativas de dispositivos. No emite ni gestiona las credenciales de aprovisionamiento de dispositivos.
Architecture
La gestión de certificados combina Azure Device Registry (ADR), Device Provisioning Service (DPS) y Azure IoT Hub para proporcionar la emisión, distribución de confianza y gestión del ciclo de vida de certificados operativos de dispositivos.
Cómo se utilizan los servicios de Azure IoT en la administración de certificados
Azure Device Registry (ADR) actúa como el plano de control de gestión de certificados. Utilizas ADR para crear y gestionar autoridades certificadoras (CA) raíz e intermedias, configurar políticas de certificados y revocar certificados de dispositivos. ADR aloja la PKI en la nube para tu espacio de nombres y gestiona el ciclo de vida de los recursos de gestión de certificados. Para más información, véase Configurar una CA raíz e intermedia.
El Servicio de Aprovisionamiento de Dispositivos (DPS) realiza la incorporación de dispositivos en tiempo de ejecución y la emisión de certificados. Durante la provisión, DPS valida la credencial de incorporación del dispositivo y determina qué política de certificados debe aplicarse según la configuración de inscripción. El dispositivo debe presentar una solicitud de firma de certificado (CSR) como parte de la transacción de aprovisionamiento, lo que permite a ADR emitir un certificado operativo para el dispositivo. Para más información, consulte Emisión de certificados en la gestión de certificados del Registro de Dispositivos de Azure.
Azure IoT Hub es el servicio de ejecución al que los dispositivos se conectan tras el provisionamiento. ADR sincroniza los certificados de CA con los IoT Hubs enlazados para que el IoT Hub pueda confiar y validar los certificados operativos del dispositivo durante la autenticación. IoT Hub también permite la renovación de certificados operativos sin necesidad de reprovisionar el dispositivo. Para más información, consulte Renovación de certificados en la gestión de certificados del Registro de Dispositivos de Azure.
Opciones de autoridad certificadora
La gestión de certificados en Azure Device Registry soporta dos tipos de autoridades certificadoras intermedias:
ADR firmado por la entidad de certificación raíz en Microsoft Cloud crea y gestiona una entidad de certificación intermedia que se vincula a una entidad de certificación raíz única administrada por Microsoft para su espacio de nombres. Microsoft gestiona el ciclo de vida tanto de la CA raíz del espacio de nombres como de la CA intermedia.
CA externa firmada ADR crea y gestiona una CA intermedia que está firmada por una CA externa propiedad de tu organización. Tu organización mantiene la propiedad y la gobernanza de la CA externa, mientras que Microsoft gestiona la CA intermedia y el flujo de trabajo operativo de emisión de certificados. Esta opción es útil cuando los dispositivos deben encadenarse a una PKI empresarial o a un ancla de confianza corporativa común.
Para más información, consulte Autoridades certificadoras en el Registro de Dispositivos de Azure.
Límites y cuotas
Para la información más reciente sobre límites y cuotas para la gestión de certificados en Azure Device Registry, consulte Azure subscription and service limits.