Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Il rilascio del certificato del dispositivo è il processo in base al quale i dispositivi richiedono e ricevono un certificato come parte del provisioning. Questo articolo spiega il compito di un dispositivo di inviare una richiesta di firma del certificato (CSR), come Azure Device Registry (ADR) e Device Provisioning Service (DPS) collaborano per emettere certificati su larga scala e come hub IoT considera attendibili i certificati emessi.
Importante
hub IoT di Azure con l'integrazione di Azure Device Registry e la gestione dei certificati X.509 supportata da Microsoft è in anteprima pubblica e non è consigliata per i carichi di lavoro di produzione. Per altre informazioni, vedere FAQ: Novità di hub IoT?.
Funzionamento del rilascio del certificato del dispositivo
I passaggi seguenti illustrano il flusso di emissione end-to-end:
Il dispositivo IoT si collega all'endpoint DPS e si autentica utilizzando la sua credenziale di onboarding, come una chiave simmetrica, un certificato X.509 o un Trusted Platform Module (TPM). Come parte di questa chiamata di registrazione, il dispositivo invia una richiesta di firma del certificato (CSR) che include la chiave pubblica del dispositivo e il relativo ID registrazione.
Dopo la validazione con successo della credenziale di onboarding, l'identità del dispositivo viene creata in ADR e assegnata all'hub IoT appropriato in base alla configurazione di registrazione.
DPS inoltra il CSR all'autorità certificatrice (CA) che hai creato in ADR e a cui hai fatto riferimento nella registrazione di DPS. La CA convalida la richiesta e poi rilascia un certificato X.509 firmato.
DPS restituisce il certificato emesso e hub IoT restituisce i dettagli di connessione al dispositivo.
Il dispositivo esegue l'autenticazione con hub IoT presentando la catena di certificati completa.
Requisiti della richiesta di firma del certificato
Quando un dispositivo effettua il provisioning o il reprovisioning, invia una richiesta di firma del certificato al servizio Device Provisioning. Il servizio Device Provisioning si aspetta che la richiesta di firma del certificato soddisfi i requisiti seguenti:
- Formato: Regole di codifica distinte con codifica Base64 (DER) che seguono la specifica PKCS (Public Key Cryptography Standards) #10. Non è possibile includere intestazioni e piè di pagina della mail migliorata per la privacy (PEM).
- Nome comune (CN): Il campo CN deve corrispondere esattamente all'ID registrazione DPS del dispositivo. Per indicazioni sull'implementazione, consulta Unified Azure IoT SDKs (anteprima) per hub IoT e Azure Device Registry.
Algoritmi di crittografia
Le autorità di certificazione che crei in Azure Device Registry utilizzano i seguenti standard crittografici per tutti i certificati che rilasciano:
| Proprietà | Valore |
|---|---|
| Algoritmo chiave | ECC (ECDSA) |
| Curva | NIST P-384 (secp384r1) |
| Algoritmo hash | SHA-384 |
| Archiviazione delle chiavi | HSM gestito di Azure |
ECC con P-384 offre una sicurezza equivalente a RSA con dimensioni chiave molto più piccole. Questo algoritmo produce certificati più piccoli, handshake TLS più veloci e un consumo di energia inferiore nei dispositivi IoT vincolati.
Attendibilità e sincronizzazione CA di hub IoT
Perché un dispositivo possa autenticarsi con hub IoT utilizzando il certificato emesso, hub IoT deve fidarsi della CA intermedia che ha firmato il certificato del dispositivo. Quando crei la CA, l'ADR spinge automaticamente il certificato pubblico della CA ai tuoi Hub IoT collegati. hub IoT memorizza il certificato CA intermedio e lo utilizza per validare la catena di certificati che i tuoi dispositivi presentano durante l'autenticazione TLS.
Inizia con l'emissione dei certificati del dispositivo
I dispositivi IoT possono richiedere certificati di dispositivo dall'ADR utilizzando flussi di lavoro standard dei dispositivi. Per iniziare, consulta Unified Azure IoT SDKs (anteprima) per hub IoT e Azure Device Registry.