Concetti relativi alla revoca dei certificati e alla gestione dei criteri (anteprima)

La gestione dei certificati in hub IoT di Azure consente di rilasciare, gestire e revocare i certificati X.509 durante il ciclo di vita. Questo articolo presenta i concetti chiave relativi alla revoca dei certificati dei dispositivi, alla revoca dei criteri, all'eliminazione di criteri e all'eliminazione delle risorse delle credenziali. Queste operazioni fanno parte di una strategia coordinata di gestione del ciclo di vita che consente di mantenere il comportamento di sicurezza quando scadono i certificati, i dispositivi vengono rimossi o i requisiti aziendali cambiano.

Importante

hub IoT di Azure con l'integrazione di Azure Device Registry e la gestione dei certificati X.509 supportata da Microsoft è in anteprima pubblica e non è consigliata per i carichi di lavoro di produzione. Per altre informazioni, vedere FAQ: Novità di hub IoT?.

Relazione tra le operazioni del ciclo di vita dei certificati

Il ciclo di vita dei certificati in Azure Device Registry (ADR) segue una gerarchia strutturata: una risorsa credenziale stabilisce la CA radice a livello di spazio dei nomi, un criterio definisce la CA emittente che firma i certificati del dispositivo e ogni dispositivo usa il proprio certificato. Gli hub IoT collegati si fidano della CA emittente sincronizzata dalle policy dell'ADR. Le operazioni di revoca ed eliminazione consentono di agire a livello corretto per il problema che è necessario risolvere:

  • Revocare i certificati del dispositivo quando il problema è limitato a un dispositivo.
  • Revocare un criterio quando il problema influisce su ogni certificato rilasciato dal criterio.
  • Eliminare una politica quando non è più necessario quel percorso di emissione per la futura emissione di certificati.
  • Eliminare una risorsa di credenziali quando non è più necessario usare la gestione dei certificati nel namespace.

Prerequisiti

Per eseguire operazioni di revoca dei certificati e gestione dei criteri, è necessario disporre del ruolo Collaboratore delle Credenziali del Registro dei Dispositivi Azure assegnato nello spazio dei nomi del Registro Dispositivi di Azure. Questo ruolo concede l'accesso completo per gestire credenziali e criteri (microsoft.deviceregistry/namespaces/credentials/* e microsoft.deviceregistry/namespaces/credentials/policies/*).

Se questo ruolo non è assegnato, contattare l'amministratore Azure per richiedere le autorizzazioni necessarie.

Revoca dei certificati dei dispositivi

Quando revochi un certificato di dispositivo in Azure Device Registry (ADR), revochi tutti i certificati mai rilasciati a quel dispositivo. Come parte di questo processo, l'identificatore univoco del certificato del dispositivo viene aggiunto alla Certificate Revocation List (CRL) della CA emittente, impedendo al dispositivo di autenticarsi presso hub IoT utilizzando qualsiasi certificato precedentemente emesso.

Per ripristinare la connettività, è necessario eseguire nuovamente il provisioning del dispositivo e richiedere un nuovo certificato. Questa azione è consigliata quando un dispositivo è stato compromesso, rimosso o non è più attendibile. Per impostazione predefinita, il dispositivo rimane abilitato in hub IoT e può riconnettersi una volta rilasciato un nuovo certificato. Tuttavia, se è necessario bloccare l'accesso immediato, è possibile revocare il certificato e disabilitare il dispositivo per impedire ulteriori connessioni.

Importante

hub IoT non valuta l'elenco di revoche di certificati (CRL) della CA durante la connessione del dispositivo. Al contrario, la revoca viene applicata usando un identificatore univoco per dispositivo incorporato nel certificato al momento del rilascio. Quando un dispositivo si connette utilizzando il suo certificato, hub IoT estrae questo identificatore e lo confronta con l'identificatore attuale del dispositivo memorizzato nel servizio per determinare se il certificato è stato revocato. Quando viene revocato il certificato di un dispositivo, viene ruotato il relativo identificatore univoco. Tutti i certificati rilasciati dopo la revoca contengono il nuovo identificatore, mentre i certificati rilasciati in precedenza non corrispondono più e vengono considerati come revocati.

Impatto della revoca di un certificato del dispositivo

La revoca dei certificati di un dispositivo influisce solo sul dispositivo di destinazione e non influisce su altri dispositivi o sui criteri che hanno emesso il certificato.

  • Certificato del dispositivo viene aggiornato: Azure registrazione del dispositivo invalida tutti i certificati del dispositivo mai emessi al dispositivo. I dispositivi devono essere sottoposti nuovamente a provisioning per ottenere un nuovo certificato.

  • hub IoT aggiornamenti dell'attendibilità: il certificato CA emittente archiviato in hub IoT accetta nuovi certificati rilasciati dai criteri.

  • Il dispositivo può rimanere abilitato: per impostazione predefinita, l'identità del dispositivo rimane abilitata, in modo che il dispositivo possa riconnettersi dopo che ottiene il nuovo certificato.

  • Revocare e disabilitare il blocco dell'accesso: Se si revoca e disabilita il dispositivo, il dispositivo non può connettersi fino a quando non viene riabilitato.

  • Nessun impatto sui criteri o su altri dispositivi: altri dispositivi che usano gli stessi criteri mantengono i certificati.

Revoca di un criterio

La revoca di una politica cambia la CA emittente di quella politica e influisce su ogni certificato del dispositivo emesso da quella politica. Usare questa azione quando il problema si applica all'intero percorso del certificato, ad esempio una sospetta compromissione della chiave DELLA CA.

Il flusso di revoca è diverso in base al tipo di criterio:

  • Citeri firmati dalla CA radice di Microsoft: il certificato della CA emittente viene aggiunto all'elenco di revoca dei certificati (CRL) della CA radice a livello di spazio dei nomi. Azure Registro dispositivi genera una CA emittente sostitutiva e sincronizza automaticamente la nuova CA con hub IoT collegati.

  • Criteri con firma della CA esterna: non è possibile revocare un criterio configurato con una CA esterna. È necessario assicurarsi che la revoca venga propagata anche all'elenco di revoche di certificati (CRL) o al risponditore OCSP dell'autorità di certificazione esterna.

Impatto della revoca di un criterio

Poiché una politica funge da CA emittente, la sua revoca influisce su ogni dispositivo il cui certificato è stato emesso.

  • Ruotazione della CA emittente: il criterio cessa di utilizzare la CA emittente corrente e passa a una CA emittente di sostituzione.

  • Tutti i certificati del dispositivo rilasciati sono interessati: i dispositivi che usano certificati della CA emittente precedente devono richiedere e ricevere nuovi certificati del dispositivo prima di poter riprendere l'autenticazione normale.

  • hub IoT modifiche di attendibilità: gli hub IoT collegati interrompono l'attendibilità della CA emittente precedente e devono fidarsi della CA sostitutiva.

  • Il flusso dei criteri standard si completa in ADR: per un criterio gestito dal servizio, ADR sincronizza automaticamente la CA sostitutiva con gli hub collegati.

  • Il flusso BYOR richiede l'azione del cliente: per un criterio BYOR, è necessario firmare la nuova richiesta di firma del certificato, attivare il criterio ed eseguire la sincronizzazione delle credenziali.

  • Altri criteri rimangono separati: se la distribuzione usa più criteri, la revoca di un criterio non influisce sui certificati rilasciati da altri criteri.

  • Contenimento della sicurezza: questa azione è utile quando si sospetta che la CA emittente o la relativa chiave privata sia compromessa o quando è necessario un aggiornamento completo del certificato per tale criterio.

  • Microsoft-managed Root CA: L'infrastruttura PKI di Azure gestisce la revoca. Microsoft mantiene e gestisce l'elenco di revoche.

  • CA radice esterna: se una CA radice esterna approva la tua policy, è necessario assicurarsi che la revoca venga propagata anche all'elenco di revoche di certificati (CRL) o al risponditore OCSP della CA esterna.

Eliminazione di un criterio

L'eliminazione di un criterio rimuove la configurazione dell'Autorità di Certificazione (CA) per il rilascio futuro dei certificati. Questa azione è un passaggio di pulizia finale. A differenza della revoca, l'eliminazione rimuove la configurazione dei criteri anziché sostituire la CA emittente. Eliminare un criterio solo dopo aver verificato che non sono più necessari i criteri per le operazioni future del certificato del dispositivo. Per eliminare un criterio, trovare i criteri nel portale di Azure e selezionare Delete.

Dopo aver eliminato un criterio, non è più possibile rilasciare nuovi certificati del dispositivo, ma hub IoT continua ad accettare eventuali certificati di dispositivo validi. Se si desidera rimuovere tutti i certificati del dispositivo esistenti con tale criterio, è necessario eliminare il certificato della CA dall'hub IoT.

Importante

Per i criteri configurati usando una CA esterna, è necessario revocare ogni certificato del dispositivo prima di eliminare i criteri. Se non è possibile revocare ogni certificato del dispositivo, è necessario eliminare la risorsa delle credenziali e creare un nuovo criterio.

Impatto dell'eliminazione di un criterio

L'eliminazione di un criterio rimuove definitivamente la configurazione dei criteri. A differenza della revoca, l'eliminazione non contrassegna solo il criterio come non valido.

  • Il criterio viene rimosso definitivamente: i criteri e la relativa configurazione vengono eliminati dallo spazio dei nomi ADR. Questa operazione non può essere annullata.
  • Risorse dipendenti: qualsiasi registrazione del dispositivo collegata a questo criterio nel servizio Device Provisioning non può rilasciare nuovi certificati. Le registrazioni DPS che fanno riferimento ai criteri eliminati devono essere aggiornate per usare criteri diversi o essere disabilitate.
  • Informazioni di controllo: mentre i criteri vengono eliminati, è possibile conservare i record cronologici e i log di controllo correlati ai criteri in base ai requisiti di conformità.
  • Nessun impatto sui certificati attivi: se i certificati rilasciati da questo criterio sono ancora validi, l'eliminazione dei criteri non li invalida immediatamente. Tuttavia, il nuovo rilascio di certificati tramite questo criterio non è possibile. Per rimuovere tutti i certificati del dispositivo esistenti con tale criterio, è necessario eliminare il certificato della CA dall'hub IoT.

Eliminazione di risorsa credenziale

Quando si elimina una risorsa di credenziali, si rimuove il punto di fiducia a livello del namespace per quella catena di certificati. Questa azione ritira il percorso delle credenziali su cui si basano i criteri. Eliminare una risorsa credenziale solo quando non sono presenti criteri downstream o dispositivi necessari, ad esempio quando si ritira una catena di certificati completa o si rimuove un'infrastruttura di certificati meno recente. Per eliminare una risorsa delle credenziali, passare al Registro dispositivi di Azure, selezionare lo spazio dei nomi e in Politiche delle credenziali selezionare la risorsa delle credenziali e Elimina.

Impatto dell'eliminazione di una risorsa delle credenziali

L'eliminazione di una credenziale rimuove la radice di attendibilità per un'intera gerarchia di certificati dello spazio dei nomi ADR.

  • La risorsa credenziali viene rimossa in modo permanente: la risorsa credenziali e i relativi metadati associati vengono eliminati dallo spazio dei nomi ADR.
  • Eliminazione a catena: se i criteri sono ancora associati a questa credenziale, è necessario prima revocare o eliminare tali criteri prima di poter eliminare le credenziali.
  • Nessun rilascio di nuovo certificato: non è possibile rilasciare un nuovo certificato tramite criteri firmati da questa credenziale.
  • Operazione irreversibile: l'eliminazione di credenziali non può essere annullata. Per usare di nuovo la gestione dei certificati con questa catena, è necessario creare nuove credenziali e criteri.

Procedure consigliate per il ciclo di vita dei certificati

La revoca dei certificati e l'eliminazione dei criteri sono operazioni ad alto impatto che sono difficili o impossibili da invertire. Una strategia del ciclo di vita ben definita consente di evitare interruzioni non pianificate dei dispositivi, ridurre l'esposizione alla sicurezza e rispondere rapidamente quando si verificano eventi imprevisti. Le procedure seguenti si applicano se si gestiscono pochi dispositivi o una flotta di migliaia.

  • Monitorare la scadenza del certificato: tenere traccia attivamente dello stato di scadenza dei certificati e pianificare i rinnovi per evitare interruzioni del servizio.
  • Usare criteri separati per le coorti dei dispositivi quando la progettazione consente: separare i criteri per modello, produttore, sito o ambiente per limitare l'impatto di una revoca dei criteri. Nell'anteprima corrente ogni credenziale supporta un criterio, quindi potrebbe essere necessario associare le coorti tra credenziali separate.
  • Maintain audit records: usare i log di controllo Azure per tenere traccia di tutte le operazioni di revoca dei certificati, eliminazione dei criteri e eliminazione delle credenziali per le indagini sulla conformità e sulla sicurezza.

Contenuti correlati

  • Last updated on