Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo spiega come creare un'autorità di certificazione intermedia all'interno del tuo namespace Azure Device Registry che venga firmata ed emessa da una CA esterna. Usa questo flusso di lavoro se la tua organizzazione mantiene un'infrastruttura a chiave pubblica privata (PKI) e richiede che tutti i dispositivi IoT siano collegati a una radice attendibile comune.
Tip
Se non si dispone di una CA radice esterna ma si vuole testare questo flusso, vedere le istruzioni aggiuntive seguenti per iniziare a usare una CA radice autofirmato e una chiave privata con OpenSSL.
Importante
hub IoT di Azure con l'integrazione di Azure Device Registry e la gestione dei certificati X.509 supportata da Microsoft è in anteprima pubblica e non è consigliata per i carichi di lavoro di produzione. Per altre informazioni, vedere FAQ: Novità di hub IoT?.
Prerequisiti
Prima di iniziare, assicurarsi di disporre delle autorizzazioni e della configurazione necessarie per poter creare, attivare e modificare un criterio ca esterno senza ritardi di distribuzione.
- Una sottoscrizione di Azure attiva. Se non ne hai uno, crea un account gratuito.
- Spazio dei nomi esistente del Registro dei dispositivi. Per la procedura di installazione, vedere Deploy hub IoT di Azure con l'integrazione di ADR.
- Autorizzazioni per gestire i criteri nello spazio dei nomi del Registro di sistema dei dispositivi, come il ruolo di Collaboratore delle credenziali del Registro di sistema del dispositivo di Azure.
- Autorità di firma della CA: accesso a un'infrastruttura a chiave pubblica esterna (o a una CA gestita) per eseguire un'operazione di firma una tantum. Devi caricare un CSR generato da Microsoft e farlo firmare dalla CA radice per creare il certificato di CA intermedia (ICA).
Requisiti per la tua CA esterna
Per utilizzare una CA esterna, la tua CA deve soddisfare i seguenti requisiti:
| Proprietà | Requisiti |
|---|---|
| Tipo di chiave e crittografia | Il tipo di chiave CA deve essere ECC (P-256, P-384, P-521) con OID 1.2.840.10045.2.1. I parametri EC espliciti vengono rifiutati, è consentita solo la codifica della curva denominata (OID).
RSA viene rifiutata. |
| Signature | L'algoritmo di firma deve essere SHA-256 o superiore con ECDSA (ecdsa-with-SHA256, SHA384 o SHA512). SHA-1 viene rifiutato. |
| Lunghezza dei percorsi | La lunghezza del percorso per la tua CA deve essere impostata su 1. |
| Argomento | L'oggetto nel certificato firmato deve corrispondere all'oggetto del csr originale (senza distinzione tra maiuscole e minuscole con normalizzazione degli spazi vuoti) |
| Estensioni | BasicConstraints deve essere presente, contrassegnato con criticalCA:TRUE. KeyUsage deve includere DigitalSignature, KeyCertSigne CrlSign. Se l'estensione EKU è presente, deve includere ClientAuth (OID 1.3.6.1.5.5.7.3.2). Se EKU è completamente assente, questa è accettabile (CA non vincolata per RFC 5280). L'identificatore chiave del soggetto (SKI) deve essere presente. La versione X.509 deve essere la versione 3. |
| Periodo di validità | Il certificato non deve essere scaduto. Il certificato NotBefore non deve essere nel futuro. Deve avere almeno 365 giorni di validità rimanente. |
Scegliere il flusso di lavoro che corrisponde al modo in cui gestisci il tuo ambiente.
Crea una CA intermedia firmata da una CA esterna
Accedi al portale di Azure.
Aprire lo spazio dei nomi Registro Dispositivi Azure.
Nella pagina Autorità di Certificazione , seleziona Crea.
Seleziona l'Autorità di Certificazione Intermedia.
Seleziona Usa una CA esterna, inserisci un nome per la CA intermedia e poi seleziona Crea.
Aggiorna l'elenco delle Autorità di Certificazione se necessario. Seleziona l'autorità certificatrice e conferma che lo stato è Pending Activation.
Seleziona il link Attivazione in attesa .
Nel banner, seleziona Completa configurazione.
Seleziona file di richiesta di firma del certificato (CSR).
Carica la richiesta di firma del certificato nella tua CA esterna. Fai firmare il certificato dal tuo CA. L'oggetto del certificato firmato deve corrispondere esattamente all'oggetto del CSR originale.
Se non hai una CA root esterna, puoi usare questa risorsa per crearla: crea una CA root autofirmata e una chiave privata usando OpenSSL e PowerShell.
Seleziona e carica la catena di certificati completa firmata.
Seleziona Salva per attivare l'autorità di certificazione.
Aggiorna i dati dell'autorità certificatrice e verifica che lo stato sia attivo.
