Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La gestione dei certificati in Azure Device Registry (ADR) semplifica l'emissione e la gestione del ciclo di vita dei certificati X.509, permettendo ai dispositivi IoT di stabilire e mantenere identità sicure basate su certificati. Puoi creare e gestire autorità di certificazione (CA), emettere certificati di dispositivi e stabilire fiducia con i servizi Azure IoT. Invece di gestire il proprio ambiente PKI, le autorità di certificazione sono automaticamente fornite all'interno di una PKI cloud privata dedicata al tuo namespace, fornendo un confine di fiducia isolato e supportato dall'hardware.
La Gestione dei Certificati supporta l'emissione e il rinnovo dei certificati dei dispositivi tramite flussi di lavoro standard dei dispositivi, stabilisce la fiducia sincronizzando le CA con i servizi Azure IoT affidabili e consente una governance continua tramite revoca e controlli sul ciclo di vita.
Per utilizzare la gestione dei certificati, devi utilizzare hub IoT e Device Provisioning Service (DPS).
Panoramica delle funzionalità
Le seguenti funzionalità sono supportate dalla gestione dei certificati per dispositivi hub IoT:
| Feature | Descrizione |
|---|---|
| Crea più autorità di certificazione (CA) in un unico namespace ADR | Crea una gerarchia PKI a due livelli con CA root e intermedie nel cloud. Puoi creare fino a una CA radice e fino a tre CA intermedie in un unico namespace. |
| Porta la tua CA | Se hai già un ambiente PKI esistente, puoi mantenere la stessa CA root e creare una CA intermedia in ADR che fa capo alla tua root esterna. |
| Algoritmi di crittografia | Le autorità di certificazione gestite in ADR supportano ECC (ECDSA), NIST P-384 e SHA-384. |
| Chiavi HSM (firma e crittografia) | Il provisioning delle chiavi viene eseguito usando Azure Key Vault Managed Hardware Security Module (Azure Managed HSM). Le CA create nello spazio dei nomi ADR usano automaticamente moduli HSM per la firma e la crittografia. Non è necessario alcun abbonamento Azure per Azure HSM. |
| Creare criteri dei certificati | Ogni CA intermedia supporta una singola policy di certificazione. Una policy sui certificati definisce la durata dei certificati del dispositivo rilasciati da quella CA intermedia. |
| Rilascio e rinnovo dei certificati del dispositivo | I certificati del dispositivo vengono rilasciati e rinnovati dalla CA intermedia. L'emissione e il rinnovo dei certificati avvengono tramite le API dei dispositivi Azure IoT, inclusi i flussi di lavoro DPS e hub IoT dei dispositivi. |
| Revoca dei certificati del dispositivo | Revocare i certificati dei singoli dispositivi per bloccare le connessioni del dispositivo fino a quando non viene rilasciato un nuovo certificato al dispositivo. I certificati revocati vengono aggiunti alla Lista di Revoca dei Certificati (CRL) della CA intermedia. |
| Revoca intermedia della CA | Revocare una CA intermedia per rimuovere il certificato CA associato dall'hub IoT e aggiungere la CA alla Certificate Revocation List (CRL) della CA radice. La revoca non è supportata per le CA intermedie firmate da una CA esterna. |
| Punti di distribuzione CRL (Certificate Revocation List) | Azure ospita il punto di distribuzione CRL (CDP) per ogni CA. L'URL CDP è incorporato in ogni certificato. Il periodo di validità del CRL è di sette giorni. La pubblicazione e l'aggiornamento vengono eseguiti ogni 3,5 giorni. Il CRL viene aggiornato con ogni revoca del certificato. |
| Punti finali di Authority Information Access (AIA) | Azure ospita l'endpoint AIA per ogni CA intermedia. L'URL AIA è incorporato in ogni certificato. L'endpoint AIA può essere usato dalle parti correlate per recuperare i certificati padre. |
| Sincronizzare i certificati della CA con hub IoT | Sincronizza automaticamente i certificati CA con gli Hub IoT collegati e abilita la connettività dei dispositivi. |
Onboarding vs. credenziali operative per i dispositivi
Una credenziale è un artefatto che un dispositivo utilizza per dimostrare la propria identità, come un certificato X.509 o una chiave simmetrica. In Azure IoT, esistono due tipi di credenziali di dispositivo: una credenziale di onboarding e una credenziale operativa. Le credenziali di onboarding e operative svolgono scopi diversi e hanno cicli di vita differenti:
- Credenziale di onboarding: Fornisce un'identità duratura del dispositivo che viene solitamente fornita durante la produzione e rimane stabile per tutta la vita del dispositivo. Un dispositivo utilizza questa credenziale per autenticarsi con il Device Provisioning Service (DPS) durante il provisioning. I tipi di credenziali di onboarding supportati includono certificati X.509 da un'autorità di certificazione (CA), chiavi simmetriche e moduli TPM (Trusted Platform Modules).
- Credenziale operativa: Si tratta di un certificato X.509 emesso da Azure Device Registry, tipicamente di breve durata, rinnovato durante il ciclo di vita del dispositivo e utilizzato per autenticarsi ai servizi cloud come hub IoT. Questa credenziale può essere revocata senza sostituire l'identità fondamentale del dispositivo, migliorando la sicurezza e riducendo la complessità operativa su larga scala.
La gestione dei certificati in Azure Device Registry supporta l'emissione, il rinnovo e la revoca delle credenziali operative dei dispositivi. Non emette né gestisce le credenziali di onboarding dei dispositivi.
Architettura
La gestione dei certificati combina Azure Device Registry (ADR), Device Provisioning Service (DPS) e hub IoT di Azure per fornire emissione, distribuzione della fiducia e gestione del ciclo di vita dei certificati operativi dei dispositivi.
Come la gestione dei certificati utilizza i servizi Azure IoT
Azure Device Registry (ADR) funge da piano di gestione della gestione dei certificati. Usi l'ADR per creare e gestire le autorità di certificazione root e intermedie (CA), configurare le policy dei certificati e revocare i certificati dei dispositivi. ADR ospita la PKI cloud per il tuo namespace e gestisce il ciclo di vita delle risorse di gestione dei certificati. Per maggiori informazioni, vedi Impostare una CA radice e intermedia.
Il Servizio di Provisioning dei Dispositivi (DPS) esegue l'onboarding dei dispositivi e l'emissione dei certificati in fase di esecuzione. Durante il provisioning, DPS convalida la credenziale di onboarding del dispositivo e determina quale policy di certificato applicare in base alla configurazione dell'iscrizione. Il dispositivo deve inviare una richiesta di firma del certificato (CSR) come parte della transazione di provisioning, consentendo ad ADR di emettere un certificato operativo per il dispositivo. Per ulteriori informazioni, vedi Emissione di certificati nell'ambito della gestione dei certificati di Azure Device Registry.
hub IoT di Azure è il servizio runtime a cui i dispositivi si collegano dopo il provisioning. ADR sincronizza i certificati CA negli hub IoT collegati in modo che hub IoT possa fidarsi e convalidare i certificati operativi del dispositivo durante l'autenticazione. hub IoT supporta anche il rinnovo dei certificati operativi senza richiedere il riprovvisionamento del dispositivo. Per ulteriori informazioni, consulta Rinnovo del certificato in Gestione dei certificati di Azure Device Registry.
Opzioni per autorità di certificazione
La gestione dei certificati in Azure Device Registry supporta due tipi di autorità di certificazione intermedie:
L'ADR firmato dalla CA root cloud di Microsoft crea e gestisce una CA intermedia che ha come catena di trust una CA root univoca gestita da Microsoft per il tuo namespace. Microsoft gestisce il ciclo di vita sia della CA radice del namespace sia della CA intermedia.
Firmata da una CA esterna ADR crea e gestisce una CA intermedia firmata da una CA esterna di proprietà della tua organizzazione. La tua organizzazione mantiene la proprietà e la governance della CA esterna, mentre Microsoft gestisce la CA intermedia e il flusso di lavoro per l'emissione dei certificati operativi. Questa opzione è utile quando i dispositivi devono collegarsi a una PKI aziendale o a una comune ancora di attendibilità aziendale.
Per maggiori informazioni, consulta Autorità di certificazione in Azure Device Registry.
Limiti e quote
Per le ultime informazioni sui limiti e quote per la gestione dei certificati in Azure Device Registry, consulta Sottoscrizioni di Azure e limiti dei servizi.