Azureデバイスレジストリの証明書管理は、ルートCAと中間CAからなる二層認証機関(CA)階層を使用しています。 ルートCAは名前空間内のデバイスの信頼アンカーとして機能し、中間CA(ICA)、すなわち発行CAはルートCAを代表してデバイス証明書の発行と更新を担当します。 各中間CAは単一の証明書ポリシーを管理し、署名した証明書の有効期間を定義します。 中間証明機関を作成すると、Azure Device Registry:
Azure Key Vault Managed HSMで中間CA証明書および秘密鍵を生成し、安全に保存します。 ハードウェアによる保護は、鍵マテリアルへの不正アクセスを防ぐのに役立ちます。
中間CAライフサイクルを管理し、証明書の有効性監視やローテーション操作のサポートを行います。 BYOCAで作成された中間CAについては、有効期限が切れる前に外部CAが新しい中間CAを再発行するよう確実に手配してください。
中間CAを使ってデバイス証明書を発行し、ルートCAは階層の信頼できるアンカーのままです。
配置オプション
1つの名前空間内で最大3つの中間CAを作成できます。 中間証明書発行機関には2つの展開オプションがあります:
名前空間レベルのルートCAを活用する： 名前空間内のルートCAによって署名され、発行される中間CAを展開します。 このルートCAはMicrosoftクラウドPKIで作成されます。
独自の認証機関（BYOCA）を使用する: ご自身のプライベートCAが署名・発行する中間CAを展開します。 このオプションでは、署名のためにプライベートなCAにアクセスできる必要があります。
また、単一の名前空間内で複数のデプロイメントモデルを組み合わせて使うことも可能です。
Important
Azure Device Registry 統合とMicrosoftベースの X.509 証明書管理を使用したAzure IoT Hubは、public プレビューであり、運用環境のワークロードには推奨されません。 詳細については、FAQ: IoT Hub の新機能を参照してください。
オプション1:名前空間レベルのルートCAを使用する
ルート CA
Azureデバイスレジストリでは、名前空間ごとに最大1つのルートCAを作成できます。 このルートCAを使って、デバイス証明書を発行する中間CAに署名します:
名前空間でrootCAを作成する際、Azureデバイスレジストリ：
- MicrosoftクラウドPKIを使用してルートCA証明書と秘密鍵を生成し、それらをAzure Key Vault Managed HSMに安全に保存します。 ハードウェアによる保護は、鍵情報への不正アクセスを防ぐのに役立ちます。
- 証明書の有効性監視やローテーション操作のサポートを含むルートCAライフサイクルを管理します。 ルートCAは10年間有効です。
- ルートCAを使って中間CAに署名する一方で、ルートCAは日常的なデバイス証明書操作から隔離したままにします。
証明書チェーン
Azureデバイスレジストリがデバイス証明書を発行すると、その証明書は中間 CA を介してネームスペース ルート CA までチェーンします。 このチェーンは以下の通りです:
- デバイス証明書:特定のIoTデバイスを識別し、中間CAによって署名されます。
- 中間CA証明書：デバイス証明書を管理し、署名し、名前空間のルートCAによって署名されます。
- ネームスペースのルートCA証明書:ネームスペースの信頼ルートを確立します。
この階層構造はルートCAの使用を制限し、デバイス証明書操作を信頼アンカーから分離し、名前空間内で発行された証明書が共通の信頼ルートへ連なることを保証します。
名前空間管理のルートCAを始めるには、「 rootと中間CAの設定」を参照してください。
オプション 2: 独自の CA を持ち込む (BYOCA)
BYOCAは、Azureデバイスレジストリ(ADR)で、ADRの外部で管理されるCAを信頼の起点とする中間CAを作成できます。 このCAはデバイス証明書を発行しますが、信頼のルートは外部CAのままです。 BYOCAを使って中間CAを作成すると、ADRはアクティベーションを完了するために証明書署名リクエストを作成します。
外部CAによって署名された中間CAを構成する場合、Microsoft:
中間CA証明書および秘密鍵をAzure Key VaultマネージドHSMに生成・安全に保存し、暗号操作のためのハードウェアによる保護を提供し、鍵資料への不正アクセス防止を支援します。
共有責任モデルを採用しており、Microsoftが中間CAライフサイクル(監視やローテーションを含む)を管理し、組織が中間CAに署名する外部証明書の更新と有効性の維持を担当します。 この中間CAの有効期限は1年です。
中間CAが署名するデバイス証明書を発行し、外部CAが階層の信頼アンカーとして残ることを可能にします。
証明書チェーン
デバイスがAzureデバイスレジストリを通じて証明書を要求すると、その証明書は中間CAを介して外部CAにチェーンされます。 このチェーンは以下の通りです:
デバイス証明書: 特定の IoT デバイスに固有です。
MICROSOFT発行元 CA (ICA): デバイス要求に署名するデバイス レジストリによって管理される CA。
外部ルート CA: 組織が信頼するルート CA であり、Microsoft ICA に署名するものです。
会社のルート CA を信頼するすべてのサービスは、Azureによって IoT デバイスに発行された証明書を自動的に信頼します。
BYOCAを始めるには、「 Bring your own CA(自分だけのCA)」をご覧ください。