この記事では、Azureデバイスレジストリ名前空間内でルートおよび中間証明書局を作成する方法について説明します。 Azure Device Registry にあなたの代わりに Microsoft クラウド PKI の証明書局をプロビジョニングさせたい場合は、このワークフローを使いましょう。
Important
Azure Device Registry 統合とMicrosoftベースの X.509 証明書管理を使用したAzure IoT Hubは、public プレビューであり、運用環境のワークロードには推奨されません。 詳細については、FAQ: IoT Hub の新機能を参照してください。
ルートCAと中間CAがどのように信頼を確立するかについては、AzureデバイスレジストリのCA階層を参照してください。
前提条件
開始する前に、以下の項目があることを確認します:
- 有効な Azure サブスクリプション。 お持ちでない場合は、 無料アカウントを作成してください。
- 既存の Azure Device Registry 名前空間。 セットアップ手順については、「ADR 統合と証明書管理を使用したAzure IoT Hubのデプロイを参照してください。
- 名前空間内の証明書発行機関やポリシーを管理する権限(例えばAzure Device Registry Credentials Contributorの役割など)。
認証局を設定する
AzureポータルまたはAzure CLIを使ってルートおよび中間証明書発行機関を作成します。
ルート CA を作成する
名前空間のリストから、名前空間を選択してください。
「セキュリティ」 で、「証明書発行機関」 を選択します。
を選択してを作成します。 ルート認証局は、名前空間に既に 1 つのルート CA がある場合、既定で無効化されます。
ルート証明書発行機関を選択します。
証明書発行機関に3〜63文字の長さの名前を与え、「 作成」を選択します。
AzureがルートCAのプロビジョニングを終えるのを待ちましょう。 プロビジョニングが完了すると、そのリソースは 証明書発行局 ページに表示されます。
中間認証機関を作成する
証明書発行機関のページで「作成」を選択してください。
中間証明書発行機関を選択します。
「この名前空間のルートCAを使用」 を選択し、中間CAの名前を入力してから、「作成」 を選択します。 中間CAを作成した後は、デバイス証明書を発行する前に証明書ポリシーを作成しなければなりません。 手順については「証明書ポリシーを作成または編集」をご覧ください。