Azureデバイスレジストリ(ADR)における証明書管理は、X.509証明書の発行およびライフサイクル管理を簡素化し、IoTデバイスが安全な証明書ベースのアイデンティティを確立・維持できるようにします。 認証局 (CA) を作成・管理し、デバイス証明書を発行し、Azure IoT サービスとの信頼を確立できます。 自社でPKI環境を管理する代わりに、認証局はお客様のネームスペース専用のプライベートクラウドPKI内で自動的にプロビジョニングされ、ハードウェアにより保護された分離型の信頼境界を提供します。
証明書管理は標準的なデバイスワークフローを通じてデバイス証明書の発行と更新をサポートし、信頼できるAzure IoTサービスとCAを同期させることで信頼を確立し、取り消しやライフサイクル制御を通じて継続的なガバナンスを可能にします。
証明書管理を利用するには、IoT HubとDevice Provisioning Service(DPS)を使用する必要があります。
機能の概要
IoT Hubデバイス向けの証明書管理でサポートされている機能は以下の通りです:
| 特徴 | Description |
|---|---|
| 単一のADR名前空間内に複数の証明書発行機関(CA)を作成する | クラウド上でルートと中間CAを持つ二層のPKI階層を作成します。 1つの名前空間で最大1つのルートCAと最大3つの中間CAを作成できます。 |
| 独自のCA証明書を使用する | 既存のPKI環境があれば、同じルートCAを維持しつつ、ADRで外部ルートにチェーンする中間CAを作成できます。 |
| 暗号化アルゴリズム | ADRで管理される証明書機関は、ECC（ECDSA）、NIST P-384、およびSHA-384をサポートしています。 |
| HSM キー (署名と暗号化) | キーは、Azure Key Vault Managed Hardware Security Module (Azure Managed HSM) を使用してプロビジョニングされます。 ADR 名前空間内に作成された CA では、HSM 署名キーと暗号化キーが自動的に使用されます。 Azure HSM にAzureサブスクリプションは必要ありません。 |
| 証明書ポリシーを作成する | 各中間CAは単一の証明書ポリシーをサポートしています。 証明書ポリシーは、その中間CAによって発行されたデバイス証明書の寿命を定義します。 |
| デバイス証明書の発行と更新 | デバイス証明書は中間CAによって発行および更新されます。 証明書の発行および更新は、DPSやIoT Hubデバイスワークフローを含むAzure IoTデバイスAPIを通じて行われます。 |
| デバイス証明書の失効 | デバイスに対して新しい証明書が発行されるまで、個々のデバイス証明書を取り消してデバイス接続をブロックします。 取り消された証明書は中間CAの証明書取り消しリスト(CRL)に追加されます。 |
| 中間CA失効 | 中間CAを取り消して、IoT Hubから関連するCA証明書を削除し、ルートCAの証明書取り消しリスト(CRL)に追加します。 外部CAが署名した中間CAには取り消しがサポートされていません。 |
| 証明書失効リスト (CRL) 配布ポイント | Azureは、CA ごとに CRL 配布ポイント (CDP) をホストします。 CDP URL は各証明書に埋め込まれています。 CRL の有効期間は 7 日間です。 発行と更新は 3.5 日ごとに行われます。 CRL は、すべての証明書失効で更新されます。 |
| 機関情報アクセス (AIA) エンドポイント | Azureは各中間CAのAIAエンドポイントをホストしています。 AIA URL は各証明書に埋め込まれます。 AIA エンドポイントは、要求元が親証明書を取得するために使用できます。 |
| CA 証明書を IoT Hubs と同期する | CA 証明書をリンクされた IoT Hub と自動的に同期し、デバイスの接続を有効にします。 |
デバイスのオンボーディング認証情報 vs. 運用認証情報
認証情報とは、X.509証明書や対称鍵のように、デバイスが自身の身元を証明するために使用するアーティファクトのことです。 Azure IoTでは、デバイス認証には2種類あります。オンボーディング認証と運用認証です。 オンボーディングと運用認証情報は異なる目的を持っており、ライフサイクルも異なります。
- オンボーディング認証情報: 製造時に通常プロビジョニングされ、デバイスの寿命を通じて安定したまま維持される耐久性のあるデバイスアイデンティティを提供します。 デバイスはこの認証情報を使って、プロビジョニング中に デバイスプロビジョニングサービス(DPS) と認証を行います。 サポートされているオンボード資格情報の種類には、サードパーティ証明機関 (CA)、対称キー、トラステッド プラットフォーム モジュール (TPM) からの X.509 証明書が含まれます。
- 運用認証情報:これらはAzureデバイスレジストリによって発行されるX.509証明書で、通常は短期間でデバイスライフサイクル全体を通じて更新され、IoT Hubのようなクラウドサービスへの認証に使用されます。 この認証情報はデバイスの基礎となるアイデンティティを置き換えることなく取り消せ、セキュリティを向上させつつ大規模運用の複雑さを軽減します。
Azure デバイス レジストリの証明書管理は、デバイス運用資格情報の発行、更新、取り消しをサポートします。デバイスオンボーディング認証情報の発行や管理は行いません。
Architecture
証明書管理は、Azureデバイスレジストリ(ADR)、デバイスプロビジョニングサービス(DPS)、Azure IoT Hubを組み合わせて、デバイス運用証明書の発行、信頼配布、ライフサイクル管理を提供します。
証明書管理がAzure IoTサービスを利用する方法
Azureデバイスレジストリ(ADR)は証明書管理の制御プレーンとして機能します。 ADRを使ってルートおよび中間証明書局(CA)を作成・管理し、証明書ポリシーを設定し、デバイス証明書を取り消します。 ADRはあなたの名前空間のクラウドPKIをホストし、証明書管理リソースのライフサイクルを管理します。 詳細については、「 ルートおよび中間CAの設定」をご覧ください。
デバイスプロビジョニングサービス(DPS)は 、実行時のデバイスオンボーディングおよび証明書発行を行います。 プロビジョニング中、DPSはデバイスのオンボーディング認証情報を検証し、登録設定に基づいてどの証明書ポリシーを適用すべきかを決定します。 デバイスはプロビジョニング取引の一環として証明書署名要求(CSR)を提出し、ADRがそのデバイスに対して運用証明書を発行できるようにします。 詳細については、Azureデバイスレジストリの証明書管理における証明書の発行をご覧ください。
Azure IoT Hubは、プロビジョニング後にデバイスが接続するランタイムサービスです。 ADRはCA証明書を連結されたIoTハブに同期させ、IoT Hubが認証時にデバイス運用証明書を信頼し検証できるようにします。 IoT Hubは、デバイスの再プロビジョニングを必要とせずに運用証明書更新もサポートします。 詳細については、「Azure Device Registryの証明書管理における証明書更新」をご覧ください。
認証局の選択肢
Azureデバイスレジストリにおける証明書管理は、2種類の中間証明書発行機関をサポートしています:
Microsoftクラウド ルートCAによって署名されたADRは、あなたの名前空間用に一意のMicrosoft管理ルートCAに連結する中間CAを作成し管理します。 Microsoftは名前空間のルートCAと中間CAの両方のライフサイクルを管理しています。
外部CA署名済みADRは、組織が所有する外部CAによって署名される中間CAを作成し、管理します。 貴組織は外部CAの所有権とガバナンスを保持し、Microsoftは中間CAおよび運用証明書発行ワークフローを管理します。 このオプションは、デバイスがエンタープライズPKIや共通の企業トラスト アンカーに連鎖する必要がある場合に有用です。
詳細については、「Azure Device Registryの証明書局」をご覧ください。
制限とクォータ
Azure Device Registryにおける証明書管理の制限とクォータに関する最新情報については、「Azure subscription and service limits」をご覧ください。