Device Update for IoT Hub のルート キーローテーションと、準備に必要な操作について説明します。
Device Update for IoT Hub のセキュリティとルート キーの使用について
Device Update のルート キー ローテーション プロセスの説明の前に、「Device Update セキュリティ モデル」ページにアクセスして、ルート キーの説明をご覧ください。
ルート キーのローテーション スケジュールの変更
Device Update for IoT Hub チームは、2025 年 8 月 26 日に、更新マニフェストに関連付けられている署名キーの検証に現在使用されているルート キーである ADU.200702.R のローテーションを計画していました。 そのキーのローテーションは、デバイス更新サービスが、ADU.200702.R までチェーンされているキーを使用してインポートされたコンテンツの署名を停止することを意味していました。 その後、ADU.200703.R までチェーンされているキーを使用して、サービスの署名が開始されます。
この変更の影響に関するお客様からのフィードバックに基づいて、Device Update for IoT Hub チームは 2025 年 8 月のローテーションを延期しています。 これにより、顧客はローテーションの準備をする時間が増えます。 このローテーション イベントで新しい日付が利用可能になると、少なくとも 1 年前に発表されます。
デバイスが将来のローテーションまたは失効の準備ができているかどうかを検証する方法
最終的なローテーション後に使用される ADU.200703.R ルート キーをテストしていない場合は、できるだけ早く行うことをお勧めします。 悪意のあるアクターが、スケジュールされたローテーションの前に現在の ADU.200702.R ルート キーを悪用できる可能性が低い場合、デバイス更新チームはすぐに ADU.200702.R ルート キーを取り消し、ADU.200703.R ルート キーによる署名を開始します。 デバイスが現在 ADU.200703.R ルート キーをサポートしていることをテストで確認すると、このシナリオの影響が最小限に抑えられます。
Device Update チームは、デバイスが ADU.200703.R で署名されたコンテンツを取得できるかどうかを検証するためのテスト メカニズムを用意しました。 手順:
特別なテスト ファイルをダウンロードします。 Device Update サービスはインポート時にファイル ハッシュを検索するため、この正確なファイルを使用 する必要があります 。 インポート マニフェスト内の一致するファイル ハッシュは次のようになります。 KGyJ9tM6JSLHQq0gdKUmsVvB6Y4z0pMKdQNAd8jTGH0=
テスト用の更新プログラムを作成します。 任意のファイルを使用できますが、インポート マニフェストに特別なテスト ファイルを含める必要もあります。 ベスト プラクティスは、ファイルのバージョン番号の変更や新しいファイルの追加など、デバイスを簡単に確認できる方法でデバイスを変更することです。
通常と同じように、更新プログラムをインポートしてデバイスに展開します。
デバイスで更新が成功したことを確認します。 その場合、デバイスは ADU.200703.R で署名された更新プログラムを受信でき、次のローテーション (または可能な失効) の準備が整います。
注
ルート キーの処理を統合するお客様は、デバイス更新エージェント参照実装バージョン 1.1.0 以降を使用することをお勧めします。これには、失効イベント中など、将来のルート キーを取得するためのサポートが含まれます。