Certificaatvernieuwing in Azure IoT Hub certificaatbeheer (preview)

Certificaatvernieuwing is het proces waarbij een al ingericht apparaat aanvraagt en een nieuw operationeel certificaat ontvangt voor de bestaande apparaat-id. Verlenging wordt gebruikt om certificaten te vervangen die bijna verlopen of zijn verlopen. Het apparaat blijft ingericht met dezelfde identiteit; alleen het operationele certificaat wordt bijgewerkt. Elk IoT-apparaat moet het verlopen van certificaten bijhouden en een verlenging starten voordat het verloopt. In dit artikel wordt uitgelegd wanneer u verlengt, de beschikbare verlengingspaden, hoe u verlooptijd bijhoudt en wat u moet doen als een certificaat verloopt.

Important

Azure IoT Hub met Azure Device Registry-integratie en Microsoft-ondersteund X.509-certificaatbeheer bevindt zich in public preview en wordt niet aanbevolen voor productieworkloads. Zie FAQ: Wat is er nieuw in IoT Hub? voor meer informatie.

Wanneer apparaten moeten worden vernieuwd

Certificaatbeheer geeft operationele certificaten uit met een geldigheidsperiode die u instelt wanneer u het beleid configureert in Azure Device Registry (ADR). De geldigheidsperiode varieert van 7 tot 90 dagen.

Kortlevende certificaten verbeteren de beveiliging omdat ze de blootstellingstijd verminderen als een certificaat wordt aangetast. Elk apparaat moet vernieuwen starten voordat het huidige operationele certificaat verloopt om de verbinding met IoT Hub te behouden. Verlenging plannen vóór de vervaldatum. Voeg verlengingslogica toe aan de firmware of toepassing van uw apparaat, zodat er een verlengingsaanvraag wordt verzonden wanneer het certificaat een bepaald percentage van de geldigheidsperiode bereikt, zoals 80 procent.

Hoe verlenging werkt

U kunt een operationeel certificaat op een van de volgende manieren vernieuwen:

  • Certificaatuitgifte herhalen via DPS: Het apparaat start een nieuwe DPS-registratie (Device Provisioning Service), gebruikt de onboardingreferentie en verzendt een nieuwe aanvraag voor certificaatondertekening (CSR). Dit pad volgt dezelfde stroom als de initiële certificaatuitgifte. Zie Device-certificaatuitgifte in Azure IoT Hub certificaatbeheer voor meer informatie.

  • Dien een nieuwe CSR direct in bij IoT Hub: Het apparaat dien de CSR in bij IoT Hub via MQTT. IoT Hub de verlengingsaanvraag verwerkt, coördineert u met ADR om een nieuw operationeel certificaat op te halen en publiceert u het verlengingsantwoord. Zie Een apparaatcertificaat vernieuwen (operationeel certificaat) voor meer informatie.

In beide paden moet het apparaat detecteren wanneer verlenging nodig is, een nieuw sleutelpaar genereren om de CSR te produceren, het lokale certificaat te vervangen en opnieuw verbinding te maken met het nieuwe certificaat.

Het verloop van certificaten bijhouden op apparaten

Elk apparaat moet de vervaldatum voor het operationele certificaat bijhouden. Certificaatbeheer verzendt geen meldingen voor automatische verlenging naar apparaten. Het operationele certificaat bevat Valid from en Valid until velden. Het apparaat kan deze velden lezen om te bepalen wanneer het certificaat verloopt en wanneer de verlenging moet worden gestart.

De firmware of toepassingscode van uw apparaat moet:

  1. Lees het Valid until veld van het certificaat na elke geslaagde voorziening.
  2. Bereken de resterende tijd voordat deze verloopt.
  3. Activeer een verlengingsaanvraag voordat het certificaat verloopt, door het opnieuw inrichten via DPS of door rechtstreeks een nieuwe CSR in te dienen bij IoT Hub.

Vervaldatum van certificaat rapporteren met apparaat-tweelingen

Tijdens de openbare preview moeten apparaten gebruikmaken van de gerapporteerde apparaateigenschappen om de data Valid from en Valid until van het huidige operationele certificaat te rapporteren. Deze gerapporteerde eigenschappen ondersteunen organisatiebrede zichtbaarheid, zoals dashboards die apparaten met certificaten die bijna verlopen weergeven.

In het volgende voorbeeld ziet u een gerapporteerde eigenschappenstructuur:

{
  "reported": {
    "certificate": {
      "validFrom": "2026-03-01T00:00:00Z",
      "validUntil": "2026-03-31T00:00:00Z"
    }
  }
}

Nadat apparaten deze eigenschappen rapporteren, kunt u de IoT Hub querytaal gebruiken om apparaten in uw vloot te identificeren waarvoor verlenging is vereist.

Wat gebeurt er wanneer een certificaat verloopt

Als een apparaat het certificaat niet vernieuwt voordat het verloopt, verliest het de mogelijkheid om te verifiëren met IoT Hub. IoT Hub weigert verbindingen van apparaten met verlopen certificaten.

Als u een apparaat met een verlopen certificaat wilt herstellen, moet het apparaat opnieuw worden ingericht met Device Provisioning Service:

  1. Controleer of het apparaat nog steeds de onboardingreferentiegegevens heeft. Deze referenties worden gebruikt voor de initiële configuratie, zoals een symmetrische sleutel of TPM.

  2. Laat het apparaat een nieuwe registratie-aanroep naar DPS initiëren die een nieuwe CSR bevat.

  3. DPS geeft een nieuw operationeel certificaat uit via ADR door gebruik te maken van dezelfde op CSR gebaseerde voorzieningsproces.

  4. Het apparaat maakt verbinding met IoT Hub met het nieuwe certificaat.

Als een apparaat de onboardingreferentie verliest en het operationele certificaat verloopt, moet u het apparaat opnieuw inrichten met een nieuwe onboardingreferentie via de werkstroom voor apparaatbeheer van uw organisatie.

Relatie met certificaatintrekking

Certificaatvernieuwing behandelt het verlopen en is gescheiden van certificaatintrekking. Intrekking is een beveiligingsactie die een apparaatcertificaat ongeldig maakt voordat het verloopt. Na intrekking moet het apparaat opnieuw een nieuw certificaat verkrijgen, via DPS opnieuw inrichten en dezelfde op CSR gebaseerde uitgiftestroom. Zie concepten voor certificaatintrekking en beleidsbeheer voor meer informatie over intrekking.

Als u de toegang wilt verwijderen voor een apparaat dat gebruikmaakt van een X.509-operationeel certificaat zonder intrekking, kunt u het apparaat uitschakelen in IoT Hub. Zie Een apparaat uitschakelen of verwijderen voor meer informatie.

Verwante onderwerpen

  • Last updated on