Wat is certificaatbeheer (preview) in Azure Device Registry?

Certificaatbeheer is een optionele functie van Azure Device Registry (ADR) die het uitgifte- en levenscyclusbeheer van X.509-certificaten voor IoT-apparaten vereenvoudigt. Met deze functie configureert u een unieke PKI (Public Key Infrastructure) in de cloud voor elke ADR-naamruimte, waardoor on-premises servers, complexe connectors of toegewezen hardware niet meer nodig zijn. Door certificaatuitgifte en verlenging te automatiseren, zorgt ADR ervoor dat ingerichte apparaten een veilige, naadloze verbinding onderhouden bij het verifiëren met Azure IoT Hub.

Om certificaatbeheer te gebruiken, moet je IoT Hub, Azure Device Registry (ADR) en Device Provisioning Service (DPS) gebruiken. Certificaatbeheer is momenteel beschikbaar als openbare preview.

Important

Azure IoT Hub met Azure Device Registry-integratie en Microsoft-ondersteund X.509-certificaatbeheer bevindt zich in public preview en wordt niet aanbevolen voor productieworkloads. Zie FAQ: Wat is er nieuw in IoT Hub? voor meer informatie.

Overzicht van functies

De volgende functies worden ondersteund met certificaatbeheer voor IoT Hub-apparaten in preview:

Feature	Beschrijving
Meerdere certificeringsinstanties (CA) maken in een ADR-naamruimte	Maak een twee-niveaus PKI-hiërarchie met een root en een uitgevende CA in de cloud.
Een unieke basis-CA per ADR-naamruimte maken	Maak maximaal 1 referentieresource per ADR-naamruimte. Met één referentie wordt één unieke basis-CA in uw toegewezen cloud-PKI beheerd.
Maximaal één uitgevende CA per ADR-naamruimte aanmaken	Maak maximaal 1 beleid per ADR-naamruimte. Eén beleid beheert één, unieke, verlenende CA en stelt u in staat om de geldigheidsperiode voor uitgegeven apparaatcertificaten aan te passen. U kunt ervoor kiezen om uw verlenende CA te laten ondertekenen door de basis-CA op naamruimteniveau of een externe basis-CA die eigendom is van uw organisatie.
Ondertekenings- en versleutelingsalgoritmen	Certificaatbeheer ondersteunt ECC (ECDSA) en de NIST P-384-curve.
Hash-algoritmen	Certificaatbeheer ondersteunt SHA-384.
HSM-sleutels (ondertekening en versleuteling)	Sleutels worden ingericht met behulp van Azure Key Vault Managed Hardware Security Module (Azure Managed HSM). CA's die zijn gemaakt in uw ADR-naamruimte gebruiken automatisch HSM-ondertekenings- en versleutelingssleutels. Er is geen Azure-abonnement vereist voor Azure HSM.
Uitgifte en verlenging van apparaatcertificaten	Apparaatcertificaten, ook wel bladcertificaten genoemd, worden ondertekend door de verlenende CA en worden via apparaat-API's aan het apparaat geleverd. Bladcertificaten kunnen ook worden vernieuwd door de uitgevende CA.
Apparaatcertificaatintrekking	U kunt afzonderlijke apparaatcertificaten intrekken om apparaatverbindingen te blokkeren totdat een nieuw certificaat aan het apparaat wordt uitgegeven. Ingetrokken certificaten worden toegevoegd aan de certificaatintrekkingslijst (CRL) van de bovenliggende CA.
Beleidsintrekking	Trek een beleid in om het bijbehorende CA-certificaat van de IoT Hub te verwijderen en voeg de CA toe aan de Certificate Revocation List (CRL) van de ouder-CA. Deze actie blokkeert alle apparaten om verbinding te maken met de IoT Hub met een certificaat dat door die CA is uitgegeven. Intrekking wordt niet ondersteund voor beleid dat door een externe CA is ondertekend.
Certificaatintrekkingslijst (CRL) distributiepunten	Azure host het CRL-distributiepunt (CDP) voor elke CA. De CDP-URL wordt ingesloten op elk certificaat. De CRL wordt bijgewerkt bij elke certificaatintrekking.
Authority Information Access (AIA)-eindpunten	Azure fungeert als host voor het AIA-eindpunt voor elke uitgevende CA. De AIA-URL wordt ingesloten op elk certificaat. Het AIA-eindpunt kan door vertrouwende partijen worden gebruikt om bovenliggende certificaten op te halen.
CA-certificaten synchroniseren met IoT Hubs	Synchroniseer het CA-certificaat dat wordt beheerd door uw beleid naar de IoT Hubs die zijn gekoppeld aan uw naamruimte. Hierdoor kan IoT Hub apparaatcertificaten vertrouwen die zijn ondertekend door een van uw verlenende CA's.

Onboarding versus operationele referenties

Certificaatbeheer ondersteunt uitgifte en verlenging voor operationele apparaatcertificaten. Er worden geen inloggegevens voor onboarding beheerd.

Onboarding-referentie: Een apparaat gebruikt deze referentie voor verificatie met Device Provisioning Service (DPS) tijdens het inrichten. Ondersteunde typen onboardingreferenties zijn X.509-certificaten van een externe certificeringsinstantie (CA), symmetrische sleutels en Trusted Platform Modules (TPM).
Operational certificate: Nadat het apparaat is voorzien via DPS, geeft Azure Device Registry (ADR) een kortlevend X.509-certificaat uit dat het apparaat gebruikt om rechtstreeks met IoT Hub te verifiëren.

Hoe certificaatbeheer werkt

Certificaatbeheer maakt gebruik van IoT Hub, ADR en DPS samen om een beheerde PKI-ervaring (Public Key Infrastructure) te bieden voor IoT-apparaten.

Op hoog niveau:

U maakt certificaatbeheerbronnen in ADR, waaronder een naamruimte, referenties en beleid.
U configureert DPS-inschrijvingen voor het gebruik van dat ADR-beleid tijdens het inrichten.
Apparaten worden ingericht via DPS en ontvangen operationele certificaten die zijn ondertekend door de CA die het beleid heeft uitgegeven.
IoT Hub vertrouwt deze apparaatcertificaten nadat ADR het verlenende CA-certificaat heeft gesynchroniseerd met gekoppelde hubs.

Zie Uitgifte in Azure IoT Hub certificaatbeheer voor meer informatie.

Certificaatbeheer in Azure Device Registry ondersteunt twee beleidstypen:

Microsoft Root CA-ondertekend: Maak een beleid waarmee een uitgevende CA wordt beheerd die is ondertekend door de unieke root-CA van uw naamruimte. Microsoft beheert de levenscyclus voor zowel de uitgevende als de hoofd-CA's in de cloud PKI.
Externe CA ondertekend: Maak een beleid waarmee een verlenende CA wordt beheerd die is ondertekend door de externe basis-CA van uw organisatie. U behoudt het volledige eigendom van de externe CA, terwijl Microsoft de verlenende CA beheert in de cloud PKI. Gebruik dit beleidstype als uw organisatie een privé Public Key Infrastructure (PKI) onderhoudt en vereist dat alle IoT-apparaten worden gekoppeld aan een gemeenschappelijke vertrouwde root.

In het volgende diagram ziet u de end-to-end certificaatbeheerarchitectuur, waaronder hoe IoT Hub, Azure Device Registry en Device Provisioning Service kunnen worden geïntegreerd met PKI om apparaatcertificaten te beheren.

Zie Uitgifte in Azure IoT Hub certificaatbeheer voor meer informatie.

Certificaat vernieuwen

Elke referentie ondersteunt één beleid en de geldigheid van het beleid varieert van 7 tot 90 dagen. Wanneer een apparaat detecteert dat het operationele certificaat bijna is verlopen, kan het apparaat op twee manieren worden vernieuwd:

Herhaal certificaatuitgifte via DPS en dien een nieuwe CSR (Certificate Signing Request) in tijdens het opnieuw inrichten.
Dien een nieuwe CSR rechtstreeks in bij IoT Hub voor verlenging.

Elk apparaat moet de geldigheidsperiode van het certificaat bijhouden en de verlenging starten voordat het verloopt om onderbrekingen van de verbinding te voorkomen.

Zie Vernieuwing in Azure IoT Hub certificaatbeheer voor meer informatie.

Limieten en quota

Zie Azure abonnements- en servicelimieten voor de meest recente informatie over limieten en quota voor certificaatbeheer met IoT Hub.

Feedback

Is deze pagina nuttig?

Last updated on 2026-08-03