Certificaten voor externe communicatie beheren

Azure IoT-bewerkingen tls gebruikt om alle communicatie te versleutelen. In dit artikel wordt beschreven hoe u certificaten voor externe communicatie beheert, zoals het verifiëren van externe OPC UA-servers.

Zie Bring Your Own Issuer voor informatie over het beheren van certificaten voor interne communicatie, inclusief de standaard zelfondertekende verlener en het meenemen van uw eigen CA-verlener.

Vereiste voorwaarden

Certificaten voor externe communicatie beheren

Azure IoT-bewerkingen maakt gebruik van Azure Key Vault als de beheerde kluisoplossing in de cloud en maakt gebruik van de Azure Key Vault-extensie voor het geheimarchief voor Kubernetes om de geheimen uit de cloud te synchroniseren en op te slaan op de rand als Kubernetes-geheimen.

Belangrijk

Hoewel Azure IoT-bewerkingen certificaten gebruikt om externe communicatie te beveiligen, worden deze certificaten opgeslagen als geheimen in Azure Key Vault. Wanneer u een certificaat aan Azure Key Vault toevoegt, moet u dit als geheim toevoegen, niet als certificaatresource.

Azure Key Vault-machtigingen configureren

In Azure moet de gebruiker, om de operations ervaring te gebruiken voor het aanmaken van geheimen in de sleutelkluis, over Key Vault Secrets Officer-machtigingen beschikken op het niveau van resources.

Gebruik in een test- of ontwikkelomgeving de volgende stappen om de rol Key Vault Secrets Officer toe te wijzen aan uw gebruiker op het niveau van de resourcegroep waar het Azure IoT-bewerkingen-exemplaar en het Azure Key Vault-exemplaar worden geïmplementeerd:

  1. Als u de naam van de resourcegroep wilt vinden, gaat u naar de webinterface van de operations-omgeving, gaat u naar de pagina Instanties en zoekt u uw Azure IoT-bewerkingen-exemplaar. De naam van de resourcegroep wordt weergegeven in het veld Resourcegroep .

  2. Ga naar Azure Portal en ga vervolgens naar de resourcegroep waar uw Azure IoT-bewerkingen-exemplaar en Azure Key Vault-exemplaar zijn geïmplementeerd.

    Aanbeveling

    Gebruik het zoekvak boven aan Azure Portal om snel de resourcegroep te vinden door de naam te typen.

  3. Selecteer Toegangsbeheer (IAM) in het linkermenu. Selecteer vervolgens + Toevoegen Roltoewijzing toevoegen>.

  4. Selecteer op het tabblad Rol de rol Key Vault Secrets Officer in de lijst met rollen en selecteer vervolgens Volgende.

  5. Selecteer op het tabblad Ledende optie Gebruiker, groep of service-principal, selecteer Leden selecteren, selecteer de gebruiker waaraan u de rol Key Vault Secrets Officer wilt toewijzen en selecteer vervolgens Volgende.

  6. Selecteer Beoordelen en toewijzen om de roltoewijzing te voltooien.

Volg in een productieomgeving de aanbevolen procedures om de Azure Key Vault te beveiligen die u gebruikt met Azure IoT-bewerkingen. Zie Best practices voor het gebruik van Azure Key Vault voor meer informatie. Zorg ervoor dat uw sleutelkluis rol-gebaseerde toegangsbeheer van Azure als machtigingsmodel heeft.

Certificaten toevoegen en gebruiken

Connectors gebruiken de ervaring voor certificaatbeheer om toepassingsverificatie te configureren voor externe servers. De connector voor OPC UA maakt bijvoorbeeld gebruik van certificaten in de vertrouwenslijst om de serveridentiteit te verifiëren van de OPC UA-servers die hiermee verbinding maken.

Wanneer u Azure IoT-bewerkingen met beveiligde instellingen implementeert, kunt u certificaten toevoegen aan Azure Key Vault en deze synchroniseren met het Kubernetes-cluster dat moet worden gebruikt in de lijst met vertrouwens - en verlenerlijstarchieven voor externe verbindingen. Elke connector heeft een eigen vertrouwenslijst voor het opslaan van de certificaten van de externe servers die het vertrouwt en waarmee het verbinding maakt.

U kunt certificaten voor externe communicatie beheren met behulp van de webgebruikersinterface van operations experience of de Azure CLI:

Volg deze stappen om certificaten voor externe communicatie te beheren:

  1. Ga naar de Azure IoT-bewerkingen-ervaring en kies uw site en het Azure IoT-bewerkingen-exemplaar.

  2. Selecteer Apparaten in het linkernavigatiedeelvenster.

  3. Selecteer Beheer certificaten en geheimen.

    Schermopname van de optie Certificaten en geheimen beheren in het linkernavigatiedeelvenster.

  4. Selecteer op de pagina Certificaten en geheimen de optie Nieuw certificaat toevoegen.

    Schermopname van de knop Nieuw certificaat toevoegen op de pagina apparaten.

  5. U kunt op twee manieren een nieuw certificaat toevoegen:

    • Certificaat uploaden: uploadt een certificaat dat u als geheim wilt toevoegen aan Azure Key Vault en synchroniseert automatisch naar het cluster met behulp van de extensie voor het geheimarchief.

      • Bekijk de certificaatdetails nadat het is geüpload, om ervoor te zorgen dat u het juiste certificaat hebt voordat u aan Azure Key Vault toevoegt en synchroniseert met het cluster.
      • Gebruik een intuïtieve naam zodat u kunt herkennen welk geheim uw geheim in de toekomst vertegenwoordigt.
      • Selecteer het juiste certificaatarchief voor de connector die gebruikmaakt van het certificaat. Bijvoorbeeld OPC UA-vertrouwenslijst.

      Schermopname van de optie Certificaat uploaden wanneer u een nieuw certificaat toevoegt aan de pagina apparaten.

      Opmerking

      Het louter uploaden van het certificaat voegt het geheim niet toe aan Azure Key Vault en voert geen synchronisatie uit met het cluster. U moet Toepassen selecteren om de wijzigingen door te voeren.

    • Toevoegen vanuit Azure Key Vault: voeg een bestaand geheim toe uit de Azure Key Vault die moet worden gesynchroniseerd met het cluster.

      Schermopname van de optie Toevoegen vanuit Azure Key Vault bij het toevoegen van een nieuw certificaat aan de pagina apparaten.

      Opmerking

      Zorg ervoor dat u het geheim selecteert dat het certificaat bevat dat u wilt synchroniseren met het cluster. Als u een geheim selecteert dat niet het juiste certificaat is, mislukt de verbinding.

  6. Met behulp van de lijstweergave kunt u de gesynchroniseerde certificaten beheren. U kunt alle gesynchroniseerde certificaten weergeven en met welk certificaatarchief het is gesynchroniseerd:

    Schermopname van de lijst met certificaten op de pagina apparaten en het filteren op vertrouwenslijst en lijst met verleners.

U kunt ook gesynchroniseerde certificaten verwijderen. Wanneer u een gesynchroniseerd certificaat verwijdert, wordt alleen het gesynchroniseerde certificaat uit het Kubernetes-cluster verwijderd en wordt de ingesloten geheime verwijzing niet uit Azure Key Vault verwijderd. U moet het certificaatgeheim handmatig verwijderen uit de sleutelkluis.

Certificaten als geheimen toevoegen aan Azure Key Vault

Als u de bewerkingservaring gebruikt om bestaande certificaten te selecteren die eerder aan Azure Key Vault zijn toegevoegd, moet u ervoor zorgen dat de geheimen een indeling en codering hebben die wordt ondersteund door Azure IoT-bewerkingen.

Als u een PEM-certificaatgeheim wilt toevoegen aan Azure Key Vault, kunt u een opdracht gebruiken zoals in het volgende voorbeeld:

az keyvault secret set \
  --vault-name <your-key-vault-name> \
  --name my-cert-pem \
  --file ./my-cert.pem \
  --encoding hex \
  --content-type 'application/x-pem-file'

Als u een binair DER-certificaatgeheim wilt toevoegen aan Azure Key Vault, kunt u een opdracht gebruiken zoals in het volgende voorbeeld:

az keyvault secret set \
  --vault-name <your-key-vault-name> \
  --name my-cert-der \
  --file ./my-cert.der \
  --encoding hex \
  --content-type 'application/pkix-cert'
  • Last updated on