Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
A emissão de certificado do dispositivo é o processo pelo qual os dispositivos solicitam e recebem um certificado como parte do provisionamento. Este artigo explica a responsabilidade de um dispositivo em enviar uma solicitação de assinatura de certificados (CSR), como o Azure Device Registry (ADR) e o Device Provisioning Service (DPS) trabalham juntos para emitir certificados em larga escala, e como o Hub IoT confia nos certificados emitidos.
Importante
O Hub IoT do Azure com integração ao Registro de Dispositivos do Azure e gerenciamento de certificados X.509 com suporte da Microsoft está em prévia pública e não é recomendado para cargas de trabalho de produção. Para obter mais informações, consulte FAQ: o que há de novo em Hub IoT?.
Como funciona a emissão de certificado do dispositivo
As etapas a seguir descrevem o fluxo de emissão de ponta a ponta:
O dispositivo IoT conecta-se ao endpoint DPS e autentica usando sua credencial de onboarding, como uma chave simétrica, certificado X.509 ou Trusted Platform Module (TPM). Como parte dessa chamada de registro, o dispositivo envia uma CSR (solicitação de assinatura de certificado) que inclui a chave pública do dispositivo e sua ID de registro.
Após a validação bem-sucedida da credencial de onboarding, a identidade do dispositivo é criada em ADR e alocada ao Hub IoT apropriado com base na configuração de inscrição.
O DPS encaminha o CSR para a autoridade certificadora (CA) que você criou no ADR e mencionou no registro do DPS. A CA valida a solicitação e então emite um certificado X.509 assinado.
DPS retorna o certificado emitido e os detalhes de conexão do Hub IoT para o dispositivo.
O dispositivo é autenticado com Hub IoT apresentando sua cadeia de certificados completa.
Requisitos de solicitação de assinatura de certificado
Quando um dispositivo é provisionado ou reprovisionado, ele envia uma Solicitação de Assinatura de Certificado (CSR) para o DPS. O DPS espera que a CSR atenda aos seguintes requisitos:
- Formato: regras de codificação distintas (DER) codificadas em Base64 seguindo a especificação PKCS (padrões de criptografia de chave pública) #10. Cabeçalhos e rodapés de e-mail com privacidade aprimorada (PEM) não podem ser incluídos.
- Nome comum (CN): O campo CN deve corresponder exatamente à ID de registro DPS do dispositivo. Para orientações de implementação, veja Unified IoT do Azure SDKs (prévia) para Hub IoT e Azure Device Registry.
Algoritmos criptográficos
As autoridades certificadoras que você cria no Azure Device Registry utilizam os seguintes padrões criptográficos para todos os certificados que emitem:
| Property | Valor |
|---|---|
| Algoritmo de chave | ECC (ECDSA) |
| Curva | NIST P-384 (secp384r1) |
| Algoritmo de hash | SHA-384 |
| Armazenamento de chaves | HSM Gerenciado do Azure |
O ECC com P-384 oferece segurança equivalente à RSA em tamanhos de chave muito menores. Esse algoritmo produz certificados menores, handshakes TLS mais rápidos e menor consumo de energia em dispositivos IoT restritos.
Sincronização da CA e confiança do Hub IoT
Para que um dispositivo se autentique com o Hub IoT usando seu certificado emitido, o Hub IoT deve confiar na CA intermediária que assinou o certificado do dispositivo. Quando você cria a CA, o ADR automaticamente envia o certificado público da CA para seus Hubs IoT conectados. O Hub IoT armazena o certificado intermediário da CA e o utiliza para validar a cadeia de certificados que seus dispositivos apresentam durante a autenticação TLS.
Introdução à emissão de certificados de dispositivo
Dispositivos IoT podem solicitar certificados de dispositivo de ADR usando fluxos de trabalho padrão de dispositivos. Para começar, veja Unified IoT do Azure SDKs (prévia) para Hub IoT e Azure Device Registry.