Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O Gerenciamento de Certificados no Azure Device Registry (ADR) simplifica a emissão e o gerenciamento do ciclo de vida dos certificados X.509, permitindo que dispositivos IoT estabeleçam e mantenham identidades seguras baseadas em certificados. Você pode criar e gerenciar autoridades certificadoras (CAs), emitir certificados de dispositivos e estabelecer confiança com os serviços IoT do Azure. Em vez de gerenciar seu próprio ambiente PKI, as autoridades certificadoras são automaticamente provisionadas dentro de uma PKI em nuvem privada dedicada ao seu namespace, fornecendo uma fronteira de confiança isolada e suportada por hardware.
O Gerenciamento de Certificados suporta a emissão e renovação de certificados de dispositivos por meio de fluxos de trabalho padrão de dispositivos, estabelece confiança ao sincronizar as CAs com serviços confiáveis do IoT do Azure e possibilita governança contínua por meio de revogação e controles do ciclo de vida.
Para usar o gerenciamento de certificados, você deve utilizar o Hub IoT e o Device Provisioning Service (DPS).
Visão geral dos recursos
Os seguintes recursos são suportados pelo gerenciamento de certificados para dispositivos Hub IoT:
| Característica | Description |
|---|---|
| Criar múltiplas autoridades certificadoras (CA) em um único namespace de ADR | Crie uma hierarquia de PKI em dois níveis com CAs raiz e intermediárias na nuvem. Você pode criar até uma CA raiz e até três CAs intermediárias em um único namespace. |
| Traga sua própria CA | Se você já tem um ambiente PKI existente, pode manter a mesma CA raiz e criar uma CA intermediária em ADR que se encadeia à sua raiz externa. |
| Algoritmos criptográficos | As autoridades certificadoras gerenciadas no ADR oferecem suporte a ECC (ECDSA), NIST P-384 e SHA-384. |
| Chaves HSM (assinatura e encriptação) | As chaves são provisionadas usando o Módulo de Segurança de Hardware Gerenciado do Azure Key Vault (Azure Managed HSM). As CAs criadas em seu namespace ADR usam automaticamente chaves de criptografia e assinatura de HSM. Nenhuma assinatura de Azure é necessária para Azure HSM. |
| Crie uma política de certificado | Cada CA intermediária suporta uma única política de certificado. Uma política de certificados define o tempo de vida dos certificados de dispositivo emitidos por essa CA intermediária. |
| Emissão e renovação de certificado do dispositivo | Os certificados de dispositivos são emitidos e renovados pela CA intermediária. A emissão e renovação de certificados são realizadas por meio de APIs de dispositivos IoT do Azure, incluindo fluxos de trabalho de dispositivos DPS e Hub IoT. |
| Revogação de certificado do dispositivo | Revogue certificados de dispositivo individuais para bloquear conexões de dispositivo até que um novo certificado seja emitido para o dispositivo. Os certificados revogados são adicionados à Lista de Revogação de Certificados (CRL) da CA intermediária. |
| Revogação intermediária de CA | Revogue uma CA intermediária para remover do Hub IoT o certificado da CA associada e adicione a CA à Lista de Revogação de Certificados (CRL) da CA raiz. Revogação não é suportada para CAs intermediárias assinadas por uma CA externa. |
| Pontos de distribuição da Lista de Revogação de Certificados (CRL) | Azure hospeda o CDP (ponto de distribuição de CRL) para cada AC. A URL da CDP é inserida em cada certificado. O período de validade da CRL é de sete dias. A publicação e a atualização ocorrem a cada 3,5 dias. A CRL é atualizada com cada revogação de certificados. |
| Pontos finais do Acesso a Informações de Autoridade (AIA) | O Azure hospeda o endpoint AIA para cada CA intermediária. A URL do AIA é inserida em cada certificado. O ponto de extremidade do AIA pode ser utilizado por terceiras partes para recuperar certificados pai. |
| Sincronizar certificados de Autoridade Certificadora com Hubs de IoT | Sincronize automaticamente os certificados da CA com os Hubs IoT vinculados e habilite a conectividade dos dispositivos. |
Credenciais de integração X credenciais operacionais para dispositivos
Uma credencial é um artefato que um dispositivo usa para provar sua identidade, como um certificado X.509 ou uma chave simétrica. No IoT do Azure, existem dois tipos de credenciais de dispositivo: credencial de onboarding e credencial operacional. Credenciais de integração e operacionais servem a propósitos diferentes e possuem ciclos de vida distintos:
- Credencial de integração: oferece uma identidade de dispositivo durável normalmente provisionada durante a fabricação e permanece estável durante toda a vida útil do dispositivo. Um dispositivo usa essa credencial para autenticar com o Device Provisioning Service (DPS) durante o provisionamento. Os tipos de credenciais de integração suportados incluem certificados X.509 de uma autoridade de certificação (CA) de terceiros, chaves simétricas e Módulos de Plataforma Confiável (TPM).
- Credencial operacional: Estes são certificados X.509 emitidos pelo Azure Device Registry, tipicamente de curta duração, renovados ao longo do ciclo de vida do dispositivo, e usados para autenticação em serviços em nuvem como o Hub IoT. Essa credencial pode ser revogada sem substituir a identidade fundamental do dispositivo, melhorando a segurança e reduzindo a complexidade operacional em larga escala.
O gerenciamento de certificados no Azure Device Registry suporta emissão, renovação e revogação para credenciais operacionais de dispositivos. Ele não emite nem gerencia credenciais de provisionamento de dispositivos.
Architecture
O gerenciamento de certificados combina o Azure Device Registry (ADR), o Device Provisioning Service (DPS) e o Hub IoT do Azure para fornecer emissão, distribuição de confiança e gerenciamento do ciclo de vida dos certificados operacionais dos dispositivos.
Como o gerenciamento de certificados utiliza os serviços IoT do Azure
O Azure Device Registry (ADR) atua como o plano de controle de gerenciamento de certificados. Você usa ADR para criar e gerenciar autoridades certificadoras raiz e intermediárias (CAs), configurar políticas de certificado e revogar certificados de dispositivo. O ADR hospeda a PKI em nuvem para seu namespace e gerencia o ciclo de vida dos recursos de gerenciamento de certificados. Para mais informações, veja Configurar uma CA raiz e intermediária.
O Serviço de Provisionamento de Dispositivos (DPS) realiza o embarque de dispositivos em tempo de execução e a emissão de certificados. Durante o provisionamento, o DPS valida a credencial de onboarding do dispositivo e determina qual política de certificado deve ser aplicada com base na configuração de inscrição. O dispositivo deve enviar uma solicitação de assinatura de certificado (CSR) como parte da transação de provisionamento, permitindo que a ADR emita um certificado operacional para o dispositivo. Para mais informações, veja Emissão de certificados no gerenciamento de certificados do Azure Device Registry.
Hub IoT do Azure é o serviço de execução ao qual os dispositivos se conectam após o provisionamento. A ADR sincroniza os certificados da CA com os Hub IoTs conectados para que o Hub IoT possa confiar e validar certificados operacionais do dispositivo durante a autenticação. Hub IoT também suporta renovação operacional de certificados sem exigir que o dispositivo seja reprovisionado. Para mais informações, veja Renovação de certificados no Azure Device Registry no gerenciamento de certificados.
Opções de autoridade certificadora
O gerenciamento de certificados no Azure Device Registry suporta dois tipos de autoridades certificadoras intermediárias:
ADR assinado pela CA raiz da Microsoft Cloud cria e gerencia uma AC intermediária que se encadeia em uma AC raiz gerenciada pela Microsoft exclusiva para o namespace. A Microsoft gerencia o ciclo de vida tanto da CA raiz do namespace quanto da CA intermediária.
Assinado por AC externa O ADR cria e gerencia uma AC intermediária assinada por uma AC externa de propriedade da organização. Sua organização mantém a propriedade e a governança da AC externa, enquanto a Microsoft gerencia a AC intermediária e o fluxo de trabalho operacional de emissão de certificados. Essa opção é útil quando os dispositivos precisam ser encadeados em uma PKI corporativa ou em uma âncora de confiança corporativa comum.
Para mais informações, veja Autoridades Certificadoras no Registro de Dispositivos do Azure.
Limites e cotas
Para as informações mais recentes sobre limites e cotas para gerenciamento de certificados no Azure Device Registry, veja Limites de assinatura e serviço do Azure.