Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
A emissão de certificados de dispositivo é o processo pelo qual os dispositivos solicitam e recebem um certificado como parte do provisionamento. Este artigo explica a responsabilidade de um dispositivo em enviar um pedido de assinatura de certificados (CSR), como o Azure Device Registry (ADR) e o Device Provisioning Service (DPS) trabalham em conjunto para emitir certificados em larga escala, e como o Hub IoT confia nos certificados emitidos.
Importante
Hub IoT do Azure com integração Azure Device Registry e gestão de certificados X.509 suportada por Microsoft está em pré-visualização pública e não é recomendada para cargas de trabalho em produção. Para mais informações, consulte FAQ: O que há de novo em Hub IoT?.
Como funciona a emissão de certificados de dispositivos
Os passos seguintes descrevem o fluxo de emissão de ponta a ponta:
O dispositivo IoT liga-se ao endpoint DPS e autentica-se usando a sua credencial de onboarding, como uma chave simétrica, certificado X.509 ou Módulo de Plataforma Confiável (TPM). Como parte desta chamada de registo, o dispositivo envia um pedido de assinatura de certificado (CSR) que inclui a chave pública do dispositivo e o seu ID de registo.
Após validação bem-sucedida da credencial de onboarding, a identidade do dispositivo é criada em ADR e atribuída ao Hub IoT apropriado com base na configuração de inscrição.
O DPS encaminha o CSR para a autoridade certificadora (CA) que criou na ADR e referenciou na inscrição do DPS. A CA valida o pedido e depois emite um certificado X.509 assinado.
O DPS devolve o certificado emitido e os detalhes da ligação ao Hub IoT ao dispositivo.
O dispositivo autentica-se com o Hub IoT apresentando toda a sua cadeia de certificados.
Requisitos para pedidos de assinatura de certificados
Quando um dispositivo fornece ou reabastece, envia um CSR para o DPS. O DPS espera que o CSR cumpra os seguintes requisitos:
- Formato: Regras de codificação distinta codificadas em Base64 (DER) seguindo a especificação #10 dos padrões de criptografia de chave pública (PKCS). Cabeçalhos e rodapés de correio com maior privacidade (PEM) não podem ser incluídos.
- Nome comum (CN): O campo CN deve corresponder exatamente ao ID de registo DPS do dispositivo. Para orientações de implementação, consulte Unified Azure IoT SDKs (pré-visualização) para Hub IoT e Azure Device Registry.
Algoritmos de encriptação
As autoridades certificadoras que cria no Azure Device Registry utilizam os seguintes padrões criptográficos para todos os certificados que emitem:
| Property | Valor |
|---|---|
| Algoritmo chave | ECC (ECDSA) |
| Curva | NIST P-384 (secp384r1) |
| Algoritmo de hash | SHA-384 |
| Armazenamento de chaves | Azure Managed HSM |
O ECC com P-384 oferece segurança equivalente ao RSA em tamanhos de chave muito menores. Este algoritmo produz certificados mais pequenos, apertos de mão TLS mais rápidos e menor consumo de energia em dispositivos IoT restritos.
Confiança do Hub IoT e sincronização da CA
Para que um dispositivo se autentique com o Hub IoT usando o seu certificado emitido, o Hub IoT deve confiar na CA intermédia que assinou o certificado do dispositivo. Quando cria a CA, o ADR envia automaticamente o certificado público da CA para os seus Hubs IoT ligados. O Hub IoT armazena o certificado CA intermédio e usa-o para validar a cadeia de certificados que os seus dispositivos apresentam durante a autenticação TLS.
Introdução à emissão de certificados de dispositivos
Os dispositivos IoT podem solicitar certificados de dispositivo à ADR utilizando fluxos de trabalho padrão de dispositivos. Para começar, consulte Unified Azure IoT SDKs (pré-visualização) para Hub IoT e Azure Device Registry.