Autoridades certificadoras no Azure Device Registry

A gestão de certificados no Azure Device Registry utiliza uma hierarquia de autoridade certificadora (CA) de dois níveis, composta por uma CA raiz e uma CA intermédia. Uma CA raiz atua como âncora de confiança para dispositivos no espaço de nomes, enquanto a CA intermédia (ICA), também conhecida como CA emissora, é responsável por emitir e renovar certificados de dispositivo em nome da CA raiz. Cada CA intermédia gere uma única política de certificados, que define o período de validade dos certificados que assina. Quando cria uma autoridade certificadora intermédia, o Azure Device Registry:

• Gera e armazena de forma segura o certificado intermédio da CA e a chave privada no Azure Key Vault Managed HSM. A proteção apoiada por hardware ajuda a prevenir acessos não autorizados a material criptográfico.

• Gere o ciclo de vida intermédio da CA, incluindo monitorizar a validade dos certificados e apoiar as operações de rotação. Para as CAs intermédias criadas com BYOCA, deve garantir que a sua CA externa reemite uma nova CA intermédia antes da expiração.

• Utiliza a CA intermédia para emitir certificados de dispositivo enquanto a CA raiz permanece como âncora de confiança para a hierarquia.

Opções de implantação

Num único namespace, podes criar até três CAs intermédias. Tem à sua disposição duas opções de implementação para as suas autoridades certificadoras intermédias:

• Use uma CA raiz ao nível do namespace: Implemente uma CA intermédia que é assinada e emitida por uma CA raiz no seu namespace. Esta CA raiz é criada na cloud PKI da Microsoft.

• Traga a sua própria autoridade de certificação (BYOCA): Implemente uma AC intermédia assinada e emitida pela sua própria AC privada. Esta opção exige que tenha acesso à sua CA privada para assinar.

Também pode usar uma combinação de modelos de implementação num único namespace.

Opção 1: Usar uma CA raiz ao nível do namespace

Root CA

Num Registo de Dispositivos Azure, pode criar até uma CA raiz por namespace. Utilize esta CA raiz para assinar CAs intermédias que depois emitem certificados de dispositivo:

Quando cria uma CA raiz num namespace, Azure Device Registry:

• Utiliza o Microsoft cloud PKI para gerar e armazenar de forma segura o certificado raiz da CA e a chave privada no Azure Key Vault Managed HSM. A proteção apoiada por hardware ajuda a prevenir acessos não autorizados a material‑chave.
• Gere o ciclo de vida da CA raiz, incluindo monitorizar a validade dos certificados e apoiar as operações de rotação. A CA raiz é válida por 10 anos.
• Utiliza a CA raiz para assinar CAs intermédias, mantendo a CA raiz isolada das operações diárias de certificados do dispositivo.

Cadeia de certificados

Quando o Azure Device Registry emite um certificado de dispositivo, o certificado encadeia até à CA raiz do namespace através da CA intermédia. A cadeia consiste em:

• Certificado do dispositivo: Identifica um dispositivo IoT específico e é assinado pela CA intermédia.
• Certificado CA intermédio: Assina e gere certificados de dispositivo e é assinado pela CA raiz do namespace.
• Certificado de CA raiz do namespace: Estabelece a raiz de confiança para o namespace.

Esta hierarquia limita o uso da CA raiz, separa as operações dos certificados do dispositivo da âncora de confiança e garante que os certificados emitidos na cadeia de namespace estejam encadeados a uma raiz de confiança comum.

Para começar com uma CA raiz gerida por namespace, veja configurar uma CA raiz e intermédia.

Opção 2: Traga o seu próprio CA (BYOCA)

O BYOCA permite criar uma CA intermédia no Azure Device Registry (ADR) que está ancorada a uma CA gerida fora da ADR. Esta CA emite certificados de dispositivo, mas a raiz de confiança continua a ser a CA externa. Quando cria uma CA intermédia usando BYOCA, a ADR cria um pedido de assinatura de certificado para completar a ativação.

Quando configuras uma CA intermédia assinada por uma CA externa, a Microsoft:

• Gera e armazena de forma segura o certificado intermédio da CA e a chave privada no Azure Key Vault Managed HSM, proporcionando proteção suportada por hardware para operações criptográficas e ajudando a prevenir acessos não autorizados ao material da chave.

• Utiliza um modelo de responsabilidade partilhada em que a Microsoft gere o ciclo de vida intermédio da CA, incluindo monitorização e rotação, enquanto a organização é responsável por renovar e manter a validade do certificado externo que assina a CA intermédia. Este CA intermédio tem validade de um ano.

• Permite emitir certificados de dispositivo assinados pela CA intermédia, enquanto a CA externa permanece como âncora de confiança para a hierarquia.

Cadeia de certificados

Quando um dispositivo solicita um certificado através do Azure Device Registry, a cadeia do certificado remonta à CA externa através da CA intermédia. A cadeia consiste em:

• O certificado do dispositivo: Único para cada dispositivo IoT específico.

• A Autoridade de Certificação emissora da Microsoft (ICA): A CA gerida pelo Registo de Dispositivos que assina o pedido do dispositivo.

• A CA de raiz externa: A CA de raiz fidedigna da sua organização, que assina a ICA da Microsoft.

Qualquer serviço que confie na sua CA raiz corporativa confia automaticamente nos certificados emitidos aos seus dispositivos IoT pelo Azure.

Para começar a utilizar a BYOCA, consulte Traga a sua própria AC.

Conteúdo relacionado

• O que é a gestão de certificados no Azure Device Registry?

• Fundamentos da PKI

• Autoridades certificadoras no Azure Device Registry

• Configurar uma CA raiz e intermédia

• Emissão de certificados no Azure Device Registry

• Revogação de certificados no Azure Device Registry