Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
A Gestão de Certificados no Azure Device Registry (ADR) simplifica a emissão e a gestão do ciclo de vida dos certificados X.509, permitindo que dispositivos IoT estabeleçam e mantenham identidades seguras baseadas em certificados. Pode criar e gerir autoridades certificadoras (CAs), emitir certificados de dispositivos e estabelecer confiança com os serviços Azure IoT. Em vez de gerir o seu próprio ambiente PKI, as autoridades certificadoras são automaticamente provisionadas numa PKI de nuvem privada dedicada ao seu namespace, proporcionando uma fronteira de confiança isolada e suportada por hardware.
A Gestão de Certificados suporta a emissão e renovação de certificados do dispositivo através de fluxos de trabalho padrão de dispositivos, estabelece confiança ao sincronizar as CAs com serviços confiáveis do Azure IoT e permite uma governação contínua através de revogação e controlos do ciclo de vida.
Para utilizar a gestão de certificados, deve utilizar o Hub IoT e o Device Provisioning Service (DPS).
Visão geral dos recursos
As seguintes funcionalidades são suportadas pela gestão de certificados para dispositivos Hub IoT:
| Feature | Descrição |
|---|---|
| Criar múltiplas autoridades certificadoras (CA) num único espaço de nomes ADR | Crie uma hierarquia PKI de dois níveis com CAs raiz e intermédias na cloud. Pode criar até uma CA raiz e até três CAs intermédias num único namespace. |
| Utilize a sua própria CA | Se tiver um ambiente PKI existente, pode manter a mesma CA raiz e criar uma CA intermédia em ADR que encadeia na sua CA raiz externa. |
| Algoritmos de encriptação | As autoridades certificadoras geridas no ADR suportam ECC (ECDSA), NIST P-384 e SHA-384. |
| Chaves HSM (assinatura e encriptação) | As chaves são provisionadas utilizando Azure Key Vault Módulo de Segurança de Hardware Gerido (Azure Managed HSM). As CAs criadas dentro do seu espaço de nomes ADR usam automaticamente chaves de assinatura e encriptação HSM. Não é necessária subscrição do Azure para o Azure HSM. |
| Criar uma política de certificado | Cada CA intermédia suporta uma única política de certificação. Uma política de certificados define a vida útil dos certificados de dispositivo emitidos por essa CA intermédia. |
| Emissão e renovação de certificados de dispositivo | Os certificados de dispositivos são emitidos e renovados pela CA intermédia. A emissão e renovação dos certificados são realizadas através das APIs de dispositivos Azure IoT, incluindo os fluxos de trabalho dos dispositivos DPS e Hub IoT. |
| Revogação do certificado do dispositivo | Revogue certificados individuais de dispositivos para bloquear ligações até que um novo certificado seja emitido para o dispositivo. Os certificados revogados são adicionados à Lista de Revogação de Certificados (CRL) da CA intermédia. |
| Revogação intermédia da CA | Revogue uma CA intermédia para remover o certificado de CA associado do Hub IoT e adicione a CA à Lista de Revogação de Certificados (CRL) da CA raiz. A revogação não é suportada para CAs intermédias assinadas por uma CA externa. |
| Pontos de distribuição da Lista de Revogação de Certificados (CRL) | O Azure aloja o ponto de distribuição CRL (CDP) para cada CA. A URL do CDP está incorporada em cada certificado. O período de validade da CRL é de sete dias. A publicação e a atualização acontecem a cada 3,5 dias. O CRL é atualizado a cada revogação de certificado. |
| Pontos finais de Acesso à Informação de Autoridade (AIA) | O Azure hospeda o endpoint AIA para cada CA intermédia. O URL do AIA está incorporado em cada certificado. O endpoint AIA pode ser usado por partes de confiança para recuperar certificados pais. |
| Sincronizar certificados CA com Hubs IoT | Sincronize automaticamente os certificados da CA com os Hubs IoT ligados e ative a conectividade dos dispositivos. |
Incorporação vs. credenciais operacionais para dispositivos
Uma credencial é um artefacto que um dispositivo utiliza para provar a sua identidade, como um certificado X.509 ou uma chave simétrica. No Azure IoT, existem dois tipos de credenciais de dispositivo: uma credencial de onboarding e uma credencial operacional. As credenciais de integração e operacionais servem propósitos diferentes e têm ciclos de vida distintos:
- Credencial de aprovisionamento: Proporciona uma identidade duradoura do dispositivo que é normalmente disponibilizada durante a fabricação e permanece estável ao longo da vida útil do dispositivo. Um dispositivo utiliza esta credencial para autenticar junto do Device Provisioning Service (DPS) durante o provisionamento. Os tipos de credenciais de onboarding suportados incluem certificados X.509 de uma autoridade certificadora (CA) de terceiros, chaves simétricas e Módulos de Plataforma Confiável (TPM).
- Credencial operacional: Estes são certificados X.509 emitidos pelo Azure Device Registry, normalmente de curta duração, renovados ao longo do ciclo de vida do dispositivo, e usados para autenticação em serviços cloud como o Hub IoT. Esta credencial pode ser revogada sem substituir a identidade fundamental do dispositivo, melhorando a segurança e reduzindo a complexidade operacional em larga escala.
A gestão de certificados no Azure Device Registry suporta a emissão, renovação e revogação de credenciais operacionais de dispositivos. Não emite nem gere credenciais de integração de dispositivos.
Architecture
A gestão de certificados combina Azure Device Registry (ADR), o Device Provisioning Service (DPS) e o Hub IoT do Azure para fornecer emissão, distribuição de confiança e gestão do ciclo de vida dos certificados operacionais do dispositivo.
Como a gestão de certificados usa os serviços Azure IoT
O Azure Device Registry (ADR) atua como o plano de controlo de gestão de certificados. Utiliza-se o ADR para criar e gerir autoridades certificadoras raiz e intermédias (CAs), configurar políticas de certificados e revogar certificados de dispositivos. O ADR aloja a PKI na cloud para o seu namespace e gere o ciclo de vida dos recursos de gestão de certificados. Para mais informações, consulte Configurar uma CA raiz e intermédia.
O Serviço de Provisionamento de Dispositivos (DPS) realiza a integração de dispositivos em tempo de execução e a emissão de certificados. Durante o provisionamento, o DPS valida a credencial de onboarding do dispositivo e determina qual a política de certificados a aplicar com base na configuração de registo. O dispositivo deve submeter um pedido de assinatura de certificado (CSR) como parte da transação de provisionamento, permitindo que a ADR emita um certificado operacional para o dispositivo. Para mais informações, consulte Emissão de certificados na gestão de certificados do Azure Device Registry.
Hub IoT do Azure é o serviço em tempo de execução ao qual os dispositivos se ligam após o provisionamento. A ADR sincroniza os certificados da CA com os Hub IoTs ligados para que o Hub IoT possa confiar e validar os certificados operacionais do dispositivo durante a autenticação. O Hub IoT também suporta a renovação de certificados operacionais sem necessidade de reaprovisionamento do dispositivo. Para mais informações, consulte Renovação de certificados na gestão de certificados do Azure Device Registry.
Opções de autoridade certificadora
A gestão de certificados no Azure Device Registry suporta dois tipos de autoridades certificadoras intermédias:
A Microsoft cloud root CA-signed ADR cria e gere uma CA intermédia que se encadeia a uma CA raiz única gerida pela Microsoft para o seu espaço de nomes. A Microsoft gere o ciclo de vida tanto da CA raiz do namespace como da CA intermédia.
Assinado por CA externa O ADR cria e gere uma CA intermédia assinada por uma CA externa pertencente à sua organização. A sua organização mantém a propriedade e a governação da CA externa, enquanto a Microsoft gere a CA intermédia e o fluxo de trabalho de emissão de certificados operacionais. Esta opção é útil quando os dispositivos têm de estar encadeados a uma PKI empresarial ou a uma âncora de confiança corporativa comum.
Para mais informações, consulte Autoridades Certificadoras no Registo de Dispositivos Azure.
Limites e quotas
Para as informações mais recentes sobre limites e quotas para gestão de certificados no Azure Device Registry, consulte Limites de subscrição e serviço do Azure.