Creación y aprovisionamiento de dispositivos IoT Edge a escala en Linux mediante certificados X.509

Creación de una inscripción individual de DPS

Las inscripciones individuales usan la parte pública del certificado de identidad de un dispositivo y la asocian con el certificado del dispositivo.

1. En Azure Portal, vaya a la instancia de IoT Hub Device Provisioning Service.

2. En Configuración, seleccione Administrar inscripciones.

3. Seleccione Add individual enrollment (Agregar inscripción individual) y, a continuación, complete los pasos siguientes para configurar la inscripción:

   • Mecanismo: Seleccione X.509.

   • Certificado principal .pem o .cer archivo: cargue el archivo público desde el certificado de identidad del dispositivo. Si usó los scripts para generar un certificado de prueba, elija el siguiente archivo:

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • Id. de dispositivo IoT Hub: Si lo desea, proporcione un identificador para el dispositivo. Puede usar identificadores de dispositivo para dirigirse a un dispositivo individual para la implementación del módulo. Si no especifica un id. de dispositivo, se usa el nombre común (CN) en el certificado X. 509.

   • Dispositivo IoT Edge: seleccione True para declarar que la inscripción es para un dispositivo IoT Edge.

   • Seleccione los centros de IoT a los que se puede asignar este dispositivo: elija la instancia de IoT Hub vinculada a la que quiere conectar el dispositivo. Puede elegir varios centros y el dispositivo se asignará a uno de ellos según la directiva de asignación seleccionada.

   • Estado inicial de dispositivo gemelo: agregue un valor de etiqueta para que se agregue al dispositivo gemelo, si lo desea. Puede usar etiquetas para los grupos de dispositivos de destino de la implementación automática. Por ejemplo:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Seleccione Guardar.

En Administrar inscripciones, puede ver el Id. de registro de la inscripción que acaba de crear. Anótelo, ya que puede usarlo para aprovisionar el dispositivo.

Ahora que existe una inscripción para este dispositivo, el entorno de ejecución de Azure IoT Edge puede aprovisionar automáticamente el dispositivo durante la instalación.

Creación de una inscripción de grupo de DPS

Las inscripciones de grupo usan un certificado de CA raíz o intermedio de la cadena de certificados de confianza que se usó para generar los certificados de identidad del dispositivo individuales.

Comprobación del certificado raíz

Al crear un grupo de inscripción, tiene la opción de usar un certificado comprobado. Puede comprobar un certificado con DPS al probar que tiene la propiedad del certificado raíz. Para obtener más información, consulte Realización de una prueba de posesión de certificados de entidad de certificación X.509.

1. En Azure Portal, vaya a la instancia de IoT Hub Device Provisioning Service.

2. Seleccione Certificados en el menú de la izquierda.

3. Seleccione Agregar para agregar un certificado nuevo.

4. Escriba un nombre descriptivo para el certificado y después busque el archivo .cer o .pem que representa la parte pública del certificado X.509.

   Si usa los certificados de demostración, cargue el certificado <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem.

5. Seleccione Guardar.

6. Ahora, el certificado debe aparecer en la página Certificados. Selecciónelo para abrir los detalles del certificado.

7. Seleccione Generar código de comprobación y, a continuación, copie el código generado.

8. Tanto si proporcionó su propio certificado de CA como si usa los certificados de demostración, puede usar la herramienta de comprobación incluida en el repositorio de IoT Edge para realizar la prueba de posesión. La herramienta de comprobación usa el certificado de CA para firmar un nuevo certificado que tiene el código de comprobación especificado como nombre de asunto.

   New-CACertsVerificationCert "<verification code>"
   

9. En la misma página de detalles del certificado en Azure Portal, cargue el certificado de comprobación recién generado.

10. Seleccione Comprobar.

Creación del grupo de inscripción

Para más información sobre las inscripciones en Device Provisioning Service, vea Administración de inscripciones de dispositivos.

1. En Azure Portal, vaya a la instancia de IoT Hub Device Provisioning Service.

2. En Configuración, seleccione Administrar inscripciones.

3. Seleccione Add enrollment group (Agregar grupo de inscripción) y, a continuación, complete los pasos siguientes para configurar la inscripción:

   • Nombre de grupo: proporcione un nombre fácil de recordar para esta inscripción de grupo.

   • Tipo de atestación: Seleccione Certificado.

   • Dispositivo IoT Edge: Seleccione True. En el caso de una inscripción de grupo, todos los dispositivos deben ser dispositivos IoT Edge, o bien ninguno puede serlo.

   • Tipo de certificado: seleccione Certificado de CA.

   • Certificado principal: elija el certificado en la lista desplegable.

   • Seleccione los centros de IoT a los que se puede asignar este dispositivo: elija la instancia de IoT Hub vinculada a la que quiere conectar el dispositivo. Puede elegir varios centros y el dispositivo se asignará a uno de ellos según la directiva de asignación seleccionada.

   • Estado inicial de dispositivo gemelo: agregue un valor de etiqueta para que se agregue al dispositivo gemelo, si lo desea. Puede usar etiquetas para los grupos de dispositivos de destino de la implementación automática. Por ejemplo:

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. Seleccione Guardar.

En Administrar inscripciones, puede ver el Id. de registro de la inscripción que acaba de crear. Anótelo, porque puede usarlo para aprovisionar los dispositivos.

Ahora que existe una inscripción para estos dispositivos, el entorno de ejecución de Azure IoT Edge puede aprovisionar los dispositivos durante la instalación de forma automática.

La instalación se puede realizar con unos pocos comandos. Abra un terminal y ejecute los comandos siguientes:

• 24.04:

  wget https://packages.microsoft.com/config/ubuntu/24.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 22.04:

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04:

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

La instalación con APT puede realizarse con unos pocos comandos. Abra un terminal y ejecute los comandos siguientes:

• 12 - Bookworm (arm32v7):

  curl https://packages.microsoft.com/config/debian/12/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

• 11 - Bullseye (arm32v7):

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

La instalación se puede realizar con unos pocos comandos. Abra un terminal y ejecute los comandos siguientes:

• 9.x (amd64):

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64):

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

El entorno de ejecución de IoT Edge se instala desde el almacén de ajustes en un paso posterior. Continúe con la sección siguiente.

Instale el motor de Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Instale el motor de Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

Instale el motor de Moby y la CLI.

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge tiene dependencias en Docker e IoT Identity Service. Instale todas las dependencias escribiendo los siguientes comandos:

sudo snap install docker
sudo snap install azure-iot-identity

El acoplamiento de Docker es compatible con Canonical y se admite en escenarios de producción.

1. Crear o editar el archivo de configuración de daemons de Docker existente

   sudo nano /etc/docker/daemon.json
   

2. Establezca el controlador de registro predeterminado en el controlador de registro local, tal como se muestra en el ejemplo.

      {
         "log-driver": "local"
      }
   

3. Reinicie el motor de contenedores para que se apliquen los cambios.

   sudo systemctl restart docker
   

Actualmente, no se admite la configuración del controlador de registro local para el ajuste de Docker.

Instale la versión más reciente de IoT Edge y el paquete de servicio de identidad de IoT (si aún no está actualizado):

• 22.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04:

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

Instale la versión más reciente de IoT Edge y el paquete de servicio de identidad de IoT (si aún no está actualizado):

sudo apt-get update; \
  sudo apt-get install aziot-edge

Instale la versión más reciente de IoT Edge y el paquete de servicio de identidad de IoT (si aún no está actualizado):

sudo yum install aziot-edge

Instale IoT Edge desde el almacén de ajuste:

sudo snap install azure-iot-edge

Conectar ajuste

De manera predeterminada, los ajustes están libres de dependencias, no son de confianza y están estrictamente confinados. Por lo tanto, los ajustes deben estar conectados a otros ajustes y recursos del sistema después de la instalación. Use los siguientes comandos para conectar los ajustes de IoT Identity Service e IoT Edge entre sí y a los recursos del sistema. Para empezar, los ajustes deben conectarse manualmente. En el caso de las implementaciones de producción, se pueden configurar para conectarse automáticamente para reducir la carga de trabajo de aprovisionamiento.

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

Abra el archivo de configuración en el dispositivo IoT Edge.

sudo nano /etc/aziot/config.toml

Busque la sección Provisioning (Aprovisionamiento) del archivo. Quite la marca de comentario de las líneas para el aprovisionamiento de DPS con certificado X.509 y asegúrese de que todas las demás líneas de aprovisionamiento estén comentadas.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

Si usa una instalación instantánea de IoT Edge, el archivo de plantilla se encuentra en /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template. Copie el archivo de plantilla en el directorio de inicio y asígnelo el nombre config.toml. Por ejemplo:

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

Abra el archivo de configuración en el directorio principal en el dispositivo IoT Edge.

nano ~/config.toml

Busque la sección Provisioning (Aprovisionamiento) del archivo. Quite las marcas de comentario de las líneas de aprovisionamiento de DPS con el certificado X.509 y asegúrese de que cualquier otra línea de aprovisionamiento esté comentada. Use la ruta de acceso al directorio compartido al que se puede acceder tanto azure-iot-edge como azure-iot-identity snaps para los archivos de certificado. Por ejemplo, /var/snap/azure-iot-identity/current/shared/.

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

Compruebe que se usa la inscripción individual que creó en el servicio de aprovisionamiento de dispositivos. Vaya a su instancia del servicio de aprovisionamiento de dispositivos en el portal de Azure. Abra los detalles de la inscripción para la inscripción individual que ha creado. El estado de la inscripción está asignado y se muestra el id. de dispositivo.

Compruebe que se usa la inscripción de grupo que creó en el servicio de aprovisionamiento de dispositivos. Vaya a su instancia del servicio de aprovisionamiento de dispositivos en el portal de Azure. Abra los detalles de la inscripción para la inscripción de grupo que ha creado. Vaya a la pestaña Entradas de registro para ver todos los dispositivos registrados en ese grupo.