Creación y aprovisionamiento de dispositivos IoT Edge a escala en Linux mediante claves simétricas

Se aplica a: IoT Edge 1.1

En este artículo se proporcionan instrucciones de un extremo a otro para el aprovisionamiento automático de uno o varios dispositivos Linux IoT Edge mediante claves simétricas. Puede aprovisionar automáticamente los dispositivos Azure IoT Edge con Azure IoT Hub Device Provisioning Service (DPS). Si no está familiarizado con el proceso de aprovisionamiento automático, revise la información general sobre el aprovisionamiento antes de continuar.

Las tareas son las siguientes:

1. Crear una inscripción individual para un dispositivo o una inscripción de grupo para un conjunto de dispositivos.
2. Instale el entorno de ejecución de IoT Edge y conéctese a IoT Hub.

La atestación de clave simétrica es un enfoque sencillo para autenticar un dispositivo con una instancia de Device Provisioning Service. Este método de atestación representa una experiencia de "Hola mundo" para los desarrolladores que no estén familiarizados con el aprovisionamiento de dispositivos, o no tengan estrictos requisitos de seguridad. La atestación de dispositivo mediante un TPM o certificado X.509 es más segura y se debe usar cuando los requisitos de seguridad son más estrictos.

Prerrequisitos

Recursos en la nube

• Un centro de IoT activo.
• Una instancia del servicio de aprovisionamiento de dispositivos de IoT Hub en Azure, vinculada a tu IoT Hub.
  • Si no tiene una instancia del Servicio de Aprovisionamiento de Dispositivos, puede seguir las instrucciones en las secciones Crear una nueva instancia del Servicio de Aprovisionamiento de Dispositivos de IoT Hub y Vincular el hub de IoT y su servicio de aprovisionamiento de dispositivos en el inicio rápido del Servicio de Aprovisionamiento de Dispositivos de IoT Hub.
  • Cuando tenga el servicio de aprovisionamiento de dispositivos en ejecución, copie el valor de ID de ámbito de la página de resumen. Use este valor cuando configure el entorno de ejecución de IoT Edge.

Requisitos del dispositivo

Un dispositivo Linux físico o virtual para que sea el dispositivo IoT Edge.

Se debe definir un identificador de registroúnico para identificar cada dispositivo. Puede usar la dirección MAC, el número de serie o cualquier otra información única del dispositivo. Por ejemplo, podría usar una combinación de una dirección MAC y un número de serie que formen la siguiente cadena de un identificador de registro: sn-007-888-abc-mac-a1-b2-c3-d4-e5-f6. Los caracteres válidos son letras alfanuméricas en minúsculas y guiones (-).

Crear un registro de DPS

Cree una inscripción para aprovisionar uno o varios dispositivos mediante DPS.

Si desea aprovisionar un único dispositivo IoT Edge, cree una inscripción individual. Si necesita aprovisionar varios dispositivos, siga los pasos para crear una inscripción de grupo de DPS.

Al crear una inscripción en DPS, tiene la oportunidad de declarar un estado inicial de dispositivo gemelo. En el dispositivo gemelo, puede establecer etiquetas para agrupar dispositivos por cualquier métrica que necesite en su solución, como la región, el entorno, la ubicación o el tipo de dispositivo. Estas etiquetas se usan para crear implementaciones automáticas.

Para más información sobre las inscripciones en Device Provisioning Service, vea Administración de inscripciones de dispositivos.

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

Instalación de IoT Edge

En esta sección, preparará la máquina virtual Linux o el dispositivo físico para IoT Edge. A continuación, instala IoT Edge.

Ejecute los comandos siguientes para agregar el repositorio de paquetes y luego agregue la clave de firma de paquetes de Microsoft a la lista de claves de confianza.

Instalación de un motor del contenedor

Azure IoT Edge se basa en un entorno de ejecución de contenedor compatible con OCI. En los escenarios de producción, se recomienda utilizar el motor de Moby. El motor moby es el único motor de contenedor compatible oficialmente con IoT Edge. Las imágenes de contenedor de Docker CE/EE son totalmente compatibles con el entorno de ejecución de Moby.

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo apt-get update; \
  sudo apt-get install moby-engine

sudo yum install moby-engine moby-cli

Una vez instalado correctamente el motor de Moby, configúrelo para usar local controlador de registro como mecanismo de registro. Para más información sobre la configuración de registro, consulte Lista de comprobación de implementación de producción.

• Cree o abra el archivo de configuración del demonio de Docker en /etc/docker/daemon.json.

• Establezca el controlador de registro predeterminado en el controlador de registro de local como se muestra en el ejemplo siguiente.

     {
        "log-driver": "local"
     }
  

• Reinicie el motor de contenedores para que se apliquen los cambios.

  sudo systemctl restart docker
  

  Sugerencia

  Si se producen errores al instalar el motor del contenedor Moby, compruebe la compatibilidad con Moby del kernel de Linux. Algunos fabricantes de dispositivos incrustados distribuyen imágenes de dispositivos que contienen kernels de Linux personalizados sin las características necesarias para la compatibilidad del motor del contenedor. Ejecute el siguiente comando, que usa el script check-config suministrado por Moby, para comprobar la configuración del kernel:

  curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
  chmod +x check-config.sh
  ./check-config.sh
  

  En la salida del script, compruebe que todos los elementos que figuran en Generally Necessary y Network Drivers estén habilitados. Si faltan características, puede habilitarlas si vuelve a generar el kernel a partir del origen y selecciona los módulos asociados para incluirlos en el archivo .config de kernel adecuado. Igualmente, si usa un generador de configuración de kernel como defconfig o menuconfig, busque y habilite las características correspondientes y vuelva a generar el kernel como corresponda. Una vez que implemente el kernel recién modificado, vuelva a ejecutar el script check-config para comprobar que se han habilitado correctamente todas las características necesarias.

Instalación del entorno de ejecución de IoT Edge

El daemon de seguridad de IoT Edge proporciona y mantiene los estándares de seguridad en el dispositivo IoT Edge. El servicio se inicia cada vez que se arranca y configura el dispositivo iniciando el entorno de ejecución restante de IoT Edge.

Los pasos de esta sección representan el proceso típico para instalar la versión más reciente en un dispositivo que tenga conexión a Internet. Si tiene que instalar una versión específica, como una versión preliminar, o tiene que realizar la instalación mientras está sin conexión, siga los pasos de Instalación sin conexión o de una versión específica, más adelante en este artículo.

Instale la versión 1.1.* de IoT Edge junto con el paquete libiothsm-std:

sudo apt-get update; \
  sudo apt-get install iotedge

sudo apt-get update; \
  sudo apt-get install iotedge

Aprovisionamiento del dispositivo con su identidad de nube

Una vez que el entorno de ejecución esté instalado en el dispositivo, configure el dispositivo con la información que usa para conectarse a Device Provisioning Service y a IoT Hub.

Tenga lista la siguiente información:

• El valor Ámbito de Identificador del DPS
• El Id. de registro del dispositivo que ha creado
• La Clave principal de una inscripción individual o una clave derivada para dispositivos que usan una inscripción de grupo.

1. Abra el archivo de configuración en el dispositivo IoT Edge.

   sudo nano /etc/iotedge/config.yaml
   

2. Busque la sección configuraciones de aprovisionamiento del archivo. Descomente las líneas para el aprovisionamiento de clave simétrica de DPS y asegúrese de que cualquier otra línea de aprovisionamiento esté comentada.

   La provisioning: línea no debe tener espacio en blanco anterior, y los elementos anidados deben estar sangrados con dos espacios.

   # DPS TPM provisioning configuration
   provisioning:
     source: "dps"
     global_endpoint: "https://global.azure-devices-provisioning.net"
     scope_id: "PASTE_YOUR_SCOPE_ID_HERE"
     attestation:
       method: "symmetric_key"
       registration_id: "PASTE_YOUR_REGISTRATION_ID_HERE"
       symmetric_key: "PASTE_YOUR_PRIMARY_KEY_OR_DERIVED_KEY_HERE"
   
   # always_reprovision_on_startup: true
   # dynamic_reprovisioning: true
   

3. Actualice los valores de scope_id, registration_id y symmetric_key con la información de DPS y del dispositivo.

4. De manera opcional, use las líneas always_reprovision_on_startup o dynamic_reprovisioning para configurar el comportamiento de reaprovisionamiento de su dispositivo. Si un dispositivo está configurado para volver a provisionar al iniciarse, siempre intentará provisionar con DPS primero y, a continuación, recurrirá a la copia de seguridad de aprovisionamiento si se produce un error. Si un dispositivo está configurado para reaprovisionarse dinámicamente, IoT Edge (y todos los módulos) se reiniciará y se reaprovisionará si se detecta un evento de reaprovisionamiento, como cuando el dispositivo se mueve de un IoT Hub a otro. En concreto, IoT Edge comprueba los errores bad_credential o device_disabled del SDK para detectar el evento de reaprovisionamiento. Para desencadenar este evento manualmente, deshabilite el dispositivo en IoT Hub. Para más información, consulte Conceptos sobre el reaprovisionamiento de dispositivos de IoT Hub.

5. Reinicie el entorno de ejecución de IoT Edge para que recoja todos los cambios de configuración realizados en el dispositivo.

   sudo systemctl restart iotedge
   

Comprobación de instalación correcta

Si el entorno de ejecución se inició correctamente, puede ir a IoT Hub y empezar a implementar módulos de IoT Edge en el dispositivo.

Use los siguientes comandos en el dispositivo para comprobar que la instancia de IoT Edge se haya instalado e iniciado correctamente.

Compruebe el estado del servicio IoT Edge.

systemctl status iotedge

Examine los registros del servicio.

journalctl -u iotedge --no-pager --no-full

Enumere los módulos en ejecución.

iotedge list

Pasos siguientes

El proceso de inscripción en el servicio de aprovisionamiento de dispositivos permite establecer el ID del dispositivo y las etiquetas del dispositivo gemelo al mismo tiempo que se aprovisiona el nuevo dispositivo. Puede usar esos valores para dirigirse a dispositivos individuales o grupos de dispositivos con la administración automática de dispositivos. Aprenda a implementar y supervisar los módulos de IoT Edge a escala mediante Azure Portal o la CLI de Azure.