IoT Edge デバイスの機能をテストするためのデモ用の証明書を作成する

Windows デバイスでデモ証明書を作成するには、OpenSSL をインストールし、生成スクリプトを複製し、PowerShell でローカルで実行するように設定します。

OpenSSL のインストール

証明書の生成に使用するデバイスに OpenSSL for Windows をインストールします。 OpenSSL が既にインストールされている場合は、PATH 環境変数で openssl.exe を使用できることを確認します。

OpenSSL は、さまざまな方法でインストールできます。

• 簡単:サードパーティの OpenSSL バイナリを (たとえば、SourceForge の OpenSSL から) ダウンロードしてインストールします。 openssl.exe への完全なパスを PATH 環境変数に追加します。

• 推奨： OpenSSL ソース コードをダウンロードし、デバイスでバイナリをビルドするか、 vcpkg を使用します。 次の手順では、vcpkg を使用してソース コードをダウンロードし、コンパイルして、Windows デバイスに OpenSSL をインストールします。

  1. vcpkg をインストールするディレクトリに移動します。 指示に従って vcpkg インストーラーをダウンロードし、実行します。

  2. vcpkg がインストールされたら、PowerShell プロンプトから次のコマンドを実行して、Windows x64 用の OpenSSL パッケージをインストールします。 インストールが完了するまで、通常は約 5 分かかります。

     .\vcpkg install openssl:x64-windows
     

  3. ご自分の PATH 環境変数に <vcpkg path>\installed\x64-windows\tools\openssl を追加して、openssl.exe ファイルを呼び出せるようにします。

PowerShell でのスクリプトの準備

Azure IoT Edge の Git リポジトリには、テスト証明書の生成に使用できるスクリプトが含まれています。 このセクションでは、IoT Edge リポジトリを複製し、スクリプトを実行します。

1. 管理者モードで PowerShell を開きます。

2. デモ証明書を生成するスクリプトがある IoT Edge Git リポジトリを複製します。 git clone コマンドを使用するか、ZIP をダウンロードします。

   git clone https://github.com/Azure/iotedge.git
   

3. ディレクトリを作成し、そこに証明書スクリプトをコピーします。 このディレクトリには、すべての証明書ファイルとキー ファイルが作成されます。

   mkdir wrkdir
   cd .\wrkdir\
   cp ..\iotedge\tools\CACertificates\*.cnf .
   cp ..\iotedge\tools\CACertificates\ca-certs.ps1 .
   

   リポジトリを ZIP としてダウンロードした場合、フォルダー名は iotedge-master され、残りのパスは同じです。

4. スクリプトを実行するように PowerShell 実行ポリシーを設定します。

   Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser
   

5. スクリプトで使用される関数を PowerShell のグローバル名前空間にインポートします。

   . .\ca-certs.ps1
   

   PowerShell ウィンドウには、このスクリプトによって生成される証明書はテスト専用であり、運用環境のシナリオでは使用できないことを示す警告が表示されます。

6. OpenSSL が正しくインストールされていることを確認し、既存証明書と名前の競合がないことを確認します。 問題がある場合は、スクリプト出力に、システムで問題を修正する方法が記述されているはずです。

   Test-CACertsPrerequisites
   

Linux デバイスでデモ証明書を作成するには、生成スクリプトを複製し、bash でローカルに実行されるようにスクリプトを設定する必要があります。

1. デモ証明書を生成するスクリプトを含む IoT Edge Git リポジトリを複製します。

   git clone https://github.com/Azure/iotedge.git
   

2. ディレクトリを作成し、そこに証明書スクリプトをコピーします。 このディレクトリには、すべての証明書ファイルとキー ファイルが作成されます。

   mkdir wrkdir
   cd wrkdir
   cp ../iotedge/tools/CACertificates/*.cnf .
   cp ../iotedge/tools/CACertificates/certGen.sh .
   

1. 証明書生成スクリプトを配置する作業ディレクトリ wrkdir に移動します。

2. ルート CA 証明書を作成し、1 つの中間証明書に署名します。 証明書は作業ディレクトリに配置されます。

   New-CACertsCertChain rsa
   

   このスクリプトでは、複数の証明書ファイルとキー ファイルが作成されます。 記事で ルート CA 証明書を要求する場合は、次のファイルを使用します。

   certs\azure-iot-test-only.root.ca.cert.pem

1. 証明書生成スクリプトを配置する作業ディレクトリ wrkdir に移動します。

2. ルート CA 証明書と 1 つの中間証明書を作成します。

   ./certGen.sh create_root_and_intermediate
   

   このスクリプトでは、複数の証明書ファイルとキー ファイルが作成されます。 記事で ルート CA 証明書を要求する場合は、次のファイルを使用します。

   certs/azure-iot-test-only.root.ca.cert.pem

1. 証明書生成スクリプトとルート CA 証明書を含む作業ディレクトリ wrkdir に移動します。

2. 次のコマンドを使用して、IoT Edge デバイス ID 証明書と秘密キーを作成します。

   New-CACertsEdgeDeviceIdentity "<device-id>"
   

   このコマンドに入力する名前は、IoT Hub の IoT Edge デバイスのデバイス ID です。

3. 新しいデバイス ID コマンドでは、証明書とキーのファイルがいくつか作成されます。

   タイプ	ファイル	説明
   デバイス ID 証明書	certs\iot-edge-device-identity-<device-id>.cert.pem	先ほど生成した中間証明書で署名されます。 ID 証明書のみを含みます。 DPS 個別登録または IoT Hub プロビジョニング用の構成ファイルの中で指定します。
   完全なチェーン証明書	certs\iot-edge-device-identity-<device-id>-full-chain.cert.pem	中間証明書を含む完全な証明書チェーンが含まれます。 グループ登録プロビジョニング用に IoT Edge が DPS に提示する構成ファイルの中で指定します。
   秘密キー	private\iot-edge-device-identity-<device-id>.key.pem	デバイス ID 証明書に関連付けられる秘密キー。 DPS または IoT Hub になんらかの証明書認証 (サムプリントまたは CA) を使用する場合、構成ファイルの中で指定する必要があります。

1. 証明書生成スクリプトとルート CA 証明書がある作業ディレクトリ wrkdir に移動します。

2. 次のコマンドを使用して、IoT Edge デバイス ID 証明書と秘密キーを作成します。

   ./certGen.sh create_edge_device_identity_certificate "<device-id>"
   

   このコマンドに渡す名前が、IoT Hub の IoT Edge デバイス用のデバイス ID です。

3. スクリプトでは、複数の証明書とキー ファイルが作成されます。それには、DPS で個別登録を作成して IoT Edge ランタイムをインストールするときに使用する 2 つが含まれます。

   タイプ	ファイル	説明
   デバイス ID 証明書	certs/iot-edge-device-identity-<device-id>.cert.pem	先ほど生成した中間証明書で署名されます。 ID 証明書のみを含みます。 DPS 個別登録または IoT Hub プロビジョニング用の構成ファイルの中で指定します。
   完全なチェーン証明書	certs/iot-edge-device-identity-<device-id>-full-chain.cert.pem	中間証明書を含む完全な証明書チェーンが含まれます。 グループ登録プロビジョニング用に IoT Edge が DPS に提示する構成ファイルの中で指定します。
   秘密キー	private/iot-edge-device-identity-<device-id>.key.pem	デバイス ID 証明書に関連付けられる秘密キー。 DPS または IoT Hub になんらかの証明書認証 (サムプリントまたは CA) を使用する場合、構成ファイルの中で指定する必要があります。

1. 証明書生成スクリプトとルート CA 証明書がある作業ディレクトリ wrkdir に移動します。

2. 次のコマンドを使って、IoT Edge CA 証明書と秘密キーを作成します。 CA 証明書の名前を入力します。 New-CACertsEdgeDevice コマンドには、構成ファイルのホスト名パラメーターと同じ名前や IoT Hub のデバイスの ID を使用しないでください。

   New-CACertsEdgeDevice "<CA cert name>"
   

3. このコマンドでは、証明書とキーのファイルがいくつか作成されます。 次の証明書とキーのペアを IoT Edge デバイスにコピーし、構成ファイルで参照します。

   • certs\iot-edge-device-<CA cert name>-full-chain.cert.pem
   • private\iot-edge-device-<CA cert name>.key.pem

1. 証明書生成スクリプトとルート CA 証明書がある作業ディレクトリ に移動します。

2. 次のコマンドを使って、IoT Edge CA 証明書と秘密キーを作成します。 CA 証明書の名前を入力します。 create_edge_device_ca_certificate コマンドには、構成ファイルの hostname パラメーターや IoT Hub のデバイスの ID と同じ名前を使用しないでください。

   ./certGen.sh create_edge_device_ca_certificate "<CA cert name>"
   

3. このスクリプト コマンドでは、証明書とキーのファイルがいくつか作成されます。 次の証明書とキーのペアを IoT Edge デバイスにコピーし、構成ファイルで参照します。

   • certs/iot-edge-device-ca-<CA cert name>-full-chain.cert.pem
   • private/iot-edge-device-ca-<CA cert name>.key.pem

1. 証明書生成スクリプトとルート CA 証明書がある作業ディレクトリ wrkdir に移動します。

2. ダウンストリーム デバイス用に 2 つの証明書 (プライマリとセカンダリ) を作成します。 簡単に使える名前付け規則として、IoT デバイスの名前の後に primary または secondary のラベルを付けて証明書を作成します。 次に例を示します。

   New-CACertsDevice "<device ID>-primary"
   New-CACertsDevice "<device ID>-secondary"
   

   このスクリプト コマンドでは、証明書とキーのファイルがいくつか作成されます。 以下の証明書とキーのペアをダウンストリーム IoT デバイスにコピーし、IoT Hub に接続するアプリケーション内で、それらのペアを参照する必要があります。

   • certs\iot-device-<device ID>-primary-full-chain.cert.pem
   • certs\iot-device-<device ID>-secondary-full-chain.cert.pem
   • certs\iot-device-<device ID>-primary.cert.pem
   • certs\iot-device-<device ID>-secondary.cert.pem
   • certs\iot-device-<device ID>-primary.cert.pfx
   • certs\iot-device-<device ID>-secondary.cert.pfx
   • private\iot-device-<device ID>-primary.key.pem
   • private\iot-device-<device ID>-secondary.key.pem

3. 各証明書から SHA1 サムプリント (IoT Hub のコンテキストではサムプリントと呼ばれます) を取得します。 サムプリントは、40 文字の 16 進数文字列です。 次の openssl コマンドを使用して、証明書を表示し、サムプリントを見つけます。

   Write-Host (Get-Pfxcertificate -FilePath certs\iot-device-<device name>-primary.cert.pem).Thumbprint
   

   このコマンドは 2 回実行します。1 回目はプライマリ証明書、2 回目はセカンダリ証明書に対して実行します。 自己署名 X.509 証明書を使用して新しい IoT デバイスを登録する場合は、両方の証明書のサムプリントを指定します。

1. 証明書生成スクリプトとルート CA 証明書がある作業ディレクトリ に移動します。

2. ダウンストリーム デバイス用に 2 つの証明書 (プライマリとセカンダリ) を作成します。 簡単に使える名前付け規則として、IoT デバイスの名前の後に primary または secondary のラベルを付けて証明書を作成します。 次に例を示します。

   ./certGen.sh create_device_certificate "<device name>-primary"
   ./certGen.sh create_device_certificate "<device name>-secondary"
   

   このスクリプト コマンドでは、証明書とキーのファイルがいくつか作成されます。 以下の証明書とキーのペアをダウンストリーム IoT デバイスにコピーし、IoT Hub に接続するアプリケーション内で、それらのペアを参照する必要があります。

   • certs/iot-device-<device name>-primary-full-chain.cert.pem
   • certs/iot-device-<device name>-secondary-full-chain.cert.pem
   • certs/iot-device-<device name>-primary.cert.pem
   • certs/iot-device-<device name>-secondary.cert.pem
   • certs/iot-device-<device name>-primary.cert.pfx
   • certs/iot-device-<device name>-secondary.cert.pfx
   • private/iot-device-<device name>-primary.key.pem
   • private/iot-device-<device name>-secondary.key.pem

3. 各証明書から SHA1 サムプリント (IoT Hub のコンテキストではサムプリントと呼ばれます) を取得します。 サムプリントは、40 文字の 16 進数文字列です。 次の openssl コマンドを使用して、証明書を表示し、サムプリントを見つけます。

   openssl x509 -in certs/iot-device-<device name>-primary.cert.pem -text -thumbprint | sed 's/[:]//g'
   

   自己署名 X.509 証明書を使用して新しい IoT デバイスを登録する場合は、プライマリとセカンダリの両方のサムプリントを指定します。

1. 作業ディレクトリからルート CA 証明書ファイル certs\azure-iot-test-only.root.ca.cert.pem をお使いの IoT ハブにアップロードします。

2. 自動検証を選択していない場合は、Azure portal で提供されているコードを使用して、そのルート CA 証明書を所有していることを確認します。

   New-CACertsVerificationCert "<verification code>"
   

3. お使いのダウンストリーム デバイスに証明書チェーンを作成します。 IoT Hub でデバイスの登録に使われたのと同じデバイス ID を使用します。

   New-CACertsDevice "<device id>"
   

   このスクリプト コマンドでは、証明書とキーのファイルがいくつか作成されます。 以下の証明書とキーのペアをダウンストリーム IoT デバイスにコピーし、IoT Hub に接続するアプリケーション内で、それらのペアを参照する必要があります。

   • certs\iot-device-<device id>.cert.pem
   • certs\iot-device-<device id>.cert.pfx
   • certs\iot-device-<device id>-full-chain.cert.pem
   • private\iot-device-<device id>.key.pem

1. 作業ディレクトリからルート CA 証明書ファイル certs\azure-iot-test-only.root.ca.cert.pem をお使いの IoT ハブにアップロードします。

2. 自動検証を選択していない場合は、Azure portal で提供されているコードを使用して、そのルート CA 証明書を所有していることを確認します。

   ./certGen.sh create_verification_certificate "<verification code>"
   

3. お使いのダウンストリーム デバイスに証明書チェーンを作成します。 IoT Hub でデバイスの登録に使われたのと同じデバイス ID を使用します。

   ./certGen.sh create_device_certificate "<device id>"
   

   このスクリプト コマンドでは、証明書とキーのファイルがいくつか作成されます。 以下の証明書とキーのペアをダウンストリーム IoT デバイスにコピーし、IoT Hub に接続するアプリケーション内で、それらのペアを参照する必要があります。

   • certs/iot-device-<device id>.cert.pem
   • certs/iot-device-<device id>.cert.pfx
   • certs/iot-device-<device id>-full-chain.cert.pem
   • private/iot-device-<device id>.key.pem