対称キーを使用して Linux で大規模な IoT Edge デバイスを作成してプロビジョニングする

2025-05-20

適用対象: IoT Edge 1.5

重要

IoT Edge 1.5 LTS は、サポートされているリリースです。 IoT Edge 1.4 LTS は、2024 年 11 月 12 日をもってサポートが終了しています。以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

この記事では、対称キーを使用して 1 つ以上の Linux IoT Edge デバイスを設定する手順について説明します。 Azure IoT Hub デバイスプロビジョニングサービス (DPS) を使用して Azure IoT Edge デバイスを自動的に設定します。自動プロビジョニングプロセスに慣れていない場合は、続行する前にプロビジョニングの概要を確認してください。

主なタスクを次に示します。

1 つのデバイスに対して個別登録を作成するか、一連のデバイスの グループ登録 を作成します。
IoT Edge ランタイムをインストールし、IoT Hub に接続する。

ヒント

簡素化されたエクスペリエンスのために、Azure IoT Edge 構成ツールをお試しください。現在パブリックプレビュー中のこのコマンドラインツールは、デバイスに IoT Edge をインストールし、DPS と対称キーの構成証明を使用してプロビジョニングします。

対称キー構成証明は、デバイスプロビジョニングサービスインスタンスを使用してデバイスを認証する簡単な方法です。この方法は、デバイスのプロビジョニングを初めて使用する開発者、または厳密なセキュリティ要件がない開発者向けの "Hello world" エクスペリエンスです。 TPM または X.509 証明書を使用したデバイス構成証明の方が安全性が高く、より厳格なセキュリティニーズに使用する必要があります。

前提条件

クラウドリソース

アクティブな IoT ハブ
自分の IoT ハブにリンクされた、Azure 内の IoT Hub デバイスプロビジョニングサービスのインスタンス
- デバイスプロビジョニングサービスのインスタンスをお持ちでない場合は、IoT Hub デバイスプロビジョニングサービスクイックスタートの「新しい IoT Hub デバイスプロビジョニングサービスの作成」および「IoT ハブとデバイスプロビジョニングサービスとをリンクさせる」の手順に従ってください。
- Device Provisioning Service を実行した後、概要ページから [ID スコープ] の値をコピーします。この値は、IoT Edge ランタイムを構成するときに使用します。

デバイスの要件

物理または仮想 Linux デバイスを IoT Edge デバイスとして使用します。

各デバイスを識別する一意の登録 ID を定義します。 MAC アドレス、シリアル番号、またはデバイスからの一意の情報を使用します。たとえば、MAC アドレスとシリアル番号を組み合わせて、 sn-007-888-abc-mac-a1-b2-c3-d4-e5-f6などの登録 ID を形成します。有効な文字は、小文字の英字、数字、ダッシュ (-) です。

DPS の登録を作成する

DPS を介して 1 つ以上のデバイスをプロビジョニングする登録を作成します。

単一の IoT Edge デバイスをプロビジョニングする方法を求めている場合は、個別の登録を作成します。複数のデバイスをプロビジョニングする必要がある場合は、DPS グループ登録を作成する手順に従います。

DPS 内に登録を作成するときに、デバイスツインの初期状態を宣言する機会があります。デバイスツインでは、ソリューションで必要な任意のメトリック (リージョン、環境、場所、デバイスの種類など) によってデバイスをグループ化するためのタグを設定できます。これらのタグは、自動展開を作成するために使用されます。

デバイスプロビジョニングサービスでの登録の詳細については、デバイス登録の管理方法に関するページをご覧ください。

個別登録
グループ登録

DPS 個別登録を作成する

ヒント

この記事の手順は Azure portal 向けですが、Azure CLI を使用して個別登録を作成することもできます。詳細については、az iot dps enrollment を参照してください。この CLI コマンドの一部として、edge-enabled フラグを使用して、登録の対象が IoT Edge デバイスであることを指定します。

Azure portal で、IoT Hub Device Provisioning Service のインスタンスに移動します。
[設定] の下の [登録の管理] を選択します。
[Add individual enrollment]$個別登録の追加$ を選択し、登録を構成する次の手順を完了します。
1. [メカニズム] で [対称キー] を選択します。
2. デバイスの一意の登録 ID を指定します。
3. 必要に応じて、デバイスの IoT Hub デバイス ID を指定します。デバイス ID を使用して、個々のデバイスをモジュール展開のターゲットにすることができます。デバイス ID を指定しなかった場合は、登録 ID が使用されます。
4. [True] を選択して、その登録が IoT Edge デバイス用のものであることを宣言します。
5. 必要に応じて、[デバイスツインの初期状態] にタグ値を追加します。タグを使用して、デバイスグループをモジュール展開のターゲットにすることができます。次に例を示します。
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
6. [保存] を選択します。
IoT Edge ランタイムのインストール時に使用する個別登録の主キーの値をコピーします。

これで、このデバイスの登録が存在しているので、IoT Edge ランタイムによってインストール時にデバイスを自動的にプロビジョニングできます。

DPS グループ登録を作成する

ヒント

この記事の手順は Azure portal 向けですが、Azure CLI を使用してグループ登録を作成することもできます。詳細については、az iot dps enrollment-group を参照してください。この CLI コマンドの一部として、edge-enabled フラグを使用して、登録の対象が IoT Edge デバイスであることを指定します。グループ登録の場合、すべてのデバイスを IoT Edge デバイスにする必要があります。そうしない場合、いずれも IoT Edge デバイスにすることはできません。

Azure portal で、IoT Hub Device Provisioning Service のインスタンスに移動します。
[設定] の下の [登録の管理] を選択します。
[Add individual enrollment]$個別登録の追加$ を選択し、登録を構成する次の手順を完了します。
1. [グループ名] を指定します。
2. 構成証明の種類として [対称キー] を選択します。
3. [True] を選択して、その登録が IoT Edge デバイス用のものであることを宣言します。グループ登録の場合、すべてのデバイスを IoT Edge デバイスにする必要があります。そうしない場合、いずれも IoT Edge デバイスにすることはできません。
4. 必要に応じて、[デバイスツインの初期状態] にタグ値を追加します。タグを使用して、デバイスグループをモジュール展開のターゲットにすることができます。次に例を示します。
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
5. [保存] を選択します。
グループ登録で使用するデバイスキーを作成するときに使用する、登録グループの主キーの値をコピーします。

これで、登録グループが存在しているので、IoT Edge ランタイムによってインストール時にデバイスを自動的にプロビジョニングできます。

デバイスキーを派生させる

グループ登録の一部としてプロビジョニングされる各デバイスには、プロビジョニング中に登録で対称キー構成証明を実行するために、派生デバイスキーが必要です。

デバイスキーを生成するには、DPS 登録グループからコピーしたキーを使用して、デバイスに対する一意の登録 ID の HMAC-SHA256 を計算し、結果を Base64 形式に変換します。

重要

デバイスコードには、登録の主キーやセカンダリキーを含めないでください。

Windows では、次の例に示すように、PowerShell を使用して派生デバイスキーを生成することができます。

KEY の値を、前に書き留めた主キーで置き換えます。

REG_ID の値をデバイスの登録 ID に置き換えます。

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

派生デバイスキーの出力例を次に示します。

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

IoT Edge をインストールする

このセクションでは、Linux 仮想マシンまたは IoT Edge の物理デバイスを準備します。次に、IoT Edge をインストールします。

次のコマンドを実行してパッケージリポジトリを追加し、信頼できるキーの一覧に Microsoft パッケージ署名キーを追加します。

重要

2022 年 6 月 30 日、Raspberry Pi OS Stretch は階層 1 OS サポートリストから廃止されました。潜在的なセキュリティの脆弱性を回避するには、ホスト OS を Bullseye に更新します。

レベル 2 でサポートされているプラットフォームオペレーティングシステムの場合、インストールパッケージは、Azure IoT Edge リリースから入手できます。「オフラインまたは特定のバージョンのインストール (省略可能)」のインストール手順を参照してください。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

24.04:

wget https://packages.microsoft.com/config/ubuntu/24.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

22.04:

wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

20.04:

wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

APT を使用したインストールは、少ないコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

12 - ブックワーム (arm32v7):

curl https://packages.microsoft.com/config/debian/12/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

11 - Bullseye (arm32v7):

curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

ヒント

OS のインストール中に "root" アカウントにパスワードを指定した場合、'sudo' は必要ありません。'apt' から始めて前のコマンドを実行できます。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

9.x (amd64):

  wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

8.x (amd64):

  wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

オペレーティングシステムのバージョンの詳細については、「Azure IoT Edge でサポートされているプラットフォーム」を参照してください。

注

Azure IoT Edge ソフトウェアパッケージには、パッケージ内にあるライセンス条項 (usr/share/doc/{package-name} または LICENSE ディレクトリ) が適用されます。パッケージを使用する前に、ライセンス条項をお読みください。インストールし、パッケージを使用すると、これらの条項に同意したものと見なされます。ライセンス条項に同意しない場合は、そのパッケージを使用しないでください。

コンテナーエンジンをインストールする

Azure IoT Edge は、OCI と互換性のあるコンテナーランタイムに依存します。運用環境のシナリオでは、Moby エンジンを使用することをお勧めします。 Moby エンジンは、IoT Edge で公式にサポートされているコンテナーエンジンです。 Docker CE/EE コンテナーイメージは、Moby ランタイムと互換性があります。 Ubuntu Core スナップを使用している場合、Docker スナップは Canonical によって処理され、運用シナリオでサポートされます。

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンと CLI をインストールします。

sudo yum install moby-engine moby-cli

ヒント

Moby コンテナーエンジンをインストールするときにエラーが発生する場合は、Linux カーネルに Moby との互換性があることを確認します。埋め込みデバイスの一部の製造元からは、コンテナーエンジンとの互換性のために必要な機能を備えていないカスタム Linux カーネルを含むデバイスイメージが提供されています。 Moby から提供されている check-config スクリプトを使用する次のコマンドを実行して、カーネルの構成を確認します。

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

スクリプトの出力で、Generally Necessary と Network Drivers の下のすべての項目が有効になっていることを確認します。機能が欠けている場合は、カーネルをソースから再構築し、カーネルの適切な .config に含める関連モジュールを選択することで、それらを有効にします。同様に、defconfig や menuconfig などのカーネル構成ジェネレーターを使用している場合は、それぞれの機能を見つけて有効にし、ご自分のカーネルを適宜再構築します。新しく変更したカーネルをデプロイした後、check-config スクリプトをもう一度実行して、必要なすべての機能が正常に有効になっていることを確認します。

IoT Edge には、Docker と IoT ID サービスへの依存関係があります。次のコマンドを使って、依存関係をインストールします。

sudo snap install docker
sudo snap install azure-iot-identity

Docker スナップは Canonical によって提供され、運用シナリオでサポートされます。

既定では、コンテナーエンジンによってコンテナーログサイズの制限は設定されません。時間の経過と共に、この状況により、デバイスがログでいっぱいになり、ディスク領域が不足する可能性があります。ただし、ローカルに表示するようにログを構成することはできますが、省略しても構いません。ログ記録の構成の詳細については、「運用環境で IoT Edge ソリューションをデプロイする準備」を参照してください。

次の手順では、ログメカニズムとして local ログドライバーを使用するようにコンテナーを構成する方法を示します。

Ubuntu、Debian、RHEL
Ubuntu Core スナップ

既存の Docker デーモンの構成ファイルを作成または編集します
```
sudo nano /etc/docker/daemon.json
```
例で示すように、既定のログドライバーを local ログドライバーに設定します。
```
   {
      "log-driver": "local"
   }
```
コンテナーエンジンを再起動して、変更を有効にします。
```
sudo systemctl restart docker
```

IoT Edge ランタイムをインストールする

IoT Edge サービスによって、IoT Edge デバイス上にセキュリティ標準が提供されて維持されます。サービスは起動のたびに開始され、IoT Edge ランタイムの残りの部分を開始することでデバイスをブートストラップします。

注

バージョン 1.2 以降、 Azure IoT ID サービスは、IoT Edge および IoT Hub と通信する必要があるその他のデバイスコンポーネントの ID プロビジョニングと管理を処理します。

このセクションの手順では、インターネットに接続されているデバイスに最新バージョンの IoT Edge をインストールする一般的なプロセスが示されています。プレリリースバージョンなどの特定のバージョンをインストールする必要がある場合、またはオフライン時にインストールする必要がある場合は、この記事の後半の 「オフラインまたは特定のバージョンのインストール 手順」に従ってください。

ヒント

古いバージョンを実行している IoT Edge デバイスが既にあり、最新リリースにアップグレードする場合は、「 IoT Edge を更新する」の手順を使用します。それ以降のバージョンは、以前のバージョンの IoT Edge と十分に異なるため、アップグレードには特定の手順が必要です。

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

22.04:

sudo apt-get update; \
   sudo apt-get install aziot-edge

20.04:

sudo apt-get update; \
   sudo apt-get install aziot-edge

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

sudo apt-get update; \
  sudo apt-get install aziot-edge

(まだ最新の状態でない場合) 最新バージョンの IoT Edge と IoT ID サービスパッケージをインストールします。

sudo yum install aziot-edge

スナップストアから IoT Edge をインストールします。

sudo snap install azure-iot-edge

スナップを接続する

既定では、スナップは依存関係がなく、信頼されておらず、厳密に制限されています。そのため、インストールの後で、スナップを他のスナップやシステムリソースに接続する必要があります。次のコマンドを使って、IoT ID サービスと IoT Edge スナップを相互に、およびシステムリソースと接続します。始めるには、スナップを手動で接続する必要があります。運用環境のデプロイでは、それらを自動的に接続するように構成して、プロビジョニングの作業量を減らすことができます。

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

クラウド ID を使用してデバイスをプロビジョニングする

ランタイムがデバイスにインストールされたら、デバイスプロビジョニングサービスと IoT Hub に接続するための情報を使用してデバイスを構成します。

次の情報を用意しておきます。

DPS の ID スコープ値
作成したデバイス登録 ID
個別登録の主キー、またはグループ登録を使用するデバイスの派生キーのいずれか。

IoT Edge のインストールの一部として提供されるテンプレートファイルに基づいて、デバイスの構成ファイルを作成します。

Ubuntu、Debian、RHEL
Ubuntu Core スナップ

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

IoT Edge デバイスで構成ファイルを開きます。

sudo nano /etc/aziot/config.toml

IoT Edge のスナップインストールを使用する場合、テンプレートファイルは /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.templateにあります。テンプレートファイルをホームディレクトリにコピーし、config.toml という名前を付けます。次に例を示します。

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

IoT Edge デバイスのホームディレクトリで構成ファイルを開きます。

nano ~/config.toml

ファイルのプロビジョニング セクションを見つけます。対称キーを使った DPS プロビジョニング用の行のコメントを解除し、他のすべてのプロビジョニング行はコメントアウトされていることを確認してください。

# DPS provisioning with symmetric key
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "PASTE_YOUR_SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "symmetric_key"
registration_id = "PASTE_YOUR_REGISTRATION_ID_HERE"

symmetric_key = { value = "PASTE_YOUR_PRIMARY_KEY_OR_DERIVED_KEY_HERE" }

# auto_reprovisioning_mode = Dynamic

id_scope、registration_id、symmetric_key の値を DPS およびデバイス情報で更新します。

対称キーパラメーターは、インラインキー、ファイル URI、または PKCS#11 URI を受け取ることができます。使用する形式に基づいて、1 つの対称キー行のみをコメント解除します。インラインキーを使用する場合は、例のように base64 でエンコードされたキーを使用します。ファイル URI を使用する場合、ファイルにはキーの生バイトが含まれている必要があります。

PKCS#11 URI を使用する場合は、構成ファイルで PKCS#11 セクションを見つけて、PKCS#11 構成情報を入力します。

プロビジョニング構成設定の詳細については、「IoT Edge デバイスの設定を構成する」を参照してください。
必要に応じて、ファイルの自動再プロビジョニングモードセクションを見つけます。 auto_reprovisioning_mode パラメーターを使用して、デバイスの再プロビジョニング動作を設定します。動的 - ある IoT Hub から別の IoT Hub に移動できることをデバイスが検出した場合に再プロビジョニングします。これが既定です。 AlwaysOnStartup - デバイスが再起動されたとき、またはクラッシュによってデーモンが再起動されたときに再プロビジョニングします。 OnErrorOnly - デバイスの再プロビジョニングを自動的にトリガーしません。接続エラーが原因で ID プロビジョニング中にデバイスが IoT Hub に接続できない場合、各モードには暗黙的なデバイス再プロビジョニングフォールバックがあります。詳細については、「IoT Hub デバイスの再プロビジョニングの概念」を参照してください。
必要に応じて、payload パラメーターのコメントを解除して、ローカル JSON ファイルへのパスを指定します。デバイスが登録されると、ファイルの内容が追加データとして DPS に送信されます。これは、カスタム割り当てに役立ちます。たとえば、人間の介入なしに IoT プラグアンドプレイモデル ID に基づいてデバイスを割り当てる場合などです。
ファイルを保存して閉じます。
デバイスで行った構成変更を適用します。
- Ubuntu、Debian、RHEL
- Ubuntu Core スナップ
```
sudo iotedge config apply
```
```
sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"
```

正常にインストールされたことを確認する

ランタイムが正常に起動した場合は、IoT Hub に移動し、デバイスへの IoT Edge モジュールのデプロイを開始します。

個別登録
グループ登録

デバイスプロビジョニングサービスで作成した個々の登録が使用されていることを確認します。 Azure portal で Device Provisioning Service インスタンスに移動します。作成した個別登録の詳細を開きます。登録の状態が 割り当てられ、デバイス ID が一覧表示されます。

デバイスで次のコマンドを実行して、IoT Edge が正常にインストールされて開始されることを確認します。

IoT Edge サービスの状態を確認します。
```
sudo iotedge system status
```
サービスログを表示します。
```
sudo iotedge system logs
```
実行中のモジュールを一覧表示します。
```
sudo iotedge list
```

次のステップ

デバイスプロビジョニングサービスの登録プロセスでは、新しいデバイスを設定するときにデバイス ID とデバイスツインタグを設定できます。これらの値を使用して、デバイスの自動管理を使用して個々のデバイスまたはデバイスのグループをターゲットにします。 Azure portal または Azure CLI を使用して、大規模な IoT Edge モジュールをデプロイおよび監視する方法について説明します。

次の方法で共有

対称キーを使用して Linux で大規模な IoT Edge デバイスを作成してプロビジョニングする

前提条件

クラウド リソース

デバイスの要件

DPS の登録を作成する

DPS 個別登録を作成する

IoT Edge をインストールする

コンテナー エンジンをインストールする

IoT Edge ランタイムをインストールする

クラウド ID を使用してデバイスをプロビジョニングする

正常にインストールされたことを確認する

次のステップ

フィードバック

その他のリソース

クラウドリソース

コンテナーエンジンをインストールする