Azure IoT Edge セキュリティマネージャー

2025-06-05

適用対象: IoT Edge 1.5

重要

IoT Edge 1.5 LTS は、サポートされているリリースです。 IoT Edge 1.4 LTS は、2024 年 11 月 12 日をもってサポートが終了しています。以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

Azure IoT Edge セキュリティマネージャーは、セキュリティで保護されたシリコンハードウェアを抽象化することによって IoT Edge デバイスとそのコンポーネントを保護する、適切な境界付きセキュリティコアです。セキュリティマネージャーは、セキュリティ強化に重点を置き、OEM (Oem) にテクノロジ統合ポイントを提供します。

セキュリティマネージャーは、IoT Edge デバイス上のセキュリティで保護されたシリコンハードウェアを抽象化し、追加のセキュリティサービスのための拡張性フレームワークを提供します。

IoT Edge セキュリティマネージャーは、IoT Edge デバイスとそのソフトウェア操作の整合性を保護します。セキュリティマネージャーは、基になる信頼のハードウェアルートハードウェア (ある場合) から信頼を移行して、IoT Edge ランタイムをブートストラップし、進行中の操作を監視します。 IoT Edge セキュリティマネージャーは、セキュリティで保護されたシリコンハードウェア (使用可能な場合) と連携して、可能な限り最高のセキュリティ保証を提供します。

IoT Edge セキュリティマネージャーは、ホストレベルのモジュールを介してセキュリティサービス拡張機能用の安全なフレームワークも提供します。これらのサービスには、一部のデバイスコンポーネントへの特権アクセス権を持つデバイス内のエージェントを必要とするセキュリティ監視と更新が含まれます。拡張性フレームワークにより、これらの統合によってシステム全体のセキュリティが常に維持されます。

IoT Edge セキュリティマネージャーは、次のようなタスクを担当します。

Azure IoT Edge デバイスの初期設定
公証人サービスを使用して、信頼のデバイスハードウェアルートへのアクセスを制御する
実行時に IoT Edge 操作の整合性を監視する
デバイス ID をプロビジョニングし、必要に応じて信頼の移行を管理する
Device Update for IoT Hub や Microsoft Defender for IoT などのサービスのクライアントエージェントが安全に実行されていることを確認する

IoT Edge セキュリティマネージャーには、次の 3 つのコンポーネントがあります。

IoT Edge モジュールランタイム
PKCS#11 やトラステッドプラットフォームモジュール (TPM) などの標準実装によるハードウェアセキュリティモジュール (HSM) の抽象化
ハードウェアシリコンルートオブトラストまたは HSM（任意ですが、強く推奨します）

バージョン 1.2 以降の変更点

バージョン 1.0 および 1.1 の IoT Edge では、セキュリティデーモンと呼ばれるコンポーネントによって 、セキュリティ マネージャーの論理セキュリティ操作が管理されます。バージョン 1.2 では、いくつかの重要な責任が Azure IoT Identity Service セキュリティサブシステムに移行します。これらのセキュリティタスクがセキュリティデーモンから移動した後、その名前がそのロールに適合しません。このコンポーネントがバージョン 1.2 以降で実行する内容をよりよく反映するために、 モジュールランタイムに名前が変更されます。

IoT Edge モジュールランタイム

IoT Edge モジュールランタイムは、IoT Edge コンテナーのランタイム環境を保護するために、Azure IoT ID サービスセキュリティサブシステムから信頼を委任します。現在、Azure IoT ID サービスに委任されているサービスの 1 つが、EST サーバーを介した証明書の自動登録および更新サービスです。この仕組みを確認し、IoT Edge デバイス用に作成されたサンプル EST サーバーを作成するには、チュートリアルの「Azure IoT Edge 用の Secure Transport Server 経由の登録を構成する」を試してみてください。

モジュールランタイムは、セキュリティマネージャーの論理的なセキュリティ操作を担当します。これは、IoT Edge デバイスの信頼できるコンピューティングベースの重要な部分を表します。モジュールランタイムは IoT ID サービスのセキュリティサービスを使用し、これがさらに、デバイスの製造元のハードウェアセキュリティモジュール (HSM) の選択によってセキュリティ強化されます。デバイスのセキュリティ強化には HSM の使用を強くお勧めします。

設計原則

IoT Edge は、動作の整合性の最大化と、肥大化およびチャーンの最小化という 2 つの中核の原則に従います。

動作の整合性を最大にする

IoT Edge モジュールランタイムは、いずれか特定の信頼のルートハードウェアの防御機能内で、考えられる最も高い整合性で動作します。適切な統合により、信頼のルートハードウェアは、静的および実行時にセキュリティデーモンを測定および監視して改ざんを防ぎます。

デバイスへの悪意のある物理的なアクセスは、常に IoT での脅威です。信頼のハードウェアルートは、IoT Edge デバイスの整合性の防御において重要な役割を果たします。信頼のハードウェアルートには、次の 2 種類があります。

シークレットや暗号化キーなどの、機密情報の保護のためのセキュリティで保護された要素。
キーなどのシークレット、または機密の機械学習モデルや測定操作などの機密性の高いワークロードの保護のためのセキュリティで保護されたエンクレーブ。

信頼のハードウェアルートを利用するために、次の 2 種類の実行環境があります。

機密情報の保護をセキュリティで保護された要素の使用に依存する標準またはリッチ実行環境 (REE)。
機密情報の保護およびソフトウェア実行に対する保護の提供をセキュリティで保護されたエンクレーブテクノロジの使用に依存する、信頼できる実行環境 (TEE)。

信頼のハードウェアルートとしてセキュリティで保護されたエンクレーブを使用するデバイスの場合、IoT Edge モジュールランタイム内の機密性の高いロジックはエンクレーブ内に存在する必要があります。モジュールランタイムの機密性の低い部分は、TEE の外部に存在できます。いずれの場合も、相手先ブランド設計製造 (ODM) や相手先ブランド製造 (OEM) では、その HSM の信頼を拡張して、起動時と実行時に IoT Edge モジュールランタイムの整合性を測定して防御することを強くお勧めします。

肥大化とチャーンを最小にする

IoT Edge モジュールランタイムのもう 1 つの中核の原則は、チャーンを最小限に抑えることです。最も高いレベルの信頼のために、IoT Edge モジュールランタイムは信頼のデバイスハードウェアルートと緊密に結合し、ネイティブコードとして動作できます。これらの場合は、困難な場合があるオペレーティングシステムの更新メカニズムではなく、信頼のハードウェアルートのセキュリティで保護された更新パスを使用して IoT Edge ソフトウェアを更新することが一般的です。 IoT デバイスにはセキュリティの更新が推奨されますが、過剰な更新要件または大きな更新ペイロードによって、脅威にさらされる面が多くの点で拡張される場合があります。たとえば、デバイスの可用性を最大化するために、いくつかの更新をスキップしたくなる場合があります。そのため、IoT Edge モジュールランタイムの設計は、適切に分離されたトラステッドコンピューティングベースを小さく維持して頻繁な更新を促進するように簡潔になっています。

アーキテクチャ

IoT Edge モジュールランタイムは、セキュリティ強化のために、使用可能な任意の信頼のハードウェアルートテクノロジを利用します。ハードウェアテクノロジによって、信頼できる実行環境 (TEE) が提供される場合は、標準/リッチ実行環境 (REE) と信頼できる実行環境の間の分割動作も可能となっています。ロール固有のインターフェイスによって、IoT Edge の主要コンポーネントは、IoT Edge デバイスとその動作の整合性を確保できます。

Azure IoT Edge モジュールランタイムのアーキテクチャ

クラウドインターフェイス

クラウドインターフェイスを使用すると、デバイスセキュリティを補完するクラウドサービスへのアクセスが可能になります。たとえば、このインターフェイスでは、デバイス ID のライフサイクル管理のために Device Provisioning Service へのアクセスが許可されます。

管理 API

管理 API は、IoT Edge モジュールの作成/起動/停止/削除時に IoT Edge エージェントによって呼び出されます。このモジュールランタイムでは、すべてのアクティブなモジュールの "登録" を格納します。これらの登録によって、モジュールの ID がそのモジュールの一部のプロパティにマップされます。たとえば、これらのモジュールプロパティには、コンテナーで実行されているプロセスのプロセス識別子 (pid) や、Docker コンテナーの内容のハッシュが含まれます。

これらのプロパティは、呼び出し元がアクションを許可されていることを確認するために、ワークロード API によって使用されます。

管理 API は特権を持つ API であり、IoT Edge エージェントからのみ呼び出すことができます。 IoT Edge モジュールランタイムは IoT Edge エージェントをブートストラップして起動するため、IoT Edge エージェントが改ざんされていないことを確認した後に、IoT Edge エージェントの暗黙的な登録を作成できます。ワークロード API が使用するものと同じ構成証明プロセスによって、管理 API へのアクセスが IoT Edge エージェントだけに制限されます。

コンテナー API

コンテナー API は、モジュール管理に使用されているコンテナーシステム (Moby や Docker など) と対話します。

ワークロード API

ワークロード API は、すべてのモジュールからアクセスできます。これが、HSM ルート化署名付きトークンまたは X509 証明書のいずれかで ID の証明を提供し、対応する信頼バンドルをモジュールに提供します。信頼バンドルには、モジュールが信頼する必要のある他のすべてのサーバーの CA 証明書が含まれています。

IoT Edge モジュールランタイムは、構成証明プロセスを使用して、この API を保護します。モジュールがこの API を呼び出すと、モジュールランタイムは、その ID の登録を見つけようとします。見つかった場合は、登録のプロパティを使ってモジュールを測定します。測定プロセスの結果が登録と一致する場合は、新しい ID の証明が生成されます。モジュールには、対応する CA 証明書 (信頼バンドル) が返されます。モジュールは、この証明書を使って、IoT Hub や他のモジュールに接続したり、サーバーを起動したりします。署名付きトークンまたは証明書の有効期限が近づいたときは、モジュールが新しい証明書を要求する必要があります。

統合とメンテナンス

Microsoft は、GitHub 上の IoT Edge モジュールランタイムと Azure IoT ID サービスのメインコードベースを保持しています。

IoT Edge のコードベースを読み取る場合は、モジュールランタイムがセキュリティデーモンから進化したことに注意してください。このコードベースには、セキュリティデーモンへの参照が引き続き含まれている可能性があります。

インストールと更新

IoT Edge モジュールランタイムのインストールと更新は、オペレーティングシステムのパッケージ管理システムを使用して管理されます。信頼のハードウェアルートを備えた IoT Edge デバイスでは、そのライフサイクルをセキュアブートと更新管理システムで管理することによって、モジュールランタイムの整合性がさらに強化されます。デバイスの製造元は、それぞれのデバイス機能に基づいて、これらの手段を検討する必要があります。

バージョン管理

IoT Edge ランタイムは、IoT Edge モジュールランタイムのバージョンを追跡して報告します。バージョンは、IoT Edge エージェントモジュールが報告するプロパティの runtime.platform.version 属性として報告されます。

ハードウェアセキュリティモジュール

IoT Edge セキュリティマネージャーは、トラステッドプラットフォームモジュールと PKCS#11 インターフェイス標準を使用して、ハードウェアセキュリティモジュール (HSM) を統合します。これらの標準を使用すると、独自のインターフェイスを含め、ほぼすべての HSM を統合できます。 HSM を使用してセキュリティを強化します。

信頼のセキュアシリコンルートハードウェア

IoTエッジデバイスのハードウェアにおけるセキュアなシリコンアンカーは信頼を根底から支えます。セキュアシリコンには、トラステッドプラットフォームモジュール (TPM)、埋め込み Secure Element (eSE)、Arm TrustZone、Intel SGX、およびカスタムセキュアシリコンテクノロジが含まれます。 IoT デバイスへの物理的なアクセスに伴う脅威が原因で、セキュリティで保護された信頼のシリコンルートをデバイスで使用することが重要です。

IoT Edge セキュリティマネージャーは、カスタム強化のために Azure IoT Edge プラットフォームのセキュリティと整合性を保護するコンポーネントを識別して分離します。デバイスメーカーやその他のサードパーティは、デバイスハードウェアで使用できるカスタムセキュリティ機能を使用できます。

ソフトウェアまたは仮想 TPM を使用して、トラステッドプラットフォームモジュール (TPM) を使用して Azure IoT セキュリティマネージャーを強化する方法について説明します。

Linux または Linux on Windows で、仮想 TPM を使用する IoT Edge デバイスを作成し、プロビジョニングします。

次のステップ

IoT Edge デバイスのセキュリティ保護の詳細については、次のブログ記事を参照してください。

次の方法で共有

Azure IoT Edge セキュリティ マネージャー