使用 X.509 憑證在 Linux 上大規模地建立和佈建 IoT Edge 裝置

建立 DPS 個別註冊

個別註冊會採用裝置身分識別憑證的公開部分，並將這個部分與裝置上的憑證進行比對。

1. 在 Azure 入口網站中，導覽至 IoT 中樞裝置佈建服務的執行個體。

2. 在 [設定] 下方，選取 [管理註冊]。

3. 選取 [新增個別註冊]，然後完成下列步驟以設定註冊：

   • 機制：選取 [X.509]。

   • 主要憑證 .pem 或 .cer 檔案：上傳裝置身分識別憑證中的公開檔案。 如果您使用指令碼來產生測試憑證，請選擇下列檔案：

     <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

   • IoT 中樞裝置識別碼：視需要提供裝置的識別碼。 您可以使用裝置識別碼，將個別裝置設為模組部署的目標。 如果您未提供裝置識別碼，則系統會使用 X.509 憑證中的通用名稱 (CN)。

   • IoT Edge 裝置：選取 [True] 以宣告註冊適用於 IoT Edge 裝置。

   • 選取可作為此裝置指派目標的 IoT 中樞：選擇您要將裝置連線到的已連結 IoT 中樞。 您可以選擇多個中樞，然後系統會根據所選取的配置原則，將裝置指派給其中一個中樞。

   • 初始裝置對應項狀態：視需要新增要新增至裝置對應項的標記值。 您可以使用標記，以將裝置群組設定為自動部署的目標。 例如：

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. 選取 [儲存]。

在 [管理註冊] 下，您可以看到剛建立的註冊所擁有的 [註冊識別碼]。 記下此識別碼，以在佈建裝置時使用。

現在此裝置已有註冊，因此 IoT Edge 執行階段可以在安裝期間自動佈建此裝置。

建立 DPS 群組註冊

群組註冊會使用用來產生個別裝置身分識別憑證的憑證信任鏈結內的中繼憑證或根 CA 憑證。

驗證根憑證

當您建立註冊群組時，您可以選擇使用已驗證的憑證。 您可以證明擁有根憑證的所有權，以使用 DPS 驗證憑證。 如需詳細資訊，請參閱如何對 X.509 CA 憑證進行擁有權證明。

1. 在 Azure 入口網站中，導覽至 IoT 中樞裝置佈建服務的執行個體。

2. 從左側功能表中選取 [憑證]。

3. 選取 [新增] 以新增憑證。

4. 輸入憑證的自訂名稱，然後瀏覽至代表 X.509 憑證公開部分的 .cer 或 .pem 檔案。

   如果您使用示範憑證，請上傳 <wrkdir>\certs\azure-iot-test-only.root.ca.cert.pem 憑證。

5. 選取 [儲存]。

6. 您的憑證現在應該會列在 [憑證] 頁面上。 選取該憑證以開啟憑證詳細資料。

7. 選取 [產生驗證碼]，然後複製所產生的驗證碼。

8. 不論您自備 CA 憑證還是使用示範憑證，都可以使用 IoT Edge 存放庫中所提供的驗證工具來驗證擁有權證明。 驗證工具會使用 CA 憑證來簽署新憑證，新憑證會以所提供的驗證碼作為主體名稱。

   New-CACertsVerificationCert "<verification code>"
   

9. 在 Azure 入口網站的同一個憑證詳細資料頁面中，上傳新產生的驗證憑證。

10. 選取 [驗證]。

建立註冊群組

如需裝置佈建服務中註冊的詳細資訊，請參閱如何管理裝置註冊。

1. 在 Azure 入口網站中，導覽至 IoT 中樞裝置佈建服務的執行個體。

2. 在 [設定] 下方，選取 [管理註冊]。

3. 選取 [新增註冊群組]，然後完成下列步驟以設定註冊：

   • 群組名稱：提供此群組註冊的自訂名稱。

   • 證明類型：選取 [憑證]。

   • IoT Edge 裝置：選取 [True]。 在群組註冊中，所有裝置都必須是 IoT Edge 裝置，或是全都不是。

   • 憑證類型：選取 [CA 憑證]。

   • 主要憑證：從下拉式清單中選擇您的憑證。

   • 選取可作為此裝置指派目標的 IoT 中樞：選擇您要將裝置連線到的已連結 IoT 中樞。 您可以選擇多個中樞，然後系統會根據所選取的配置原則，將裝置指派給其中一個中樞。

   • 初始裝置對應項狀態：視需要新增要新增至裝置對應項的標記值。 您可以使用標記，以將裝置群組設定為自動部署的目標。 例如：

     {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
     }
     

4. 選取 [儲存]。

在 [管理註冊] 下，您可以看到剛建立的註冊所擁有的 [註冊識別碼]。 記下此識別碼，以在佈建裝置時使用。

既然這些裝置都已有註冊，因此 IoT Edge 執行階段可以在安裝期間自動佈建此裝置。

您可以使用幾個命令來完成安裝。 開啟終端機，然後執行下列命令：

• 22.04：

  wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

• 20.04：

  wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
  sudo dpkg -i packages-microsoft-prod.deb
  rm packages-microsoft-prod.deb
  

您可以使用幾個命令來使用 APT 完成安裝。 開啟終端機，然後執行下列命令：

• 11 - Bullseye (arm32v7)：

  curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
  sudo apt install ./packages-microsoft-prod.deb
  

您可以使用幾個命令來完成安裝。 開啟終端機，然後執行下列命令：

• 9.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

• 8.x (amd64)：

    wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
    sudo yum localinstall packages-microsoft-prod.rpm
    rm packages-microsoft-prod.rpm
  

您會在稍後的步驟中，從 Snap Store 安裝 IoT Edge 執行階段。 繼續進行下一節。

安裝 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安裝 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安裝 Moby 引擎與 CLI。

sudo yum install moby-engine moby-cli

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

IoT Edge 具有 Docker 和 IoT 身分識別服務的相依性。 使用下列命令以安裝相依性：

sudo snap install docker
sudo snap install azure-iot-identity

Docker Snap 由 Canonical 提供服務，並支援生產案例。

1. 建立或編輯現有 Docker 精靈的組態檔

   sudo nano /etc/docker/daemon.json
   

2. 將預設記錄驅動程式設定為 local 記錄驅動程式，如範例所示。

      {
         "log-driver": "local"
      }
   

3. 重新啟動容器引擎，讓變更生效。

   sudo systemctl restart docker
   

目前，Docker Snap 不支援本機記錄驅動程式設定。

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

• 22.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

• 20.04：

  sudo apt-get update; \
     sudo apt-get install aziot-edge
  

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

sudo apt-get update; \
  sudo apt-get install aziot-edge

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

sudo yum install aziot-edge

從 Snap Store 安裝 IoT Edge：

sudo snap install azure-iot-edge

連線 Snap

根據預設，Snap 無相依性、未受信任且受到嚴格限制。 因此，Snap 必須在安裝之後連線到其他 Snap 和系統資源。 使用下列命令，連線至彼此的 IoT 身分識別服務和 IoT Edge Snap 以及系統資源。 若要開始使用，必須手動連線 Snap。 針對生產環境部署，可以設定為自動連線以減少佈建工作負載。

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

開啟 IoT Edge 裝置上的組態檔。

sudo nano /etc/aziot/config.toml

尋找該檔案的 [佈建] 區段。 取消註解使用 X.509 憑證佈建的 DPS 行，並確定已為任何其他佈建行加上註解。

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/aziot/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/aziot/device-id.key"

# auto_reprovisioning_mode = Dynamic

如果使用 IoT Edge 的 Snap 安裝，則範本檔案位於 /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template。 在主目錄中建立範本檔案的複本，並將其命名為 config.toml。 例如：

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

在 IoT Edge 裝置的主目錄中開啟組態檔。

nano ~/config.toml

尋找該檔案的 [佈建] 區段。 取消註解使用 X.509 憑證佈建的 DPS 行，並確定已為任何其他佈建行加上註解。憑證檔案所使用的路徑應該是可供 azure-iot-edge 和 azure-iot-identity Snap 存取的共用目錄路徑。 例如： /var/snap/azure-iot-identity/current/shared/ 。

# DPS provisioning with X.509 certificate
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "x509"
registration_id = "REGISTRATION_ID_HERE"

identity_cert = "DEVICE_IDENTITY_CERTIFICATE_HERE" # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.pem"
identity_pk = "DEVICE_IDENTITY_PRIVATE_KEY_HERE"   # For example, "file:///var/snap/azure-iot-identity/current/shared/device-id.key"


# auto_reprovisioning_mode = Dynamic

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

您可以驗證系統是否已使用您在裝置佈建服務中所建立的個別註冊。 在 Azure 入口網站中導覽至您的裝置佈建服務執行個體。 開啟所建立個別註冊的註冊詳細資料。 請注意，註冊狀態是 [已指派]，並且會列出裝置識別碼。

您可以驗證系統是否已使用您在裝置佈建服務中所建立的群組註冊。 在 Azure 入口網站中導覽至您的裝置佈建服務執行個體。 開啟所建立群組註冊的註冊詳細資料。 前往 [註冊記錄] 索引標籤，以檢視已在該群組中註冊的所有裝置。