Продление сертификата в управлении сертификатами Центр Интернета вещей Azure (предварительная версия)

Продление сертификата — это процесс, в ходе которого уже предоставленное устройство запрашивает и получает новый операционный сертификат для его существующего идентификатора устройства. Продление используется для замены сертификатов, которые приближаются к истечению срока действия или истекли. Устройство остается обеспеченным с тем же идентификатором, обновляется только операционная сертификация. Каждое устройство Интернета вещей должно отслеживать срок действия сертификата и инициировать продление до истечения срока действия. В этой статье объясняется, когда следует обновлять доступные пути продления, как отслеживать срок действия и что делать, если срок действия сертификата истекает.

Это важно

Центр Интернета вещей Azure с интеграцией реестра устройств Azure и управлением сертификатами X.509, поддерживаемым Microsoft, находятся на этапе публичной предварительной версии и не рекомендуются для производственных нагрузок. Дополнительные сведения см. в разделе FAQ: новые возможности Центр Интернета вещей?.

Когда необходимо обновить устройства

Управление сертификатами выдает операционные сертификаты с заданным сроком действия при настройке политики в реестре устройств Azure (ADR). Срок действия составляет от 7 до 90 дней.

Краткосрочные сертификаты повышают безопасность, так как они снижают время воздействия, если сертификат скомпрометирован. Каждое устройство должно начать продление до истечения срока действия текущего операционного сертификата, чтобы сохранить подключение к Центр Интернета вещей. Запланируйте продление до даты окончания срока действия. Добавьте логику продления в встроенное ПО или приложение устройства, чтобы он отправлял запрос на продление, когда сертификат достиг определенного процента срока действия, например 80 процентов.

Как работает продление

Вы можете обновить операционный сертификат в любом из следующих способов:

В обоих путях устройство должно определить, когда требуется продление, создать новую пару ключей для создания CSR, заменить локальный сертификат и повторно подключиться к новому сертификату.

Отслеживание срока действия сертификата на устройствах

Каждое устройство должно отслеживать срок действия своего операционного сертификата. Управление сертификатами не отправляет автоматические уведомления о продлении на устройства. Операционный сертификат включает Valid from и Valid until поля. Устройство может прочитать эти поля, чтобы определить, когда срок действия сертификата истекает и когда начнется продление.

Код встроенного ПО устройства или приложения должен:

  1. Считайте поле Valid until из сертификата после каждой успешной настройки.
  2. Вычислите оставшееся время до истечения срока действия.
  3. Вызовите запрос на продление перед истечением срока действия сертификата, повторно подготовив его через DPS или отправив новый CSR непосредственно в Центр Интернета вещей.

Отчет об истечении срока действия сертификатов с двойниками устройств

Во время общедоступной версии предварительного просмотра устройства должны использовать сообщаемые свойства двойника устройства, чтобы сообщить о Valid from датах текущего Valid until операционного сертификата. Эти сообщаемые свойства обеспечивают видимость всего парка устройств, такие как панели мониторинга, которые показывают устройства с сертификатами, срок действия которых скоро истекает.

В следующем примере показана структура сообщаемого свойства:

{
  "reported": {
    "certificate": {
      "validFrom": "2026-03-01T00:00:00Z",
      "validUntil": "2026-03-31T00:00:00Z"
    }
  }
}

После того как устройства отправят эти свойства, можно использовать язык запросов Центр Интернета вещей для идентификации устройств в вашем парке, которым требуется продление.

Что происходит при истечении срока действия сертификата

Если устройство не продлевает свой сертификат до истечения срока действия, он теряет возможность проходить проверку подлинности с помощью Центр Интернета вещей. Центр Интернета вещей отклоняет подключения с устройств, которые представляют сертификаты с истекшим сроком действия.

Чтобы восстановить устройство с истекшим сроком действия сертификата, устройство должно быть повторно подготовлено с помощью службы подготовки устройств:

  1. Убедитесь, что устройство по-прежнему имеет свои учетные данные подключения. Эти учетные данные используются для начальной настройки, например, симметричного ключа или модуля TPM.

  2. Поручите устройству инициировать новый вызов регистрации в DPS, включающий новый CSR.

  3. DPS выдает новый сертификат для эксплуатации через ADR, используя тот же процесс подготовки на основе CSR.

  4. Устройство подключается к Центр Интернета вещей с новым сертификатом.

Если устройство теряет свои учетные данные подключения и истекает срок действия его операционного сертификата, необходимо повторно подготовить устройство с новыми учетными данными подключения с помощью рабочего процесса управления устройствами организации.

Связь с отзывом сертификата

Продление сертификата связано с истечением срока действия и отличается от отзыва сертификата. Отзыв — это действие безопасности, которое отменяет сертификат устройства до истечения срока действия. После отзыва устройство должно снова получить новый сертификат через повторное обеспечение готовности с использованием сервиса DPS и использованием того же процесса выдачи на основе CSR. Дополнительные сведения о отзывах см. в концепциях отзыва сертификатов и управления политиками.

Чтобы удалить доступ для устройства, использующего операционный сертификат X.509 без отзыва, можно отключить устройство в Центр Интернета вещей. Дополнительные сведения см. в разделе "Отключение или удаление устройства".

Связанный контент

  • Last updated on