Развертывание Центр Интернета вещей Azure с помощью интеграции реестра устройств и управления сертификатами (предварительная версия)

Дополнительные предварительные требования для портала Azure

Прежде чем начать, убедитесь, что у вас есть:

• Группа ресурсов Azure для организации центра Интернета вещей и связанных ресурсов. Создайте группу ресурсов и ресурсы в поддерживаемом регионе. Дополнительную информацию см. в разделе Создание группы ресурсов.
• Роль Contributor, назначенная для Центр Интернета вещей Azure на уровне группы ресурсов. При выборе членов во время назначения роли найдите и выберите Центр Интернета вещей Azure из списка субъектов-служб. Дополнительные сведения см. в статье Назначение ролей Azure с помощью портала Azure.

Обзор

Используйте портал Azure для создания центра Интернета вещей с интеграцией реестра устройств и управления сертификатами.

Процесс установки в этой статье включает следующие действия.

1. Настройте пространство имен реестра устройств с включенным управлением сертификатами и назначьте необходимые роли.
2. Создайте настраиваемую политику учетных данных для пространства имен.
3. Создайте центр IoT, связанный с пространством имен реестра устройств, с управляемой идентичностью, назначаемой пользователем.
4. Создайте экземпляр DPS и свяжите его с пространством имен реестра устройств.
5. Свяжите центр Интернета вещей с экземпляром DPS.
6. Синхронизируйте политики учётных данных из вашего пространства имен в ваши центры Интернета вещей.
7. Создайте группу регистрации и назначьте политику для ввода устройства в эксплуатацию.

Настройка пространства имен реестра устройств

В этом разделе описано, как настроить пространство имен реестра устройств, включить управление сертификатами, назначить необходимую роль участника и создать настраиваемую политику сертификатов. Эти действия подготовят среду для безопасного управления удостоверениями устройств и сертификатами и убедитесь, что центр Интернета вещей может использовать реестр устройств для подключения устройств и управления сертификатами.

Создание пространства имен реестра устройств с включенной функцией управления сертификатами

При создании пространства имен с включенной функцией управления сертификатами процесс создает учетные данные, известные как корневой центр сертификации (ЦС) и политику по умолчанию, известную как промежуточный ЦС. Управление сертификатами использует эти учетные данные и политики для подключения устройств к пространству имен.

1. Войдите на портал Azure.

2. Найдите и выберите Azure Реестр устройств.

3. Выберите пространства имен>Создать.

4. На вкладке "Основные сведения" введите следующие поля:

   Недвижимость	Ценность
   Subscription	Выберите подписку, используемую для пространства имен реестра устройств.
   Группа ресурсов	Выберите или создайте группу ресурсов, которую вы хотите использовать для Центра Интернета вещей.
   Имя	Введите имя пространства имен реестра устройств. Имя пространства имен может содержать только строчные буквы и дефисы (-) в середине имени, но не в начале или конце. Например, имя msft-namespace допустимо.
   Регион	Функции интеграции реестра устройств и управления сертификатами находятся на этапе предварительной версии и доступны только в определённых регионах. См. поддерживаемые регионы. Выберите ближайший к вам регион, где должен находиться центр.

   

5. Нажмите кнопку Далее.

6. На вкладке "Управление сертификатами" выберите "Включено".

   Управление сертификатами безопасно хранит учетные данные проверки подлинности устройства, например ключи API или сертификаты, для устройств, подключающихся к пространству имен. Когда вы включаете эту функцию, вы можете задать политики управления, чтобы контролировать, как сертификаты выдаются и управляются для ваших устройств.

   

7. Нажмите кнопку Далее.

8. На вкладке "Теги" можно добавить теги для упорядочивания пространства имен реестра устройств. Теги — это пары "ключ-значение", которые помогают управлять ресурсами и определять их. Используйте теги для фильтрации и группировки ресурсов на портале Azure.

9. Нажмите кнопку Далее.

10. Просмотрите параметры и нажмите кнопку "Создать ", чтобы создать пространство имен реестра устройств.

    Процесс создания пространства имен может занять до пяти минут.

Получите идентификатор объекта для пространства имен

Чтобы выполнить некоторые шаги настройки после создания центра Интернета вещей, вам понадобится идентификатор субъекта для пространства имен Device Registry. Это значение используется для предоставления разрешений и безопасного связывания ресурсов.

1. На портале Azure перейдите в пространство имен Device Registry, которое вы создали.
2. На странице "Обзор" в правом верхнем углу выберите представление JSON.
3. Найдите раздел идентификации и определите значение для principalId.
4. Скопируйте значение идентификатора субъекта для назначения ролей вашему IoT-хабу.

Назначьте роли для управляемого удостоверения

После создания пространства имен Device Registry предоставьте необходимые разрешения управляемому удостоверению, назначенному пользователем. Управляемое удостоверение, назначаемое пользователем, используется для безопасного доступа к другим ресурсам Azure, таким как пространство имен реестра устройств и DPS. Если у вас нет назначенной пользователем управляемой идентификации, создайте ее в портале Azure. Для получения дополнительной информации см. раздел Создание управляемого удостоверения, назначаемого пользователем, в портале Azure.

Сначала назначьте управляемому пользователем удостоверению роль Azure Device Registry Onboarding:

1. В созданном пространстве имен реестра устройств выберите Управление доступом (IAM) в боковом меню.
2. Выберите + Добавить>Добавить назначение роли.
3. В поле Role найдите и выберите Подключение к реестру устройств Azure. Эта роль позволяет управляемой идентичности регистрировать устройства с помощью политик учетных данных реестра устройств.
4. Нажмите кнопку Далее.
5. В разделе "Назначение доступа" выберите управляемое удостоверение.
6. Выберите "Выбрать участников" и выберите управляемое удостоверение, назначаемое пользователем. Найдите свою учетную запись и выберите её.
7. Нажмите кнопку "Проверка и назначение " для завершения. После применения назначения управляемая идентификация получает необходимые разрешения для первоначального подключения.

Повторите следующие действия, чтобы назначить роль участника реестра устройств Azure:

1. На той же панели Управление доступом (IAM) для пространства имен реестра устройств снова выберите + Добавить>Добавить назначение ролей.
2. В поле Role найдите и выберите участника реестра устройств Azure. Эта роль предоставляет управляемой идентификации разрешения, необходимые для настройки и работы Device Registry.
3. Нажмите кнопку Далее.
4. В разделе "Назначение доступа" выберите управляемое удостоверение.
5. Выберите "Выбрать участников" и выберите управляемое удостоверение, назначаемое пользователем. Найдите свою учетную запись и выберите её.
6. Нажмите кнопку "Проверка и назначение " для завершения. После распространения присвоения вы сможете выбрать управляемое удостоверение, назначаемое пользователем, при создании узла IoT.

Создание настраиваемой политики для пространства имен

Создайте пользовательские политики в пространстве имен реестра устройств, чтобы определить способ выдачи сертификатов и управления ими для устройств. Политики позволяют задавать такие параметры, как срок действия сертификата и субъекты. Изменение или отключение политики не поддерживается в предварительной версии.

1. В созданном вами пространстве имен реестра устройств в разделе «Ресурсы пространства имен» выберите «Политики учетных данных (Предварительная версия)».

   В диалоговом окне "Включить управление сертификатами " нажмите кнопку "Включить".

   

2. На странице политик учетных данных нажмите кнопку +Создать политику.

3. Откроется панель, в которой можно настроить параметры политики. На вкладке "Основные сведения" введите следующие поля:

   Недвижимость	Ценность
   Имя	Введите уникальное имя для вашей политики. Имя должно быть от 3 до 50 буквенно-цифровых символов и может включать дефисы (-).
   Срок действия (дни)	Введите число дней, в течение которых действительны выданные сертификаты.
   Выберите корневой ЦС для сертификатов в этой политике	Примите значение по умолчанию, Использовать Microsoft выданный корневой УЦ этого пространства имен (по умолчанию).

4. Нажмите кнопку "Далее", а затем нажмите кнопку "Проверить и создать".

5. Чтобы просмотреть политику, выберите Политика учетных данных, чтобы увидеть имя политики и срок действия.

Создание центра Интернета вещей на портале Azure

В этом разделе вы создадите новый экземпляр центра Интернета вещей с пространством имен Device Registry и вашим управляемым удостоверением, назначаемым пользователем.

1. На портале Azure найдите и выберите Центр Интернета вещей.

2. На странице Центр Интернета вещей выберите + Создать, чтобы создать новый IoT hub.

3. На вкладке "Основные сведения" введите поля, перечисленные в следующей таблице.

   Это важно

   Так как центр Интернета вещей будет общедоступен в качестве конечной точки DNS, убедитесь, что в его имени не фигурируют конфиденциальные или персональные сведения.

   Недвижимость	Ценность
   Subscription	Выберите подписку, которую будете использовать для хаба.
   Группа ресурсов	Выберите группу ресурсов или создайте новую. Чтобы создать новую, нажмите кнопку "Создать" и введите имя, которое вы хотите использовать.
   Имя центра Интернета вещей	Введите имя для концентратора. Это имя должно быть глобально уникальным и содержать от 3 до 50 буквенно-цифровых символов. Имя может также содержать знак тире (-).
   Регион	Функции интеграции реестра устройств и управления сертификатами находятся на этапе предварительной версии и доступны только в определённых регионах. См. поддерживаемые регионы. Выберите ближайший к вам регион, где должен находиться центр.
   Уровень	Выберите уровень предварительной версии . Чтобы сравнить функции, доступные для каждого уровня, выберите "Сравнить уровни".
   Ограничение ежедневного сообщения	Выберите максимальную ежедневную квоту сообщений для центра. Доступные параметры зависят от уровня, выбранного для центра. Чтобы просмотреть доступные параметры обмена сообщениями и цены, выберите все параметры и выберите вариант, который лучше всего соответствует потребностям центра. Дополнительные сведения см. в разделе Центр Интернета вещей квоты и регулирование.
   Пространство имен реестра устройств	Выберите пространство имен реестра устройств, созданное в предыдущем разделе.
   Управляемое пользователем удостоверение	Выберите управляемое удостоверение, назначенное пользователем, которое вы связали с пространством имен реестра устройств, и свяжите его с Центром Интернета вещей.

   

   Замечание

   Цены отображаются только в примерах.

Настройка параметров сети, управления и надстроек

После заполнения вкладки "Основные сведения" настройте центр Интернета вещей, выполнив следующие действия.

1. Выберите Следующий шаг: Сетевые настройки, чтобы продолжить создание вашего хаба.

2. На вкладке "Сеть" введите следующие поля:

   Недвижимость	Ценность
   Конфигурация подключения	Выберите конечные точки, с помощью которых устройства смогут подключаться к Центру Интернета вещей. Для нашего примера примите параметр по умолчанию — Общий доступ. Этот параметр можно изменить после создания Центра Интернета вещей. Дополнительные сведения см. в разделе конечные точки Центр Интернета вещей.
   Минимальная версия безопасности транспортного уровня	Выберите минимальную версию TLS , поддерживаемую центром Интернета вещей. После создания Центра Интернета вещей невозможно изменить это значение. Примите параметр по умолчанию 1.2 для этого примера.

   

3. Нажмите «Далее: Управление», чтобы продолжить создание узла.

4. На вкладке "Управление" примите параметры по умолчанию. Если вы хотите, можно изменить любое из следующих полей:

   Недвижимость	Ценность
   Модель разрешений	Это свойство является частью управления доступом на основе ролей. Это свойство определяет способ управления доступом к вашему центру Интернета вещей. Разрешите политики общего доступа или выберите только управление доступом на основе ролей. Дополнительные сведения см. в разделе Control access to Центр Интернета вещей using Microsoft Entra ID.
   Назначьте мне	Это свойство позволяет получать доступ к API данных Центр Интернета вещей для управления элементами в экземпляре. Если у вас есть доступ к назначениям ролей, выберите роль Участник данных Центр Интернета вещей, чтобы предоставить себе полный доступ к API-интерфейсам данных. Чтобы назначить роли Azure, необходимо иметь разрешения Microsoft.Authorization/roleAssignments/write, такие как администратор User Access или Owner.
   Секции "устройства — облако"	Это свойство привязывает сообщения, отправляемые с устройства в облако, к числу одновременно работающих модулей чтения этих сообщений. Большинству центров Интернета вещей требуется только четыре раздела.

   

5. Нажмите кнопку "Далее": надстройки , чтобы перейти к следующему экрану.

6. На вкладке "Надстройки" примите параметры по умолчанию. Если вы хотите, можно изменить любое из следующих полей:

   Недвижимость	Ценность
   Включение обновления устройств для Центр Интернета вещей	Включите Обновление устройств для Центр Интернета вещей, чтобы разрешить беспроводные обновления для своих устройств. Если этот параметр выбран, вам будет предложено предоставить сведения о подготовке обновления устройства для учетной записи и экземпляра Центр Интернета вещей. Дополнительные сведения см. в разделе Что такое обновление устройства для Центр Интернета вещей?.
   Включить Defender для Интернета вещей	Включите Defender для Интернета вещей, чтобы добавить дополнительный уровень защиты к IoT и устройствам. Этот параметр недоступен для узлов на уровне бесплатного тарифа. Дополнительные сведения см. в рекомендациях по безопасности для Центр Интернета вещей в документации Microsoft Defender для Интернета вещей.

   

   Замечание

   Цены отображаются только в примерах.

7. Нажмите кнопку "Далее": теги , чтобы перейти к следующему экрану.

   Теги представляют собой пары "имя — значение". Один и тот же тег можно присвоить нескольким ресурсам и группам ресурсов для их классификации и объединения счетов. В этой статье вы не добавляете теги. Дополнительные сведения см. в разделе Использование тегов для организации ресурсов Azure и управленческой иерархии.

   

8. Выберите Далее: Просмотр + создание, чтобы просмотреть свои выборы.

9. Щелкните Создать, чтобы начать развертывание центра. Развертывание может продолжаться в течение нескольких минут, пока создается концентратор. После завершения развертывания выберите "Перейти к ресурсу" , чтобы открыть новый концентратор.

Свяжите назначенное пользователем управляемое удостоверение с Центром IoT

После создания Центра Интернета вещей необходимо связать управляемое удостоверение, назначаемое пользователем, с центром. Этот шаг позволяет Центру Интернета вещей использовать управляемое удостоверение для безопасного доступа к другим ресурсам Azure, таким как пространство имен реестра устройств.

1. На портале Azure перейдите к ресурсу Центра Интернета вещей.
2. В меню боковой панели в разделе "Параметры безопасности" выберите "Удостоверение".
3. В верхней части области Идентификатор выберите вкладку Назначено пользователем.
4. Выберите Связать.
5. Выберите управляемое удостоверение, назначенное пользователем, которое вы использовали с вашим пространством имён, и выберите Добавить.

Назначьте роли идентификатору субъекта пространства имен реестра устройств в вашем центре Интернета вещей

Чтобы включить безопасную интеграцию между центром Интернета вещей и пространством имен реестра устройств, назначьте роли идентификатору субъекта пространства имен реестра устройств в экземпляре Центра Интернета вещей. Этот шаг гарантирует, что пространство имён реестра устройств может управлять идентификаторами устройств и операциями реестра в концентраторе.

1. На портале Azure перейдите к ресурсу Центра Интернета вещей.
2. В меню боковой панели выберите Управление доступом (IAM).
3. Выберите + Добавить>Добавить назначение роли.
4. В поле "Роль" перейдите на вкладку "Роли привилегированных администраторов ".
5. Найдите и выберите участника.
6. Нажмите кнопку Далее.
7. В разделе "Назначение доступа" выберите "Пользователь", "Группа" или "Субъект-служба".
8. Выберите "Выбрать участников", а затем вставьте идентификатор субъекта пространства имен реестра устройств, скопированный на предыдущем шаге. Выберите соответствующую идентичность.
9. Нажмите кнопку "Проверка и назначение " для завершения.

Повторите следующие действия, чтобы назначить роль Участник реестра Центр Интернета вещей:

1. Нажмите кнопку +Добавить>назначение роли еще раз.
2. В поле Role найдите и выберите участника реестра Центр Интернета вещей.
3. Нажмите кнопку Далее.
4. В разделе "Назначение доступа" выберите "Пользователь", "Группа" или "Субъект-служба".
5. Выберите "Выбрать участников", а затем вставьте идентификатор субъекта пространства имен реестра устройств, скопированный на предыдущем шаге. Выберите соответствующую идентичность.
6. Нажмите кнопку "Проверка и назначение " для завершения.

Создайте экземпляр DPS

После того как вы создадите центр Интернета вещей и пространство имен, создайте новый экземпляр DPS.

1. На портале Azure найдите и выберите Device Provisioning Service.

2. В Службах Подготовки Устройств выберите + Создать, чтобы создать новый экземпляр DPS.

3. На вкладке "Основные сведения" введите следующие поля:

   Недвижимость	Ценность
   Subscription	Выберите подписку, используемую для экземпляра DPS.
   Группа ресурсов	Выберите ту же группу ресурсов, которая содержит центр Интернета вещей, созданный на предыдущих шагах. Помещение всех связанных ресурсов в одну группу позволит управлять ими совместно.
   Имя	Укажите уникальное имя для вашего нового экземпляра DPS. Если введенное имя доступно, появится зеленый флажок.
   Регион	Выберите тот же регион, в котором вы создали центр Интернета вещей и пространство имен реестра устройств на предыдущих шагах.

   

4. Выберите «Проверить и создать», чтобы проверить службу подготовки.

5. Выберите Создать, чтобы запустить развертывание экземпляра DPS.

6. После завершения развертывания выберите Перейти к ресурсу, чтобы просмотреть свой экземпляр DPS.

Добавление пространства имен в DPS

После создания экземпляра DPS свяжите его с пространством имён Device Registry, чтобы устройства могли регистрироваться с помощью политик учётных данных Device Registry.

1. На портале Azure перейдите к экземпляру DPS, который вы создали.

2. На странице обзора найдите раздел пространства имен ADR .

3. Выберите ссылку, чтобы добавить пространство имен.

   

4. Выберите пространство имен реестра устройств и управляемое удостоверение, назначаемое пользователем.

5. Нажмите Сохранить.

После установки ссылки экземпляр DPS может использовать пространство имен реестра устройств для подготовки устройств и управления сертификатами.

Свяжите IoT Hub и экземпляр DPS

Добавьте конфигурацию к экземпляру DPS, чтобы задать концентратоор Интернета вещей, в который этот экземпляр будет регистрировать устройства Интернета вещей.

1. В разделе "Параметры " в боковом меню экземпляра DPS выберите связанные центры Интернета вещей.

2. Нажмите кнопку "Добавить".

3. На панели "Добавление ссылки на Центр Интернета вещей" укажите следующие сведения:

   Недвижимость	Ценность
   Subscription	Выберите подписку, содержащую Центр Интернета вещей, который вы хотите связать с новым экземпляром DPS.
   Узел Интернета вещей	Выберите Центр Интернета вещей, чтобы связаться с новым экземпляром DPS.
   Политика доступа	Выберите iothubowner (RegistryWrite, ServiceConnect, DeviceConnect) в качестве учетных данных для установления связи с центром Интернета вещей.

   

4. Нажмите Сохранить.

5. Выбрать обновить. Теперь вы увидите выбранный центр в списке связанных центров Интернета вещей.

Синхронизация политик с центрами Интернета вещей

Синхронизируйте политику, созданную в пространстве имен реестра устройств, с центром Интернета вещей, связанным с этим пространством имен. Эта синхронизация позволяет Центр Интернета вещей доверять любым устройствам, проходящим аутентификацию с помощью сертификата конечного устройства, выданного центром сертификации, выпускающим сертификаты для этой политики.

1. На портале Azure перейдите к ресурсу пространства имен реестра устройств, созданному ранее.
2. В меню боковой панели выберите Ресурсы пространства имен>Политики учетных данных (предварительная версия).
3. В списке выберите политику учетных данных, которую требуется синхронизировать.
4. В верхней части нажмите кнопку "Синхронизировать все".
5. Подождите сообщение подтверждения, указывающее, что синхронизация выполнена успешно.

Если вы выберете синхронизацию нескольких политик, процесс синхронизирует политики с соответствующими центрами Интернета вещей. Невозможно отменить операцию синхронизации.

Создание группы регистрации и назначение политики

Чтобы подготовить устройства с конечными сертификатами, необходимо создать группу регистрации и назначить политику, созданную в пространстве имен реестра устройств. Политика назначения определяет механизм аутентификации при подключении, который DPS использует перед выдачей конечного сертификата. Механизм аттестации по умолчанию является симметричным ключом.

1. На портале Azure найдите и выберите Device Provisioning Services.

2. Найдите и выберите созданный ранее экземпляр DPS.

3. В разделе "Параметры " в боковом меню экземпляра DPS выберите пункт "Управление регистрацией".

4. На странице Управление регистрациями выберите вкладку Группы регистрации или Индивидуальные регистрации в зависимости от ваших потребностей в подготовке.

5. Нажмите кнопку +Добавить группу регистрации или + Добавить отдельную регистрацию , чтобы создать новую регистрацию.

6. На странице регистрации и подготовки заполните следующие поля:

   Недвижимость	Ценность
   Механизм аттестации	Выберите промежуточный сертификат X.509 в качестве метода аттестации.
   Параметры сертификата X.509	Отправьте файлы промежуточных сертификатов. Регистрации включают один или два сертификата, которые называются основным и вторичным файлами сертификатов.
   Имя группы	Введите имя группы регистрации. Пропустите это поле, если вы создаете отдельную регистрацию.
   Состояние подготовки	Выберите "Включено", чтобы включить регистрацию при настройке.
   Политика переназначения ресурсов	Укажите политику повторной подготовки для регистрации. Эта политика определяет поведение регистрации во время переустановки устройства.

7. Выберите и заполните вкладки "Центры Интернета вещей " и " Параметры устройства ", соответствующие вашей среде.

8. Перейдите на вкладку "Политики учетных данных ( предварительная версия) и выберите политику, которую вы хотите назначить группе регистрации или отдельной регистрации.

   

9. Выберите "Просмотр и создание", а затем нажмите кнопку "Создать ", чтобы завершить регистрацию.

Дополнительные предварительные требования для Azure CLI

Прежде чем начать, убедитесь, что у вас есть:

• Azure CLI установлена. Следуйте инструкциям, чтобы установить Azure CLI.

• Для доступа к функциям интеграции с Реестром устройств Azure и управления сертификатами в Центр Интернета вещей Azure должно быть установлено расширение Azure IoT CLI с включёнными предварительными версиями:

  1. Проверьте наличие существующих установок расширения Azure CLI.

     az extension list
     

  2. Удалите все существующие azure-iot установки.

     az extension remove --name azure-iot
     

  3. Установите расширение azure-iot из индекса с включённой поддержкой предварительных версий.

     az extension add --name azure-iot --allow-preview
     

     Или вы можете скачать файл .whl со страницы релизов GitHub, чтобы установить расширение вручную.

     az extension add --upgrade --source https://github.com/Azure/azure-iot-cli-extension/releases/tag/v0.30.0b2
     

  4. После установки убедитесь, что версия расширения azure-iot не ниже 0.30.0b2.

     az extension list
     

Обзор

Используйте команды Azure CLI для создания центра Интернета вещей с интеграцией реестра устройств и управлением сертификатами.

Процесс установки в этой статье включает следующие действия.

1. Создайте группу ресурсов.
2. Настройте необходимые привилегии приложения.
3. Создайте управляемый идентификатор, назначенный пользователем.
4. Создайте пространство имен реестра устройств с управляемым удостоверением, назначаемое системой.
5. Создайте центр сертификации учетных данных (корневой ЦС) и политику (выдача ЦС) в пределах этого пространства имен.
6. Создайте центр IoT (предварительная версия) со связанным пространством имен и управляемым идентификатором.
7. Создайте экземпляр DPS с привязанным центром Интернета вещей и пространством имен.
8. Синхронизация учетных данных и политик (сертификатов ЦС) с Центр Интернета вещей.
9. Создайте группу регистрации и свяжите ее с политикой, чтобы включить выдачу сертификатов.

Подготовьте вашу среду

Чтобы подготовить среду к использованию реестра устройств, выполните следующие действия.

1. Откройте окно терминала.

2. Чтобы войти в учетную запись Azure, запустите az login.

3. Чтобы вывести список всех подписок и клиентов, к которым у вас есть доступ, выполните команду az account list.

4. Если у вас есть доступ к нескольким Azure подпискам, задайте активную подписку, в которой создаются устройства Интернета вещей, выполнив следующую команду:

   az account set --subscription "<your subscription name or ID>"
   

5. Чтобы отобразить сведения о текущей учетной записи, выполните команду az account show. Скопируйте оба следующих значения из выходных данных команды и сохраните их в безопасном расположении, например:

   • Идентификатор GUID id. Это значение используется для предоставления идентификатора подписки.
   • Идентификатор GUID tenantId. Это значение используется для обновления разрешений с помощью идентификатора клиента.

Настройте группу ресурсов, разрешения и управляемое удостоверение

Чтобы создать группу ресурсов, роль и разрешения для решения Интернета вещей, выполните следующие действия.

1. Создайте группу ресурсов для вашей среды.

   az group create --name <RESOURCE_GROUP_NAME> --location <REGION>
   

2. Назначьте роль участника для Центр Интернета вещей на уровне группы ресурсов. Значение AppId, являющееся основным идентификатором Центр Интернета вещей, является 89d10474-74af-4874-99a7-c23c2f643083, и оно одинаково для всех приложений Центр Интернета вещей.

   az role assignment create --assignee "89d10474-74af-4874-99a7-c23c2f643083" --role "Contributor" --scope "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP_NAME>"
   

3. Создайте новое управляемое удостоверение, назначенное пользователем.

   az identity create --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME> --location <REGION>
   

4. Получите идентификатор ресурса управляемого удостоверения. Вам нужен идентификатор ресурса для назначения ролей, настройки политик доступа или связывания удостоверения с другими ресурсами.

   UAMI_RESOURCE_ID=$(az identity show --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME> --query id -o tsv)
   

Создайте новое пространство имен реестра устройств

В этом разделе описано, как создать пространство имен реестра устройств с управляемым удостоверением, назначаемое системой. Этот процесс автоматически создает сертификат корневого центра сертификации (ЦС) и политику выдачи ЦС для пространства имен. Дополнительные сведения о том, как учетные данные и политики используются для подписывания конечных сертификатов устройства во время подготовки, см. в разделе "Управление сертификатами".

Учетные данные являются необязательными. Вы также можете создать пространство имен без управляемого удостоверения, опустив флаги --enable-certificate-management и --policy-name.

1. Создайте новое пространство имен реестра устройств. Ваше пространство имён name может содержать только строчные буквы и дефисы (-) в середине имени, но не в начале или в конце. Например, имя msft-namespace допустимо. Команда --enable-certificate-management создает учетные данные (корневой ЦС) и политику по умолчанию (выдающий ЦС) для этого пространства имен. Имя этой политики можно настроить с помощью --policy-name команды. По умолчанию политика может выдавать сертификаты с сроком действия 30 дней.

   az iot adr ns create --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --location <REGION> --enable-certificate-management true --policy-name <POLICY_NAME>
   

   При необходимости можно создать настраиваемую политику, добавив параметры --cert-subject и --cert-validity-days. Дополнительные сведения см. в статье "Создание настраиваемой политики".

   Создание пространства имен реестра устройств с управляемым удостоверением, назначаемое системой, может занять до пяти минут.

2. Убедитесь, что создано пространство имен с системным управляемым удостоверением или идентификатором субъекта.

   az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

3. Убедитесь, что создаются учетные данные и политика с заданными именами.

   az iot adr ns credential show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   az iot adr ns policy show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --name <POLICY_NAME>
   

   Если имя политики не назначено, политика создается с именем default.

Назначение роли управляемого удостоверения, назначаемой пользователем, для доступа к пространству имен реестра устройств

В этом разделе вы назначите роль Участник реестра устройств Azure управляемому удостоверению и присвоите её пространству имен. Эта настраиваемая роль обеспечивает полный доступ к устройствам Интернета вещей в пространстве имен реестра устройств.

1. Получите основной идентификатор управляемого удостоверения с назначением пользователем. Этот идентификатор необходим для назначения ролей идентификатору.

   UAMI_PRINCIPAL_ID=$(az identity show --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP> --query principalId -o tsv)
   

2. Получите идентификатор ресурса пространства имён реестра устройств. Этот идентификатор используется в качестве области назначения роли.

   NAMESPACE_RESOURCE_ID=$(az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP> --query id -o tsv)
   

3. Назначьте роль участника реестра устройств Azure управляемому удостоверению. Эта роль предоставляет управляемой идентификации необходимые разрешения, действующие в пределах пространства имен.

   az role assignment create --assignee $UAMI_PRINCIPAL_ID --role "a5c3590a-3a1a-4cd4-9648-ea0a32b15137" --scope $NAMESPACE_RESOURCE_ID
   

Создание центра Интернета вещей с интеграцией с реестром устройств

1. Создайте новый центр IoT, связанный с пространством имен Device Registry и использующий управляемое удостоверение, назначаемое пользователем, которое вы создали ранее.

   az iot hub create --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --location <HUB_LOCATION> --sku GEN2 --mi-user-assigned $UAMI_RESOURCE_ID --ns-resource-id $NAMESPACE_RESOURCE_ID --ns-identity-id $UAMI_RESOURCE_ID
   

   Это важно

   Так как центр Интернета вещей будет общедоступен в качестве конечной точки DNS, убедитесь, что в его имени не фигурируют конфиденциальные или персональные сведения.

2. Убедитесь, что для центра Интернета вещей правильно настроены свойства идентификации и реестра устройств.

   az iot hub show --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --query identity --output json
   

Назначение ролей Центр Интернета вещей для доступа к пространству имен реестра устройств

1. Получите идентификатор субъекта управляемого удостоверения пространства имен реестра устройств. Этому удостоверению требуются разрешения для взаимодействия с Центром Интернета вещей.

   ADR_PRINCIPAL_ID=$(az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP> --query identity.principalId -o tsv)
   

2. Получите идентификатор ресурса центра Интернета вещей. Этот идентификатор используется в качестве области назначения ролей.

   HUB_RESOURCE_ID=$(az iot hub show --name <HUB_NAME> --resource-group <RESOURCE_GROUP> --query id -o tsv)
   

3. Назначьте удостоверению реестра устройств роль «Участник». Эта роль предоставляет управляемому участнику удостоверений управляемого пространства имен реестра устройств доступ к Центру Интернета вещей. Роль обеспечивает широкий доступ, включая управление ресурсами, но не назначение ролей.

   az role assignment create --assignee $ADR_PRINCIPAL_ID --role "Contributor" --scope $HUB_RESOURCE_ID
   

4. Назначьте удостоверению реестра устройств роль участника реестра Центр Интернета вещей. Эта роль предоставляет более детализированные права на управление идентификаторами устройств в центре Интернета вещей. Эти разрешения необходимы для регистрации устройств и управления устройствами в концентраторе.

   az role assignment create --assignee $ADR_PRINCIPAL_ID --role "IoT Hub Registry Contributor" --scope $HUB_RESOURCE_ID
   

Создание экземпляра DPS с интеграцией реестра устройств

1. Создайте новый экземпляр DPS, связанный с пространством имен реестра устройств, которое вы создали в предыдущих разделах. Ваш экземпляр DPS должен находиться в том же регионе, что и пространство имен реестра устройств.

   az iot dps create --name <DPS_NAME> --resource-group <RESOURCE_GROUP> --location <LOCATION> --mi-user-assigned $UAMI_RESOURCE_ID --ns-resource-id $NAMESPACE_RESOURCE_ID --ns-identity-id $UAMI_RESOURCE_ID
   

2. Убедитесь, что в DPS правильно настроены свойства идентификации и реестра устройств.

   az iot dps show --name <DPS_NAME> --resource-group <RESOURCE_GROUP> --query identity --output json
   

Свяжите центр IoT с экземпляром DPS

1. Свяжите центр Интернета вещей с экземпляром DPS.

   az iot dps linked-hub create --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP> --hub-name <HUB_NAME>
   

2. Убедитесь, что центр Интернета вещей отображается в списке связанных центров для экземпляра DPS.

   az iot dps linked-hub list --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP>
   

Запуск синхронизации учетных данных реестра устройств

Синхронизация учетных данных и политик в Центре Интернета вещей. Этот шаг обеспечивает, что центр Интернета вещей регистрирует сертификаты ЦС и доверяет всем конечным сертификатам, выпущенным в соответствии с настроенными вами политиками.

az iot adr ns credential sync --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP>

Проверка сертификата удостоверяющего центра концентратора

Убедитесь, что центр Интернета вещей зарегистрировал сертификат ЦС.

az iot hub certificate list --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP>

Создание регистрации в DPS

Чтобы подготавливать устройства с помощью конечных сертификатов, создайте группу регистрации в DPS и свяжите ее с соответствующей политикой учетных данных с помощью параметра --credential-policy.

Следующая команда создает группу регистрации, которая использует аттестацию симметричного ключа по умолчанию:

az iot dps enrollment-group create --dps-name <DPS_NAME> --resource-group <RESOURCE_GROUP> --enrollment-id <ENROLLMENT_ID> --credential-policy <POLICY_NAME>

Центр Интернета вещей с интеграцией реестра устройств и управлением сертификатами теперь настроен и готов к использованию.

Необязательные команды

Следующие команды помогают управлять пространствами имен реестра устройств, отключать устройства, создавать настраиваемые политики и удалять ресурсы, когда они больше не нужны.

Управление пространствами имен

1. Выведите список всех пространств имён в вашей группе ресурсов.

   az iot adr ns list --resource-group <RESOURCE_GROUP_NAME>
   

2. Отображение сведений о определенном пространстве имен.

   az iot adr ns show --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

3. Выведите список всех политик в вашем пространстве имён.

   az iot adr ns policy list --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

4. Отображение сведений о конкретной политике.

   az iot adr ns policy show --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --name <POLICY_NAME>
   

5. Перечислите все учетные данные в вашем пространстве имен.

   az iot adr ns credential list --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

Отключение устройств

1. Список всех устройств в Центре Интернета вещей.

   az iot hub device-identity list --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME>
   

2. Отключите устройство, обновив его состояние до disabled. Обязательно замените <MY_DEVICE_ID> на идентификатор устройства, которое вы хотите отключить.

   az iot hub device-identity update --hub-name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME> -d <MY_DEVICE_ID> --status disabled
   

3. Запустите устройство еще раз и убедитесь, что не удается подключиться к Центру Интернета вещей.

Создание настраиваемой политики

Создайте настраиваемую политику с помощью az iot adr ns policy create команды. Задайте имя, субъект сертификата и срок действия политики, выполнив следующие правила:

• Значение политики name должно быть уникальным в пространстве имен. При попытке создать политику с именем, которое уже существует, вы получите сообщение об ошибке.
• Значение субъекта cert-subject сертификата должно быть уникальным для всех политик в пространстве имен. Если вы пытаетесь создать политику с уже существующей темой, вы получите сообщение об ошибке.
• Значение срока cert-validity-days действия должно составлять от 1 до 30 дней. Если вы пытаетесь создать политику с периодом действия за пределами этого диапазона, вы получите сообщение об ошибке.

В следующем примере создается политика с именем custom-policy, субъектом CN=TestDevice и сроком действия 30 дней.

az iot adr ns policy create --name "custom-policy" --namespace <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME> --cert-subject "CN=TestDevice" --cert-validity-days "30"

Удаление ресурсов

Чтобы удалить пространство имен реестра устройств, необходимо сначала удалить все центры Интернета вещей, связанные с пространством имен.

az iot hub delete --name <HUB_NAME> --resource-group <RESOURCE_GROUP_NAME>
az iot adr ns delete --name <NAMESPACE_NAME> --resource-group <RESOURCE_GROUP_NAME>
az iot dps delete --name <DPS_NAME> --resource-group <RESOURCE_GROUP_NAME> 
az identity delete --name <USER_IDENTITY> --resource-group <RESOURCE_GROUP_NAME>

Обзор

Используйте предоставленный сценарий PowerShell, чтобы автоматизировать настройку Центра Интернета вещей с помощью интеграции с Azure реестром устройств. Скрипт выполняет все необходимые шаги для создания требуемых ресурсов и связывания их друг с другом, в том числе следующие шаги:

1. Создайте группу ресурсов.
2. Настройте необходимые привилегии приложения.
3. Создайте управляемый идентификатор, назначенный пользователем.
4. Создайте пространство имен реестра устройств с управляемым удостоверением, назначаемое системой.
5. Создайте корневой центр сертификации учетных данных (корневой ЦС) и политику (выдача ЦС) в пределах этого пространства имен.
6. Создайте центр IoT (предварительная версия) со связанным пространством имен и управляемым идентификатором.
7. Создайте экземпляр DPS с привязанным центром Интернета вещей и пространством имен.
8. Синхронизация учетных данных и политик (сертификатов ЦС) с Центр Интернета вещей.
9. Создайте группу регистрации и свяжите её с вашей политикой, чтобы включить выдачу сертификатов.

Подготовьте вашу среду

1. Скачайте PowerShell 7 для Windows.

2. Перейдите в репозиторий GitHub и скачайте папку Scripts, содержащую файл скрипта, iothub-adr-certs-setup-preview.ps1.

Настройка переменных скрипта

Откройте файл скрипта в текстовом редакторе и измените следующие переменные, чтобы соответствовать нужной конфигурации:

• TenantId: идентификатор арендатора. Чтобы найти это значение, запустите az account show в терминале.
• SubscriptionId: идентификатор подписки. Чтобы найти это значение, запустите az account show в терминале.
• ResourceGroup: имя вашей новой группы ресурсов.
• Location: регион Azure, в котором требуется создать ресурсы. Ознакомьтесь с доступными локациями для функций предварительного просмотра в разделе Поддерживаемые регионы.
• NamespaceName: имя пространства имен может содержать только строчные буквы и дефисы (-) в середине имени, но не в начале или конце. Например, пространство имен msft является допустимым именем.
• HubName: имя концентратора может содержать только строчные буквы и цифры.
• DpsName: имя нового экземпляра DPS.
• UserIdentity: новая назначенная пользователем управляемая идентичность для ваших ресурсов.
• WorkingFolder: локальная папка, в которой находится скрипт.

Интерактивный запуск скрипта

1. Откройте скрипт и запустите в PowerShell 7+ от имени администратора. Перейдите в папку, содержащую скрипт и выполните команду .\iothub-adr-certs-setup-preview.ps1.

2. При возникновении проблемы с политикой выполнения попробуйте запустить powershell -ExecutionPolicy Bypass -File .\iothub-adr-certs-setup-preview.ps1.

3. Если вы получите сообщение о том, что пространство имен Microsoft.DeviceRegistry не зарегистрировано, попробуйте запустить az provider register --namespace Microsoft.DeviceRegistry.

4. Следуйте пошаговым инструкциям.

   • Нажмите Enter, чтобы продолжить шаг.
   • Выберите s или S , чтобы пропустить шаг.
   • Нажмите клавиши CTRL + C , чтобы прервать.

Создание пространства имен реестра устройств, Центр Интернета вещей, экземпляра DPS и других ресурсов может занять до пяти минут.

Мониторинг выполнения и проверка ресурсов

1. Скрипт продолжает выполнение, когда возникают предупреждения и останавливается только в том случае, если команда возвращает ненулевой код выхода. Отслеживайте консоль для красных сообщений ERROR , которые указывают на проблемы, требующие внимания.

2. После завершения скрипта проверьте создание ресурсов, перейдя в новую группу ресурсов на портале Azure. Вы увидите, что созданы следующие ресурсы:

   • Экземпляр IoT-хаба
   • Экземпляр DPS
   • пространство имен реестра устройств Azure
   • Управляемая идентификация, назначаемая пользователем