创建演示证书用于测试 IoT Edge 设备功能

若要在 Windows 设备上创建演示证书，请安装 OpenSSL，然后克隆生成脚本并将其设置为在 PowerShell 本地运行。

在用于生成证书的设备上安装 OpenSSL for Windows。 如果已安装 OpenSSL，请确保 PATH 环境变量中提供了 openssl.exe。

可以通过不同的方式安装 OpenSSL：

• 更轻松： 下载并安装任何第三方 OpenSSL 二进制文件，例如从 SourceForge 上的 OpenSSL 下载并安装。 将 openssl.exe 的完整路径添加到 PATH 环境变量。

• 推荐： 下载 OpenSSL 源代码并在设备上生成二进制文件，或使用 vcpkg。 以下说明使用 vcpkg 在 Windows 设备上下载源代码、编译和安装 OpenSSL。

  1. 导航到要安装 vcpkg 的目录。 按照说明下载并安装 vcpkg。

  2. 安装 vcpkg 后，在 PowerShell 提示符下运行以下命令以安装适用于 Windows x64 的 OpenSSL 包。 此安装通常需要大约 5 分钟才能完成。

     .\vcpkg install openssl:x64-windows
     

  3. 将 <vcpkg path>\installed\x64-windows\tools\openssl 添加到 PATH 环境变量，以便可以调用 openssl.exe 文件。

Azure IoT Edge Git 存储库包含可用于生成测试证书的脚本。 在本部分中，将克隆 IoT Edge 存储库并执行脚本。

1. 在管理员模式下开启 PowerShell。

2. 克隆 IoT Edge git 存储库，该存储库包含用于生成演示证书的脚本。 使用 git clone 命令或下载 ZIP。

   git clone https://github.com/Azure/iotedge.git
   

3. 创建目录并在那里复制证书脚本。 所有证书和密钥文件都在此目录中创建。

   mkdir wrkdir
   cd .\wrkdir\
   cp ..\iotedge\tools\CACertificates\*.cnf .
   cp ..\iotedge\tools\CACertificates\ca-certs.ps1 .
   

   如果将存储库下载为 ZIP，则文件夹名称与 iotedge-master 路径的其余部分相同。

4. 设置 PowerShell 执行策略以运行脚本。

   Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser
   

5. 将脚本使用的函数导入到 PowerShell 的全局命名空间中。

   . .\ca-certs.ps1
   

   PowerShell 窗口显示一条警告，指出此脚本生成的证书仅用于测试，不应在生产方案中使用。

6. 验证 OpenSSL 是否已正确安装，并确保现有的证书不会发生名称冲突。 如果出现问题，脚本输出应会说明如何在系统上修复这些问题。

   Test-CACertsPrerequisites
   

若要在 Linux 设备上创建演示证书，需要克隆生成脚本并将其设置为在 bash 中本地运行。

1. 克隆 IoT Edge git 存储库，其中包含用于生成演示证书的脚本。

   git clone https://github.com/Azure/iotedge.git
   

2. 创建目录并在那里复制证书脚本。 所有证书和密钥文件都在此目录中创建。

   mkdir wrkdir
   cd wrkdir
   cp ../iotedge/tools/CACertificates/*.cnf .
   cp ../iotedge/tools/CACertificates/certGen.sh .
   

1. 转到在其中放置证书生成脚本的工作目录 wrkdir 。

2. 创建根 CA 证书并签名一个中间证书。 证书存放在工作目录中。

   New-CACertsCertChain rsa
   

   此脚本创建多个证书和密钥文件。 当文章请求 根 CA 证书时，请使用以下文件：

   certs\azure-iot-test-only.root.ca.cert.pem

1. 转到在其中放置证书生成脚本的工作目录 wrkdir 。

2. 创建根 CA 证书和一个中间证书。

   ./certGen.sh create_root_and_intermediate
   

   此脚本创建多个证书和密钥文件。 当文章请求 根 CA 证书时，请使用以下文件：

   certs/azure-iot-test-only.root.ca.cert.pem

1. 转到具有证书生成脚本和根 CA 证书的工作目录 wrkdir 。

2. 使用以下命令创建 IoT Edge 设备标识证书和私钥：

   New-CACertsEdgeDeviceIdentity "<device-id>"
   

   为此命令输入的名称是 IoT 中心 IoT Edge 设备的设备 ID。

3. 新的设备标识命令会创建多个证书和密钥文件：

   展开表

   类型	文件	说明
   设备标识证书	certs\iot-edge-device-identity-<device-id>.cert.pem	由前面生成的中间证书签名。 仅包含标识证书。 在配置文件中指定，以便进行 DPS 单个注册或 IoT 中心预配。
   完整链证书	certs\iot-edge-device-identity-<device-id>-full-chain.cert.pem	包含完整证书链，其中有中间证书。 在配置文件中指定，以便 IoT Edge 将其提供给 DPS 进行组注册预配。
   私钥	private\iot-edge-device-identity-<device-id>.key.pem	与设备标识证书关联的私钥。 只要对 DPS 或 IoT 中心使用某种证书身份验证（指纹或 CA），就应在配置文件中指定。

1. 导航到包含证书生成脚本和根 CA 证书的工作目录 wrkdir。

2. 使用以下命令创建 IoT Edge 设备标识证书和私钥：

   ./certGen.sh create_edge_device_identity_certificate "<device-id>"
   

   传递给此命令的名称将是 IoT 中心的 IoT Edge 设备的设备 ID。

3. 此脚本会创建多个证书和密钥文件，其中包括在 DPS 中创建单个注册以及安装 IoT Edge 运行时时会使用的三个证书和密钥文件：

   展开表

   类型	文件	说明
   设备标识证书	certs/iot-edge-device-identity-<device-id>.cert.pem	由前面生成的中间证书签名。 仅包含标识证书。 在配置文件中指定，以便进行 DPS 单个注册或 IoT 中心预配。
   完整链证书	certs/iot-edge-device-identity-<device-id>-full-chain.cert.pem	包含完整证书链，其中有中间证书。 在配置文件中指定，以便 IoT Edge 将其提供给 DPS 进行组注册预配。
   私钥	private/iot-edge-device-identity-<device-id>.key.pem	与设备标识证书关联的私钥。 只要对 DPS 或 IoT 中心使用某种证书身份验证（指纹或 CA），就应在配置文件中指定。

1. 导航到包含证书生成脚本和根 CA 证书的工作目录 wrkdir。

2. 使用以下命令创建 IoT Edge CA 证书和私钥。 输入 CA 证书的名称。 请勿在New-CACertsEdgeDevice命令中使用与配置文件中的主机名参数或 IoT 中心中设备 ID 相同的名称。

   New-CACertsEdgeDevice "<CA cert name>"
   

3. 此命令将创建多个证书和密钥文件。 将以下证书和密钥对复制到 IoT Edge 设备，并在配置文件中引用它们：

   • certs\iot-edge-device-<CA cert name>-full-chain.cert.pem
   • private\iot-edge-device-<CA cert name>.key.pem

1. 导航到包含证书生成脚本和根 CA 证书的工作目录。

2. 使用以下命令创建 IoT Edge CA 证书和私钥。 输入 CA 证书的名称。 请勿在配置文件中的主机名参数或 IoT 中心的设备 ID 中使用与 create_edge_device_ca_certificate 命令相同的名称。

   ./certGen.sh create_edge_device_ca_certificate "<CA cert name>"
   

3. 此脚本命令将创建多个证书和密钥文件。 将以下证书和密钥对复制到 IoT Edge 设备，并在配置文件中引用它们：

   • certs/iot-edge-device-ca-<CA cert name>-full-chain.cert.pem
   • private/iot-edge-device-ca-<CA cert name>.key.pem

1. 导航到包含证书生成脚本和根 CA 证书的工作目录 wrkdir。

2. 为下游设备创建两个证书（主要和辅助）。 要使用的简易命名约定是依次使用 IoT 设备的名称以及主要标签或辅助标签创建证书。 例如：

   New-CACertsDevice "<device ID>-primary"
   New-CACertsDevice "<device ID>-secondary"
   

   此脚本命令将创建多个证书和密钥文件。 以下证书和密钥对需要复制到下游 IoT 设备，并在连接到 IoT 中心的应用程序中引用：

   • certs\iot-device-<device ID>-primary-full-chain.cert.pem
   • certs\iot-device-<device ID>-secondary-full-chain.cert.pem
   • certs\iot-device-<device ID>-primary.cert.pem
   • certs\iot-device-<device ID>-secondary.cert.pem
   • certs\iot-device-<device ID>-primary.cert.pfx
   • certs\iot-device-<device ID>-secondary.cert.pfx
   • private\iot-device-<device ID>-primary.key.pem
   • private\iot-device-<device ID>-secondary.key.pem

3. 从每个证书中检索 SHA1 指纹（在 IoT 中心上下文中称为“指纹”）。 指纹是由 40 个十六进制字符组成的字符串。 使用以下 openssl 命令查看证书并查找指纹：

   Write-Host (Get-Pfxcertificate -FilePath certs\iot-device-<device name>-primary.cert.pem).Thumbprint
   

   运行此命令两次，一次针对主要证书，另一次针对辅助证书。 使用自签名的 X.509 证书注册新 IoT 设备时，为这两个证书提供指纹。

1. 导航到包含证书生成脚本和根 CA 证书的工作目录。

2. 为下游设备创建两个证书（主要和辅助）。 要使用的简易命名约定是依次使用 IoT 设备的名称以及主要标签或辅助标签创建证书。 例如：

   ./certGen.sh create_device_certificate "<device name>-primary"
   ./certGen.sh create_device_certificate "<device name>-secondary"
   

   此脚本命令将创建多个证书和密钥文件。 以下证书和密钥对需要复制到下游 IoT 设备，并在连接到 IoT 中心的应用程序中引用：

   • certs/iot-device-<device name>-primary-full-chain.cert.pem
   • certs/iot-device-<device name>-secondary-full-chain.cert.pem
   • certs/iot-device-<device name>-primary.cert.pem
   • certs/iot-device-<device name>-secondary.cert.pem
   • certs/iot-device-<device name>-primary.cert.pfx
   • certs/iot-device-<device name>-secondary.cert.pfx
   • private/iot-device-<device name>-primary.key.pem
   • private/iot-device-<device name>-secondary.key.pem

3. 从每个证书中检索 SHA1 指纹（在 IoT 中心上下文中称为“指纹”）。 指纹是由 40 个十六进制字符组成的字符串。 使用以下 openssl 命令查看证书并查找指纹：

   openssl x509 -in certs/iot-device-<device name>-primary.cert.pem -text -thumbprint | sed 's/[:]//g'
   

   使用自签名的 X.509 证书注册新 IoT 设备时，请提供主要指纹和辅助指纹。

1. 将根 CA 证书文件从工作目录 certs\azure-iot-test-only.root.ca.cert.pem 上传到 IoT 中心。

2. 如果未选择自动验证，请使用 Azure 门户中提供的代码验证你是否拥有该根 CA 证书。

   New-CACertsVerificationCert "<verification code>"
   

3. 创建下游设备的证书链。 使用 IoT 中心内用于注册设备的设备 ID。

   New-CACertsDevice "<device id>"
   

   此脚本命令将创建多个证书和密钥文件。 以下证书和密钥对需要复制到下游 IoT 设备，并在连接到 IoT 中心的应用程序中引用：

   • certs\iot-device-<device id>.cert.pem
   • certs\iot-device-<device id>.cert.pfx
   • certs\iot-device-<device id>-full-chain.cert.pem
   • private\iot-device-<device id>.key.pem

1. 将根 CA 证书文件从工作目录 certs\azure-iot-test-only.root.ca.cert.pem 上传到 IoT 中心。

2. 如果未选择自动验证，请使用 Azure 门户中提供的代码验证你是否拥有该根 CA 证书。

   ./certGen.sh create_verification_certificate "<verification code>"
   

3. 创建下游设备的证书链。 使用 IoT 中心内用于注册设备的设备 ID。

   ./certGen.sh create_device_certificate "<device id>"
   

   此脚本命令将创建多个证书和密钥文件。 以下证书和密钥对需要复制到下游 IoT 设备，并在连接到 IoT 中心的应用程序中引用：

   • certs/iot-device-<device id>.cert.pem
   • certs/iot-device-<device id>.cert.pfx
   • certs/iot-device-<device id>-full-chain.cert.pem
   • private/iot-device-<device id>.key.pem