使用 X.509 证书身份验证设置 Azure IoT Edge 设备

Azure 门户的必备组件

Azure 订阅中的免费或标准 IoT 中心。

在 Azure 门户中创建 IoT Edge 设备

在 Azure 门户的 IoT 中心，IoT Edge 设备的创建和管理独立于不支持 Edge 的 IoT 设备。

1. 登录 Azure 门户，导航到 IoT 中心。

2. 在左侧窗格中，从菜单中选择“IoT Edge”，然后选择“添加 IoT Edge 设备” 。

   

3. 在“创建设备”页面上，提供以下信息：

   • 创建描述性设备 ID。 记下此设备 ID，因为在下一部分会用到它。
   • 选择“X.509 自签名”作为身份验证类型。
   • 提供主要和辅助标识证书指纹。 SHA-1 哈希的指纹值为 40 个十六进制字符，SHA-256 哈希的指纹值为 64 个十六进制字符。

4. 选择“保存”。

在 Azure 门户中查看 IoT Edge 设备

所有连接到 IoT 中心并已启用 Edge 的设备都列在 IoT Edge 页上。

Azure CLI 的必备组件

• Azure 订阅中的 IoT 中心。
• 环境中的 Azure CLI。 Azure CLI 版本必须至少是 2.0.70 或更高版本。 请使用 az --version 验证版本。 此版本支持 az 扩展命令，并引入了 Knack 命令框架。
• 适用于 Azure CLI 的 IoT 扩展。

通过 Azure CLI 创建 IoT Edge 设备

使用 az iot hub device-identity create 命令在 IoT 中心创建新设备标识。 例如：

az iot hub device-identity create --device-id [device id] --hub-name [hub name] --edge-enabled --auth-method x509_thumbprint --primary-thumbprint [SHA thumbprint] --secondary-thumbprint [SHA thumbprint]

此命令包含多个参数：

• --device-id 或 -d：提供对 IoT 中心唯一的描述性名称。 记下此设备 ID，因为在下一部分会用到它。
• hub-name 或 -n：提供 IoT 中心的名称。
• --edge-enabled 或 --ee：声明该设备是 IoT Edge 设备。
• --auth-method 或 --am：声明设备将要使用的授权类型。 在本例中，我们将使用 X.509 证书指纹。
• --primary-thumbprint 或 --ptp：提供一个 X.509 证书指纹用作主密钥。
• --secondary-thumbprint 或 --stp：提供一个 X.509 证书指纹用作辅助密钥。

通过 Azure CLI 查看 IoT Edge 设备

使用 az iot hub device-identity list 命令在 IoT 中心查看所有设备。 例如：

az iot hub device-identity list --hub-name [hub name]

添加标志 --edge-enabled 或 --ee，仅列出 IoT 中心的 IoT Edge 设备。

注册为 IoT Edge 设备的任何设备的 capabilities.iotEdge 属性都会设置为 true。

1. 在 IoT Edge 设备上，打开配置文件。

   sudo nano /etc/iotedge/config.yaml
   

2. 找到该文件的预配配置部分。

3. 注释掉“使用连接字符串手动预配配置”部分。

4. 取消注释“使用 X.509 标识证书手动预配配置”部分。 请确保 provisioning: 行前面没有空格，并且嵌套项缩进了两个空格。

   # Manual provisioning configuration using a connection string
   provisioning:
     source: "manual"
     authentication:
       method: "x509"
       iothub_hostname: "<REQUIRED IOTHUB HOSTNAME>"
       device_id: "<REQUIRED DEVICE ID PROVISIONED IN IOTHUB>"
       identity_cert: "<REQUIRED URI TO DEVICE IDENTITY CERTIFICATE>"
       identity_pk: "<REQUIRED URI TO DEVICE IDENTITY PRIVATE KEY>"
     dynamic_reprovisioning: false
   

5. 更新以下字段：

   • iothub_hostname：设备将连接到的 IoT 中心的主机名。 例如 {IoT hub name}.azure-devices.net。
   • device_id：注册设备时提供的 ID。
   • identity_cert：设备上标识证书的 URI。 例如 file:///path/identity_certificate.pem。
   • identity_pk：所提供标识证书私钥文件的 URI。 例如 file:///path/identity_key.pem。

6. 保存并关闭该文件。

   CTRL + X、Y、Enter

7. 在配置文件中输入预配信息后，重启守护程序：

   sudo systemctl restart iotedge
   

1. 在 IoT Edge 设备上，以管理员身份运行 PowerShell。

2. 使用 Initialize-IoTEdge 命令在计算机上配置 IoT Edge 运行时。

   . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
   Initialize-IoTEdge -ManualX509
   

   • 如果使用的是 Linux 容器，则将 -ContainerOs 参数添加到标志。 使用先前运行的 Deploy-IoTEdge 命令，与所选容器选项保持一致。

     . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
     Initialize-IoTEdge -ManualX509 -ContainerOs Linux
     

   • 如果将 IoTEdgeSecurityDaemon.ps1 脚本下载到设备上以进行脱机安装或特定版本安装，请确保参考该脚本的本地副本。

     . <path>/IoTEdgeSecurityDaemon.ps1
     Initialize-IoTEdge -ManualX509
     

3. 系统出现提示时，请提供以下信息：

   • IotHubHostName：设备将连接到的 IoT 中心的主机名。 例如 {IoT hub name}.azure-devices.net。
   • DeviceId：注册设备时提供的 ID。
   • X509IdentityCertificate：设备上标识证书的绝对路径。 例如 C:\path\identity_certificate.pem。
   • X509IdentityPrivateKey：所提供标识证书私钥文件的绝对路径。 例如 C:\path\identity_key.pem。

手动预配设备时，可以使用其他参数来修改过程，包括：

• 定向流量，使其通过代理服务器
• 声明特定的 edgeAgent 容器映像，并提供凭据（如果该映像位于专用注册表中）

有关这些附加参数的详细信息，请参阅 Windows 上 IoT Edge 的 PowerShell 脚本。

systemctl status iotedge

Get-Service iotedge

journalctl -u iotedge --no-pager --no-full

如果刚刚完成了 IoT Edge 运行时的安装，可能会看到运行 Deploy-IoTEdge 之后、运行 Initialize-IoTEdge 之前发生的错误列表。 这些错误在预料之中，因为该服务在经过配置之前会尝试启动。

. {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; Get-IoTEdgeLog

在 Linux 设备上，需要提升的权限才能运行 iotedge 命令。 安装运行时后，请从计算机中注销并重新登录以自动更新权限。 在此之前，请使用 sudo 通过提升的权限运行命令。

在运行 Windows 容器的 Windows 设备上，Moby 容器引擎安装为 IoT Edge 的一部分。 Moby 引擎旨在与 Docker Desktop 并行运行。 如果要与设备上的容器直接交互，可以使用 docker 命令。 但是，如果设备上还安装了 Docker Desktop，则必须以 Moby 引擎为具体目标。

例如，若要列出所有 Docker 映像，可使用以下命令：

docker images

若要列出所有 Moby 映像，可以使用指向 Moby 引擎的指针修改上述命令：

docker -H npipe:////./pipe/iotedge_moby_engine images

引擎 URI 将在安装脚本的输出中列出，也可以在 config.yaml 文件的容器运行时设置节中找到它。