使用 TPM 大规模创建和预配 IoT Edge for Linux on Windows 设备

项目
04/12/2024

适用于： IoT Edge 1.4

本文提供有关使用受信任的平台模块 (TPM) 自动预配 Azure IoT Edge for Linux on Windows 设备的说明。可以通过 Azure IoT 中心设备预配服务自动预配 Azure IoT Edge 设备。如果你不熟悉自动预配过程，请在继续操作之前查看预配概述。

本文概述了两种方法。根据解决方案的体系结构选择你的首选方法：

使用物理 TPM 硬件自动预配 Linux on Windows 设备。
使用模拟 TPM 自动预配 Linux on Windows 设备。建议仅将此方法用作测试方案。模拟 TPM 无法提供与物理 TPM 相同的安全性。

任务如下：

物理 TPM
模拟 TPM

安装 IoT Edge for Linux on Windows。
检索设备中的 TPM 信息。
为设备创建个人注册。
根据其 TPM 信息预配设备。

先决条件

云资源

一个活动的 IoT 中心
Azure 中的一个 IoT 中心设备预配服务实例，该实例已链接到 IoT 中心
- 如果没有设备预配服务实例，则可按照 IoT 中心设备预配服务快速入门的创建新的 IoT 中心设备预配服务和将 IoT 中心和设备预配服务相链接部分的说明进行操作。
- 运行设备预配服务后，从概述页复制“ID 范围”的值。配置 IoT Edge 运行时时，需要使用此值。

设备要求

具有以下最低要求的 Windows 设备：

系统要求
- Windows 10¹/11（专业版、企业版、IoT Enterprise）
- Windows Server 2019¹/2022
  _{¹ Windows 10 和 Windows Server 2019 最低内部版本 17763，并且安装了所有当前累积更新。}
硬件要求
- 最小可用内存：1 GB
- 最小可用磁盘空间：10 GB
虚拟化支持
- 在 Windows 10 上，启用 Hyper-V。有关详细信息，请参阅在 Windows 10 上安装 Hyper-V。
- 在 Windows Server 上，安装 Hyper-V 角色并创建默认网络交换机。有关详细信息，请参阅用于 Azure IoT Edge for Linux on Windows 的嵌套虚拟化。
- 在虚拟机上配置嵌套虚拟化。有关详细信息，请参阅嵌套虚拟化。
网络支持
- Windows Server 未附带默认交换机。需要创建一个虚拟交换机，然后才能将 EFLOW 部署到 Windows Server 设备。
- Windows 桌面版本附带了可用于 EFLOW 安装的默认交换机。如果需要，可以创建自己的自定义虚拟交换机。

提示

如果要在 Azure IoT Edge for Linux on Windows 部署中使用 GPU 加速的 Linux 模块，则需要考虑多个配置选项。

需要根据 GPU 体系结构安装正确的驱动程序，并且可能需要访问 Windows 预览体验计划内部版本。若要确定配置需求并满足这些先决条件，请参阅适用于 Azure IoT Edge for Linux on Windows 的 GPU 加速。

现在务必要花点时间来满足 GPU 加速的先决条件。如果在安装过程中决定要进行 GPU 加速，则需要重新启动安装过程。

开发人员工具

准备目标设备，以便安装 Azure IoT Edge for Linux on Windows 并部署 Linux 虚拟机：

在目标设备上将执行策略设置为 AllSigned。可以在已提升权限的 PowerShell 提示符下使用以下命令检查当前执行策略：
```
Get-ExecutionPolicy -List
```
如果 local machine 的执行策略不是 AllSigned，则可以使用以下命令设置执行策略：
```
Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
```

若要详细了解 Azure IoT Edge for Linux on Windows PowerShell 模块，请参阅 PowerShell 函数参考。

注意

将 TPM 证明与设备预配服务结合使用时，需要 TPM 2.0。

使用 TPM 时，只能创建单个设备预配服务注册，不能创建组设备预配服务注册。

安装 IoT Edge

在目标设备上部署 Azure IoT Edge for Linux on Windows。

注意

以下 PowerShell 过程概述了如何在 Windows 上将适用于 Linux 的 IoT Edge 部署到本地设备。若要使用 PowerShell 部署到远程目标设备，请使用远程 PowerShell 与远程设备建立连接，并在该设备上远程运行这些命令。

在已提升权限的 PowerShell 会话中，根据目标设备体系结构运行以下命令之一，以下载 IoT Edge for Linux on Windows。

X64/AMD64

$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
$ProgressPreference = 'SilentlyContinue'
Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_X64" -OutFile $msiPath

ARM64

$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
$ProgressPreference = 'SilentlyContinue'
Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_ARM64" -OutFile $msiPath

在设备上安装 IoT Edge for Linux on Windows。
```
Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
```
通过向安装命令中添加 INSTALLDIR="<FULLY_QUALIFIED_PATH>" 和 VHDXDIR="<FULLY_QUALIFIED_PATH>" 参数，可以指定自定义 IoT Edge for Linux on Windows 安装和 VHDX 目录。例如，如果要使用用于安装的 D:\EFLOW 文件夹和用于 VHDX 的 D:\EFLOW-VHDX，可以使用以下 PowerShell cmdlet。
```
Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
```
在目标设备上将执行策略设置为 AllSigned（如果尚未设置）。请参阅 PowerShell 先决条件，了解用于检查当前执行策略以及将执行策略设置为 AllSigned 的命令。
创建 IoT Edge for Linux on Windows 部署。部署将为你创建 Linux 虚拟机并安装 IoT Edge 运行时。
```
Deploy-Eflow
```
提示

默认情况下，Deploy-Eflow 命令会创建具有 1 GB RAM、1 个 vCPU 核心和 16 GB 磁盘空间的 Linux 虚拟机。但是，VM 所需的资源高度依赖于部署的工作负荷。如果 VM 没有足够的内存来支持工作负荷，将无法启动。

可以使用 Deploy-Eflow 命令的可选参数自定义虚拟机的可用资源。这是在满足最低硬件要求的设备上部署 EFLOW 所必需的。

例如，以下命令创建具有 1 个 vCPU 核心、1 GB RAM（以 MB 表示）和 2 GB 磁盘空间的虚拟机：
```
Deploy-Eflow -cpuCount 1 -memoryInMB 1024 -vmDataSize 2
```
有关所有可用的可选参数的信息，请参阅适用于 IoT Edge for Linux on Windows 的 PowerShell 函数。
警告

默认情况下，EFLOW Linux 虚拟机没有 DNS 配置。使用 DHCP 的部署将尝试获取由 DHCP 服务器传播的 DNS 配置。请检查 DNS 配置以确保具有 Internet 连接。有关详细信息，请参阅 AzEFLOW-DNS。

可以为部署分配 GPU，以启用 GPU 加速的 Linux 模块。若要获取这些功能的访问权限，需要安装适用于 Azure IoT Edge for Linux on Windows 的 GPU 加速中详细说明的必备组件。

若要使用 GPU 直通，请将 gpuName、gpuPassthroughType 和 gpuCount 参数添加到 Deploy-Eflow 命令中。有关所有可用的可选参数的信息，请参阅适用于 IoT Edge for Linux on Windows 的 PowerShell 函数。

警告

启用硬件设备直通可能会增加安全风险。 Azure 建议使用 GPU 供应商提供的设备缓解驱动程序（如果适用）。有关详细信息，请参阅使用离散设备分配部署图形设备。
输入“Y”接受许可条款。
根据自己的偏好，输入“O”或“R”以打开或关闭“可选诊断数据”。
部署完成后，PowerShell 窗口会报告“部署成功”。

成功部署后，便可以预配设备了。

准备设备以通过 TPM 进行预配时，需要执行一些步骤。准备设备时，请将部署保持打开状态。在本文中，你稍后将返回到你的部署。

启用 TPM 传递

IoT Edge for Linux on Windows VM 具有可以启用或禁用的 TPM 功能。默认禁用此功能。启用此功能后，该 VM 可访问主机的 TPM。

在提升的会话中打开 PowerShell。
如果还未这样做，请将设备上的执行策略设置为 AllSigned，以便可运行 IoT Edge for Linux on Windows PowerShell 函数。
```
Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
```

启用 TPM 功能。

Set-EflowVmFeature -feature 'DpsTpm' -enable

若要预配设备，需要 TPM 芯片的认可密钥和设备的注册 ID 。向设备预配服务的实例提供此信息，以便服务在尝试连接时能够识别你的设备。

认可密钥对于每个 TPM 芯片都是唯一的。它从与其关联的 TPM 芯片制造商那里获取。例如，可通过创建认可密钥的 SHA-256 哈希来为 TPM 设备派生唯一的注册 ID。

IoT Edge for Linux on Windows 提供一个 PowerShell 脚本，帮助从 TPM 中检索此信息。若要使用脚本，请在设备上执行以下步骤：

在提升的会话中打开 PowerShell。

运行命令。

Get-EflowVmTpmProvisioningInfo | Format-List

创建设备预配服务注册

使用 TPM 的预配信息在设备预配服务中创建单个注册。

在设备预配服务中创建注册时，可以声明“初始设备孪生状态”。在设备孪生中可以设置标记，以便按解决方案中所用的任何指标（例如区域、环境、位置或设备类型）将设备分组。这些标记用于创建自动部署。

提示

本文中的步骤适用于 Azure 门户，但你也可使用 Azure CLI 创建单个注册。有关详细信息，请参阅 az iot dps enrollment。作为 CLI 命令的一部分，使用 edge-enabled 标志指定注册适用于单个 IoT Edge设备。

在 Azure 门户中，转到你的 IoT 中心设备预配服务实例。
在“设置”下，选择“管理注册”。
选择“添加单个注册”，然后完成以下步骤以配置注册：
1. 对于“机制”，请选择“TPM”。
2. 提供从 VM 或物理设备中复制的认可密钥和注册 ID。
3. 根据需要，为设备提供一个 ID。如果未提供设备 ID，则会使用注册 ID。
4. 选择“True”，以声明 VM 或物理设备是 IoT Edge 设备。
5. 选择要将设备连接到的已链接 IoT 中心，或者选择“链接到新的 IoT 中心”。可以选择多个中心，设备将会根据所选分配策略被分配到其中一个中心。
6. 根据需要，将标记值添加到“初始设备孪生状态”。可以使用标记将设备组指定为模块部署的目标。有关详细信息，请参阅大规模部署 IoT Edge 模块。
7. 选择“保存” 。

既然此设备已存在注册，IoT Edge 运行时在安装期间可以自动预配设备。

为设备预配其云标识

在 Windows 设备上打开提升的 PowerShell 会话。

使用从设备预配服务实例中收集的范围 ID 来预配设备。

Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE"

如果已使用自定义注册 ID 注册了设备，则在预配时也必须指定该注册 ID：

Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE" -registrationId "REGISTRATION_ID_HERE"

验证是否成功安装

验证是否已在 IoT Edge 设备上成功安装并配置了 IoT Edge for Linux on Windows。

如果运行时成功启动，那么你可以进入 IoT 中心，开始将 IoT Edge 模块部署到你的设备。

可以验证是否使用了在设备预配服务中创建的单个注册。在 Azure 门户中转到你的设备预配服务实例。打开创建的个人注册的注册详细信息。注意注册状态是否为“已分配”并且设备 ID 已列出。

在设备上使用以下命令验证是否已成功安装并启动 IoT Edge。

在 PowerShell 会话中使用以下命令，连接到 IoT Edge for Linux on Windows VM：
```
Connect-EflowVm
```
注意

唯一可以通过 SSH 连接到该 VM 的帐户是创建了该 VM 的用户。
登录后，可以使用以下 Linux 命令查看正在运行的 IoT Edge 模块的列表：
```
sudo iotedge list
```
如果需要对 IoT Edge 服务进行故障排除，请使用以下 Linux 命令。
1. 若需排查服务问题，请检索服务日志。
```
sudo iotedge system logs
```
2. 使用 check 工具验证设备的配置和连接状态。
```
sudo iotedge check
```
注意

在新预配的设备上，可能会看到与 IoT Edge 中心相关的错误：

× 生产就绪性：Edge 中心的存储目录持久保存在主机文件系统上- 错误

无法检查 edgeHub 容器的当前状态

由于 IoT Edge 中心模块未运行，在新预配的设备上预期会出现此错误。若要解决此错误，请在 IoT 中心为设备设置模块并创建部署。为设备创建部署会启动设备上的模块，包括 IoT Edge 中心模块。

卸载 IoT Edge for Linux on Windows

若要从设备中删除 Azure IoT Edge for Linux on Windows 安装，请使用以下命令。

在 Windows 上打开“设置”
选择“添加或删除程序”
选择“Azure IoT Edge”应用
选择“卸载”

后续步骤

使用设备预配服务注册过程可以在预配新设备的同时，设置设备 ID 和设备孪生标记。可以在自动设备管理中，使用这些值将单个设备或设备组指定为目标。

了解如何使用 Azure 门户或 Azure CLI 大规模部署和监视 IoT Edge 模块。