Propojení a správa ioT Hubů

Azure IoT Hub Device Provisioning Service (DPS) může zřizovat zařízení v jednom nebo několika centrech IoT. Než bude služba DPS moct zřizovat zařízení do centra IoT, musí mít možnost zapisovat do registru zařízení centra IoT. Tento článek obsahuje pokyny k propojení center IoT a jejich správě v instanci DPS. Po propojení je možné centrum IoT použít v zásadách přidělování. Zásady přidělování určují, jak se zařízení přiřazují službě IoT Hubs službou DPS.

Nastavení propojeného centra IoT

Služba Device Provisioning může zřizovat zařízení pouze pro centra IoT, která jsou s ní propojená. Propojení ioT Hubu s instancí DPS dává instanci DPS oprávnění ke čtení a zápisu do registru zařízení služby IoT Hub. S těmito oprávněními může DPS zaregistrovat ID zařízení a nastavit počáteční konfiguraci dvojčete zařízení. Propojené ioT huby můžou být v libovolné oblasti Azure. Centra můžete propojit v jiných předplatných s vaší instancí DPS.

Jakmile je centrum IoT propojené s DPS, může se zapojit do přidělování. To, jestli a jak se účastní přidělení, závisí na nastavení registrace, kterou zařízení zřizuje, a na nastaveních samotného propojeného centra IoT.

Následující nastavení určují, jak DPS používá propojené IoT Huby:

  • Připojovací řetězec: Nastaví ioT Hub připojovací řetězec, který DPS používá pro připojení k propojenému centru IoT. Připojovací řetězec je založen na jedné ze zásad sdíleného přístupu služby IoT Hub. Služba DPS potřebuje v centru IoT následující oprávnění: RegistryWrite a ServiceConnect. Připojovací řetězec musí patřit k zásadě sdíleného přístupu, která má tato oprávnění. Další informace o zásadách sdíleného přístupu služby IoT Hub najdete v tématu Řízení přístupu a oprávnění služby IoT Hub.

  • Typ autentizace: Ovládá, jak se DPS autentizuje k propojenému IoT hubu. Podporované hodnoty jsou KeyBased (připojovací řetězec), SystemAssigned (systémově přiřazená spravovaná identita) a (uživatelem přiřazená spravovaná identita UserAssigned ). Viz Propojení IoT uzlu pomocí spravované identity.

  • Typ názvu hostitele: Určuje, který koncový bod služby IoT Hub používá DPS při zřizování zařízení. Použití classic pro standardní koncový bod nebo device pro zařízení podporující TLS 1.3. Viz Použití koncových bodů TLS 1.3 pro propojené huby.

  • Váha přidělení: Určuje pravděpodobnost, s jakou bude centrum IoT vybráno, když služba DPS provádí hashování přiřazení zařízení v rámci sady center IoT Hub. Hodnota může být v rozmezí od 1000 do 1 000. Výchozí hodnota je jedna (nebo null). Vyšší hodnoty zvyšují pravděpodobnost výběru centra IoT.

  • Použít zásadu přidělování: Určuje, zda centrum IoT používá zásadu přidělování. Výchozí hodnota je Ano (true). Pokud je nastavená hodnota Ne (nepravda), zařízení se nepřiřazují k centru IoT. Centrum IoT je stále možné vybrat v rámci registrace, ale nebude se účastnit přiřazování. Toto nastavení můžete použít k dočasnému nebo trvalému vyřazení IoT hubu z procesu přidělování, například pokud se blíží maximálnímu povolenému počtu zařízení.

Další informace o zásadách přidělování DPS a o tom, jak se na nich podílejí propojené služby IoT Hub, najdete v tématu Správa zásad přidělování.

Omezení

  • Při práci s propojenými službami IoT Hub a privátními koncovými body existují určitá omezení. Další informace najdete v tématu Omezení privátního koncového bodu.

  • Propojený IoT Hub musí mít možnost Připojit pomocí zásad sdíleného přístupu nastavenou na Povolit.

Přidání propojeného centra IoT

Můžete přidat centra IoT, která jsou uvnitř nebo mimo vaše předplatné. Když propojíte IoT Hub, může, ale nemusí být k dispozici pro alokace ve stávajících registracích:

  • U registrací, které výslovně neurčují, na které IoT huby se má zásada přidělování použít, se nově propojený IoT hub okamžitě začne podílet na přidělování.

  • U registrací, které explicitně nastaví centra IoT, aby použily zásady přidělování, budete muset ručně nebo programově přidat nové centrum IoT do nastavení registrace, aby se mohlo účastnit přidělování.

Na webu Azure Portal můžete centrum IoT propojit buď z levé nabídky instance DPS, nebo z registrace při vytváření nebo aktualizaci registrace. V obou případech je IoT Hub vymezen pro instanci DPS (nejen pro zápis).

Postup propojení IoT Hubu s instancí DPS v Azure Portal:

  1. V levé nabídce instance DPS vyberte Propojené ioT huby.

  2. V horní části stránky vyberte + Přidat.

  3. Na stránce Přidat odkaz na centrum IoT vyberte předplatné, které obsahuje centrum IoT, a pak ze seznamu centra IoT zvolte název centra IoT.

  4. Po výběru centra IoT zvolte zásadu přístupu, kterou služba DPS použije pro připojení k centru IoT. Seznam zásad přístupu zobrazuje všechny zásady sdíleného přístupu definované ve vybrané službě IoT Hub, které mají definovaná oprávnění RegistryWrite i ServiceConnect . Výchozí hodnotou jsou zásady iothubowneru . Vyberte zásadu, kterou chcete použít.

  5. Zvolte Uložit.

Poznámka:

Na portálu Azure nemůžete při přidávání propojeného centra IoT nastavit možnosti Váha přidělování a Použít zásady přidělování. Místo toho aktualizujte tato nastavení po propojení centra IoT.

DPS také podporuje propojení ioT Hubů pomocí rozhraní REST API pro vytváření nebo aktualizaci prostředků DPS, šablon Resource Manageru a sad SDK pro správu DPS.

Místo sdíleného přístupového klíče připojovací řetězec můžete propojit IoT hub s DPS pomocí spravované identity. DPS podporuje systémově a uživatelem přiřazené spravované identity.

Předpoklady

  • Před propojením musíte na své DPS instanci povolit spravovanou identitu.
  • Spravovaná identita musí mít v cílovém centru IoT roli IoT Hub Data Contributor (nebo vlastní roli s oprávněními RegistryWrite a ServiceConnect).

Přiřazení identity přiřazené systémem instanci DPS:

az iot dps identity assign --name <dps-name> --resource-group <resource-group> --system

Přiřadit uživatelem přiřazenou identitu:

az identity create --name <identity-name> --resource-group <resource-group>
UAMI_ID=$(az identity show --name <identity-name> --resource-group <resource-group> --query id --output tsv)
az iot dps identity assign --name <dps-name> --resource-group <resource-group> --user $UAMI_ID

az iot dps linked-hub create \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --hub-name <hub-name> \
  --authentication-type SystemAssigned

az iot dps linked-hub create \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --hub-name <hub-name> \
  --authentication-type UserAssigned \
  --user-assigned-identity <identity-resource-id>

Poznámka:

Tato --hostname-type service možnost není podporována pro operace DPS s propojeným hubem.

Použijte TLS 1.3 endpointy pro propojené huby (náhled)

Když propojíte IoT hub s DPS, můžete si vybrat, který koncový bod DPS použije při provisionování zařízení. Ve výchozím nastavení nové linky používají koncový bod zařízení podporující TLS 1.3.

Typ názvu hostitele Koncový bod používaný DPS
classic <hub>.azure-devices.net
device (výchozí pro nové odkazy) <hub>.device.azure-devices.net

Pro určení typu koncového bodu při propojení:

# Link using the TLS 1.3 device endpoint (default)
az iot dps linked-hub create \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --hub-name <hub-name> \
  --hostname-type device

# Link using the classic endpoint
az iot dps linked-hub create \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --hub-name <hub-name> \
  --hostname-type classic

Migrujte propojený hub na koncový bod TLS 1.3

Příkaz az iot dps linked-hub update nepodporuje změnu --hostname-type na existujícím odkazu; je odmítnut jako nerozpoznaný argument. Pro přesun propojeného uzlu na jiný koncový bod vytvořte nový odkaz s požadovaným --hostname-type, poté starý odkaz smažte podle jeho plného názvu hostitele.

# Create a new link that uses the TLS 1.3 device endpoint
az iot dps linked-hub create \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --hub-name <hub-name> \
  --hostname-type device

# Delete the old link by its full hostname (for example, the classic endpoint)
az iot dps linked-hub delete \
  --dps-name <dps-name> \
  --resource-group <resource-group> \
  --linked-hub <hub-name>.azure-devices.net

Important

Pokud politika alokace rozděluje zařízení mezi více propojených hubů používajících různé typy koncových bodů, ujistěte se, že všechna zařízení podporují endpointy, ke kterým mohou být přiřazena. Zařízení nastavená na koncový bod TLS 1.3 musí podporovat SNI a požadované šifrovací sady. Další informace najdete v tématu Podpora protokolu TLS 1.3.

Aktualizace propojeného centra IoT

Můžete aktualizovat nastavení propojeného centra IoT, abyste změnili jeho váhu přidělování, zda na něj lze použít zásady přidělování, a připojovací řetězec, který služba DPS používá pro připojení k němu. Když aktualizujete nastavení centra IoT, změny se projeví okamžitě, ať už je centrum IoT určené pro registraci nebo ve výchozím nastavení.

Na portálu Azure můžete změnit nastavení Váha přidělení a Použít zásady přidělování.

Aktualizace nastavení propojeného centra IoT pomocí webu Azure Portal:

  1. V levé nabídce vaší instance DPS vyberte Propojené centrum IoT a pak ze seznamu vyberte centrum IoT.

  2. Na stránce Podrobnosti propojeného centra IoT:

    Snímek obrazovky znázorňující propojenou stránku podrobností centra IoT

    • Pomocí posuvníku nebo textového pole Váha přidělení zvolte váhu mezi 1 a 1000. Výchozí hodnota je jedna.

    • Nastavte přepínač Použít zásadu přidělování a určete, jestli má být propojený hub IoT zahrnut do přidělování.

  3. Uložte svá nastavení.

Poznámka:

Nemůžete aktualizovat připojovací řetězec, které DPS používá k připojení k centru IoT z webu Azure Portal. Místo toho pomocí Azure CLI aktualizujte připojovací řetězec nebo odstraňte propojené centrum IoT z vaší instance DPS a znovu ho propojte. Další informace najdete v části Aktualizace klíčů pro propojená centra IoT.

DPS také podporuje aktualizaci propojených IoT Hubů pomocí REST API Vytvořit nebo aktualizovat prostředek DPS, šablon Resource Manageru a sad SDK pro správu DPS.

Odstranění propojeného centra IoT

Když z instance DPS odstraníte propojené centrum IoT, nebude už k dispozici pro nastavení v budoucích registracích. V existujících zápisech ale může, nebo nemusí být odstraněn z přiřazení:

  • U registrací, které výslovně neurčují, na které IoT Huby se má použít zásada přidělování, již odstraněný propojený IoT Hub není k dispozici pro přidělení.

  • U registrací, které explicitně nastaví centra IoT, aby použily zásady přidělování, budete muset centrum IoT ručně nebo programově odebrat z nastavení registrace, aby bylo možné ho odebrat z účasti na přidělení. Pokud tak neučiníte, může při pokusu zařízení o zřízení prostřednictvím registrace dojít k chybě.

Odstranění propojeného centra IoT z vaší instance DPS na webu Azure Portal:

  1. V levé nabídce instance DPS vyberte Propojené ioT huby.

  2. V seznamu služeb IoT Hub zaškrtněte políčko u služby IoT Hub nebo služeb IoT Hub, které chcete odstranit. Potom v horní části stránky vyberte Odstranit a po zobrazení výzvy potvrďte svou volbu.

DPS také podporuje odstraňování propojených IoT Hubů z instance DPS pomocí rozhraní REST API Vytvoření nebo aktualizace prostředku DPS, šablon Resource Manageru a sad SDK pro správu služby DPS.

Aktualizace klíčů pro propojená centra IoT

Může se stát, že budete muset buď otočit nebo aktualizovat symetrické klíče pro centrum IoT, které je propojené s DPS. V takovém případě budete také muset aktualizovat nastavení připojovacího řetězce v DPS pro propojený IoT Hub.

Zřizování zařízení do centra IoT selže v mezidobí mezi aktualizací klíče v centru IoT a aktualizací instance DPS pomocí nového připojovacího řetězce na základě tohoto klíče. Z tohoto důvodu doporučujeme aktualizovat klíče pomocí Azure CLI, protože můžete aktualizovat připojovací řetězec přímo v propojeném centru. Pomocí webu Azure Portal musíte odstranit centrum IoT z vaší instance DPS a pak ho znovu propojit, abyste mohli aktualizovat připojovací řetězec.

Při použití portálu Azure nemůžete aktualizovat nastavení připojovacího řetězce pro propojený IoT Hub. Místo toho musíte z instance DPS odstranit propojený IoT Hub a pak ho znovu přidat.

Aktualizace symetrických klíčů pro propojené centrum IoT na webu Azure Portal:

  1. V levé nabídce vaší instance DPS na webu Azure Portal vyberte centrum IoT, pro které chcete aktualizovat jeden nebo více klíčů.

  2. Na stránce Podrobnosti propojeného centra IoT si poznamenejte hodnoty položek Váha přidělení a Použít zásadu přidělení. Tyto hodnoty budete potřebovat při opětovném propojení centra IoT s vaší instancí DPS později. Pak výběrem možnosti Spravovat prostředek přejděte do centra IoT.

  3. V levé nabídce centra IoT v části Nastavení zabezpečení vyberte Zásady sdíleného přístupu.

  4. V části Zásady sdíleného přístupu v části Spravovat zásady sdíleného přístupu vyberte zásadu, kterou vaše instance DPS používá pro připojení k propojenému centru IoT.

  5. V horní části stránky vyberte Znovu vygenerovat primární klíč, Znovu vygenerovat sekundární klíč nebo Prohodit klíče a po zobrazení výzvy potvrďte svou volbu.

  6. Vraťte se do své instance DPS.

  7. Postupujte podle kroků v části Odstranění propojeného centra IoT a odstraňte centrum IoT z vaší instance DPS.

  8. Postupujte podle kroků v části Přidání propojeného centra IoT a znovu propojte centrum IoT se svou instancí DPS pomocí nového připojovacího řetězce pro zásadu.

  9. Pokud potřebujete obnovit váhu přidělení a použít nastavení zásad přidělování, postupujte podle kroků v části Aktualizace propojeného centra IoT pomocí hodnot, které jste uložili v kroku 2.

Další kroky

  • Poslední aktualizace v