Vytvoření a zřízení IoT Edge pro Linux na zařízeních s Windows ve velkém měřítku pomocí čipu TPM

Platí pro: IoT Edge 1.4

Důležité

Podporované verze ioT Edge 1.5 LTS a IoT Edge 1.4. IoT Edge 1.4 LTS je konec životnosti 12. listopadu 2024. Pokud používáte starší verzi, podívejte se na článek Aktualizace IoT Edge.

Tento článek obsahuje pokyny k automatickému zřízení Azure IoT Edge pro Linux na zařízení s Windows pomocí čipu TPM (Trusted Platform Module). Zařízení Azure IoT Edge můžete automaticky zřídit pomocí služby Zřizování zařízení Azure IoT Hubu. Pokud neznáte proces automatického zřizování, než budete pokračovat, projděte si přehled zřizování.

Tento článek popisuje dvě metodologie. Vyberte svoji předvolbu na základě architektury vašeho řešení:

• Automatické zřízení Linuxu na zařízení s Windows s fyzickým hardwarem TPM
• Automatické zřízení Linuxu na zařízení s Windows pomocí simulovaného čipu TPM Tuto metodologii doporučujeme pouze jako testovací scénář. Simulovaný čip TPM nenabízí stejné zabezpečení jako fyzický čip TPM.

Úkoly jsou následující:

Fyzický čip TPM

• Nainstalujte IoT Edge pro Linux ve Windows.
• Načtěte z vašeho zařízení informace o čipu TPM.
• Vytvořte pro zařízení individuální registraci.
• Zřiďte své zařízení s informacemi o čipu TPM.

Simulovaný čip TPM

• Nainstalujte IoT Edge pro Linux ve Windows.
• Nastavte simulovaný čip TPM a načtěte jeho informace o zřizování.
• Vytvořte pro zařízení individuální registraci.
• Zřiďte své zařízení s informacemi o čipu TPM.

Požadavky

Cloudové prostředky

• Aktivní centrum IoT
• Instance služby IoT Hub device Provisioning v Azure propojená s centrem IoT
  • Pokud nemáte instanci služby zřizování zařízení, můžete postupovat podle pokynů v rychlém startu vytvoření nové služby zřizování zařízení ioT Hubu a propojení centra IoT a oddílů služby zřizování zařízení ve službě IoT Hub.
  • Po spuštění služby device provisioning zkopírujte hodnotu Oboru ID ze stránky přehledu. Tuto hodnotu použijete při konfiguraci modulu runtime IoT Edge.

Požadavky na zařízení

Zařízení s Windows s následujícími minimálními požadavky:

• Požadavky na systém

  • Windows 10^1/11 (Pro, Enterprise, IoT Enterprise)
  • Windows Server 2019¹/2022
    _{¹ Windows 10 a Windows Server 2019 minimálně build 17763 s nainstalovanými všemi aktuálními kumulativními aktualizacemi.}

• Požadavky na hardware

  • Minimální volné paměti: 1 GB
  • Minimální volné místo na disku: 10 GB

• Podpora virtualizace

  • Ve Windows 10 povolte Hyper-V. Další informace najdete v tématu Instalace Technologie Hyper-V ve Windows 10.
  • Na Windows Serveru nainstalujte roli Hyper-V a vytvořte výchozí síťový přepínač. Další informace najdete v tématu Vnořené virtualizace pro Azure IoT Edge pro Linux ve Windows.
  • Na virtuálním počítači nakonfigurujte vnořenou virtualizaci. Další informace najdete vnořenou virtualizaci.

• Podpora sítí

  • Windows Server nemá výchozí přepínač. Než budete moct nasadit EFLOW na zařízení s Windows Serverem, musíte vytvořit virtuální přepínač. Další informace najdete v tématu Vytvoření virtuálního přepínače pro Linux ve Windows.
  • Desktopové verze Windows mají výchozí přepínač, který lze použít pro instalaci EFLOW. V případě potřeby můžete vytvořit vlastní virtuální přepínač.

Tip

Pokud chcete v nasazení Azure IoT Edge pro Linux ve Windows používat moduly s akcelerovanými gpu, zvažte několik možností konfigurace.

V závislosti na architektuře GPU budete muset nainstalovat správné ovladače a možná budete potřebovat přístup k sestavení programu Windows Insider. Pokud chcete určit potřeby konfigurace a splnit tyto požadavky, podívejte se na akceleraci GPU pro Azure IoT Edge pro Linux ve Windows.

Ujistěte se, že teď potřebujete čas, abyste splnili požadavky na akceleraci GPU. Pokud se rozhodnete, že chcete akceleraci GPU během instalace, budete muset restartovat proces instalace.

Nástroje pro vývojáře

Připravte cílové zařízení na instalaci Azure IoT Edge pro Linux ve Windows a nasazení virtuálního počítače s Linuxem:

1. Nastavte zásadu spouštění na cílovém zařízení na AllSignedhodnotu . Aktuální zásady spouštění můžete zkontrolovat na příkazovém řádku PowerShellu se zvýšenými oprávněními pomocí následujícího příkazu:

   Get-ExecutionPolicy -List
   

   Pokud zásady provádění local machine nejsou AllSigned, můžete nastavit zásady spuštění pomocí:

   Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
   

Další informace o modulu Azure IoT Edge pro Linux v prostředí Windows PowerShell najdete v referenčních informacích k funkcím PowerShellu.

Poznámka:

Čip TPM 2.0 se vyžaduje při použití ověření identity TPM se službou zřizování zařízení.

Při použití čipu TPM můžete vytvořit jenom jednotlivé registrace služeb zřizování zařízení, nikoli skupiny.

Instalace IoT Edge

Nasaďte Azure IoT Edge pro Linux ve Windows na cílovém zařízení.

Poznámka:

Následující proces PowerShellu popisuje, jak nasadit IoT Edge pro Linux ve Windows na místní zařízení. Pokud chcete nasadit do vzdáleného cílového zařízení pomocí PowerShellu, můžete pomocí Vzdáleného PowerShellu navázat připojení ke vzdálenému zařízení a vzdáleně na daném zařízení spouštět tyto příkazy.

1. V relaci PowerShellu se zvýšenými oprávněními spusťte některý z následujících příkazů v závislosti na architektuře cílového zařízení a stáhněte si IoT Edge pro Linux ve Windows.

   • X64/AMD64

     $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
     $ProgressPreference = 'SilentlyContinue'
     Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_X64" -OutFile $msiPath
     

   • ARM64

     $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
     $ProgressPreference = 'SilentlyContinue'
     Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_ARM64" -OutFile $msiPath
     

2. Nainstalujte na zařízení IoT Edge pro Linux ve Windows.

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
   

   Vlastní IoT Edge pro Linux můžete zadat v instalaci systému Windows a adresáře VHDX přidáním INSTALLDIR="<FULLY_QUALIFIED_PATH>" parametrů VHDXDIR="<FULLY_QUALIFIED_PATH>" do příkazu install. Pokud například chcete použít složku D:\EFLOW pro instalaci a D:\EFLOW-VHDX pro VHDX , můžete použít následující rutinu PowerShellu.

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
   

3. Nastavte zásadu spouštění na cílovém zařízení na AllSigned to, jestli ještě není. Projděte si požadavky PowerShellu pro příkazy, které kontrolují aktuální zásady spouštění a nastavují zásady spouštění na AllSignedhodnotu .

4. Vytvořte IoT Edge pro Linux v nasazení s Windows. Nasazení vytvoří virtuální počítač s Linuxem a nainstaluje za vás modul runtime IoT Edge.

   Deploy-Eflow
   

   Tip

   Ve výchozím nastavení příkaz Deploy-Eflow vytvoří virtuální počítač s Linuxem s 1 GB paměti RAM, jádrem 1 vCPU a 16 GB místa na disku. Prostředky, které virtuální počítač potřebuje, jsou ale vysoce závislé na úlohách, které nasadíte. Pokud váš virtuální počítač nemá dostatek paměti pro podporu úloh, nepodaří se spustit.

   Dostupné prostředky virtuálního počítače můžete přizpůsobit pomocí Deploy-Eflow volitelných parametrů příkazu. To se vyžaduje k nasazení EFLOW na zařízení s minimálními požadavky na hardware.

   Následující příkaz například vytvoří virtuální počítač s jádrem 1 vCPU, 1 GB paměti RAM (reprezentovaným v MB) a 2 GB místa na disku:

   Deploy-Eflow -cpuCount 1 -memoryInMB 1024 -vmDataSize 2
   

   Informace o všech dostupných volitelných parametrech najdete v tématu Funkce PowerShellu pro IoT Edge pro Linux ve Windows.

   Upozorňující

   Ve výchozím nastavení nemá virtuální počítač EFLOW s Linuxem žádnou konfiguraci DNS. Nasazení používající protokol DHCP se pokusí získat konfiguraci DNS šířenou serverem DHCP. Zkontrolujte konfiguraci DNS a ujistěte se, že máte připojení k internetu. Další informace najdete v tématu AzEFLOW-DNS.

   Ke svému nasazení můžete přiřadit GPU, abyste povolili moduly s akcelerovanými GPU pro Linux. Pokud chcete získat přístup k těmto funkcím, budete muset nainstalovat požadavky podrobně popsané v akceleraci GPU pro Azure IoT Edge pro Linux ve Windows.

   Pokud chcete použít průchod GPU, přidejte do příkazu Deploy-Eflow parametry gpuName, gpuPassthroughType a gpuCount. Informace o všech dostupných volitelných parametrech najdete v tématu Funkce PowerShellu pro IoT Edge pro Linux ve Windows.

   Upozorňující

   Povolení průchodu hardwarovým zařízením může zvýšit bezpečnostní rizika. Microsoft doporučuje ovladač pro zmírnění rizik zařízení od dodavatele GPU, pokud je to možné. Další informace naleznete v tématu Nasazení grafických zařízení pomocí samostatného přiřazení zařízení.

5. Zadejte Y a přijměte licenční podmínky.

6. Pokud chcete v závislosti na předvolbách zapnout nebo vypnout volitelná diagnostická data , zadejte O nebo R.

7. Po dokončení nasazení se v okně PowerShellu zobrazí zpráva o úspěšném nasazení.

   

   Po úspěšném nasazení můžete zařízení zřídit.

Existuje několik kroků, jak připravit zařízení na zřizování pomocí čipu TPM. Během přípravy zařízení nechte nasazení otevřené. K nasazení se vrátíte později v článku.

Povolení předávání TPM

IoT Edge pro Linux na virtuálním počítači s Windows má funkci TPM, kterou je možné povolit nebo zakázat. Ve výchozím nastavení je zakázaná. Pokud je tato funkce povolená, může virtuální počítač přistupovat k čipu TPM hostitelského počítače.

1. Otevřete PowerShell v relaci se zvýšenými oprávněními.

2. Pokud jste to ještě neudělali, nastavte na svém zařízení AllSigned zásady spouštění tak, abyste mohli spustit IoT Edge pro Linux ve funkcích Windows PowerShellu.

   Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
   

3. Zapněte funkci TPM.

   Set-EflowVmFeature -feature 'DpsTpm' -enable
   

Načtení informací o čipu TPM ze zařízení

Fyzický čip TPM

Ke zřízení zařízení potřebujete ověřovací klíč pro čip TPM a ID registrace vašeho zařízení. Tyto informace poskytnete vaší instanci služby zřizování zařízení, aby služba mohla rozpoznat vaše zařízení při pokusu o připojení.

Ověřovací klíč je jedinečný pro každý čip TPM. Získá se od výrobce čipu TPM přidruženého k němu. Jedinečné ID registrace zařízení TPM můžete odvodit například vytvořením hodnoty hash SHA-256 ověřovacího klíče.

IoT Edge pro Linux ve Windows poskytuje skript PowerShellu, který vám pomůže načíst tyto informace z čipu TPM. Pokud chcete skript použít, postupujte na svém zařízení takto:

1. Otevřete PowerShell v relaci se zvýšenými oprávněními.

2. Spusťte příkaz .

   Get-EflowVmTpmProvisioningInfo | Format-List
   

Simulovaný čip TPM

Pokud nemáte k dispozici fyzický čip TPM a chcete otestovat tuto metodu zřizování, můžete na svém zařízení simulovat čip TPM.

Služba ioT Hub device provisioning poskytuje ukázky, které simulují čip TPM a vrací ověřovací klíč a ID registrace.

1. V závislosti na preferovaném jazyce vyberte jednu z ukázek z následujícího seznamu.
2. Jakmile budete mít simulovaný čip TPM spuštěný a shromáždíte ověřovací klíč a ID registrace, zastavte se podle ukázkových kroků služby zřizování zařízení. Nevybírejte Enter , aby se spustila registrace v ukázkové aplikaci.
3. Nechte okno hostující simulovaný čip TPM spuštěné, dokud tento scénář nedokončíte.
4. Vraťte se do tohoto článku, abyste vytvořili registraci služby zřizování zařízení a nakonfigurovali zařízení.

Ukázky simulovaného čipu TPM:

• C
• Java
• C#
• Node.js
• Python

Vytvoření registrace služby zřizování zařízení

Informace o zřizování čipu TPM slouží k vytvoření individuální registrace ve službě zřizování zařízení.

Při vytváření registrace ve službě zřizování zařízení máte možnost deklarovat počáteční stav dvojčete zařízení. Ve dvojčeti zařízení můžete nastavit značky pro seskupení zařízení podle libovolné metriky používané ve vašem řešení, jako je oblast, prostředí, umístění nebo typ zařízení. Tyto značky slouží k vytváření automatických nasazení.

Tip

Kroky v tomto článku jsou určené pro Azure Portal, ale jednotlivé registrace můžete vytvořit také pomocí Azure CLI. Další informace najdete v tématu az iot dps enrollment. Jako součást příkazu rozhraní příkazového řádku použijte příznak s povoleným hraničním zařízením a určete, že registrace je pro zařízení IoT Edge.

1. Na webu Azure Portal přejděte do vaší instance služby IoT Hub device Provisioning.

2. V části Nastavení vyberte Spravovat registrace.

3. Vyberte Přidat jednotlivé registrace a pak proveďte následující kroky a nakonfigurujte registraci:

   1. V případě mechanismu vyberte TPM.

   2. Zadejte ověřovací klíč a ID registrace, které jste zkopírovali z virtuálního počítače nebo fyzického zařízení.

   3. Pokud chcete, zadejte ID zařízení. Pokud nezadáte ID zařízení, použije se ID registrace.

   4. Výběrem možnosti True deklarujte, že virtuální počítač nebo fyzické zařízení je zařízení IoT Edge.

   5. Zvolte propojené centrum IoT, ke kterému chcete zařízení připojit, nebo vyberte Propojit s novým IoT Hubem. Můžete zvolit více rozbočovačů a zařízení se přiřadí k jednomu z nich podle vybraných zásad přiřazení.

   6. Pokud chcete, přidejte hodnotu značky do stavu počátečního dvojčete zařízení. Značky můžete použít k cílovým skupinám zařízení pro nasazení modulu. Další informace najdete v tématu Nasazení modulů IoT Edge ve velkém měřítku.

   7. Zvolte Uložit.

Teď, když pro toto zařízení existuje registrace, může modul runtime IoT Edge během instalace zařízení automaticky zřídit.

Zřízení zařízení s využitím cloudové identity

1. Na zařízení s Windows otevřete relaci PowerShellu se zvýšenými oprávněními.

2. Zřiďte zařízení pomocí ID oboru, které jste shromáždili z vaší instance služby device provisioning.

   Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE"
   

   Pokud jste zařízení zaregistrovali pomocí vlastního ID registrace, musíte toto ID registrace zadat i při zřizování:

   Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE" -registrationId "REGISTRATION_ID_HERE"
   

Ověření úspěšné instalace

Ověřte, že se ioT Edge pro Linux ve Windows úspěšně nainstaloval a nakonfiguroval na zařízení IoT Edge.

Pokud se modul runtime úspěšně spustil, můžete přejít do centra IoT a začít nasazovat moduly IoT Edge do zařízení.

Můžete ověřit, že se použila jednotlivá registrace, kterou jste vytvořili ve službě zřizování zařízení. Na webu Azure Portal přejděte k instanci služby zřizování zařízení. Otevřete podrobnosti o registraci pro jednotlivou registraci, kterou jste vytvořili. Všimněte si, že se přiřadí stav registrace a zobrazí se ID zařízení.

Pomocí následujících příkazů na zařízení ověřte, že se IoT Edge nainstaloval a úspěšně spustil.

1. Připojení do ioT Edge pro Linux na virtuálním počítači s Windows pomocí následujícího příkazu v relaci PowerShellu:

   Connect-EflowVm
   

   Poznámka:

   Jediným účtem povoleným SSH k virtuálnímu počítači je uživatel, který ho vytvořil.

2. Po přihlášení můžete pomocí následujícího příkazu Linuxu zkontrolovat seznam spuštěných modulů IoT Edge:

   sudo iotedge list
   

3. Pokud potřebujete řešit potíže se službou IoT Edge, použijte následující linuxové příkazy.

   1. Pokud potřebujete řešit potíže se službou, načtěte protokoly služby.

      sudo iotedge system logs
      

   2. check Pomocí nástroje ověřte konfiguraci a stav připojení zařízení.

      sudo iotedge check
      

   Poznámka:

   Na nově zřízeném zařízení se může zobrazit chyba související se službou IoT Edge Hub:

   × provozní připravenosti: Adresář úložiště Edge Hubu je trvalý v systému souborů hostitele – chyba

   Nepodařilo se zkontrolovat aktuální stav kontejneru EdgeHub.

   Tato chyba se očekává na nově zřízeném zařízení, protože modul IoT Edge Hub není spuštěný. Pokud chcete tuto chybu vyřešit, nastavte v IoT Hubu moduly pro zařízení a vytvořte nasazení. Vytvoření nasazení pro zařízení spustí moduly na zařízení, včetně modulu IoT Edge Hubu.

Odinstalace IoT Edge pro Linux ve Windows

Pokud chcete ze zařízení odebrat instalaci Azure IoT Edge pro Linux ve Windows, použijte následující příkazy.

1. Otevření Nastavení ve Windows
2. Vyberte Přidat nebo odebrat programy.
3. Výběr aplikace Azure IoT Edge
4. Vyberte Odinstalovat.

Další kroky

Proces registrace služby Device Provisioning umožňuje nastavit ID zařízení a značky dvojčat zařízení současně se zřízením nového zařízení. Tyto hodnoty můžete použít k cílení na jednotlivá zařízení nebo skupiny zařízení pomocí automatické správy zařízení.

Naučte se nasazovat a monitorovat moduly IoT Edge ve velkém měřítku pomocí webu Azure Portal nebo Azure CLI.