Creare ed effettuare il provisioning di dispositivi IoT Edge per Linux in Windows su larga scala usando certificati X.509
Si applica a: IoT Edge 1.4
Importante
IoT Edge 1.5 LTS e IoT Edge 1.4 sono versioni supportate. IoT Edge 1.4 LTS raggiungerà la data di fine del servizio il 12 novembre 2024. Se si usa una versione precedente, vedere Aggiornare IoT Edge.
Questo articolo fornisce istruzioni end-to-end per il provisioning automatico di uno o più dispositivi IoT Edge per Linux in Windows usando certificati X.509. È possibile effettuare automaticamente il provisioning di dispositivi Azure IoT Edge con servizio Device Provisioning in hub IoT di Azure (DPS). Se non si ha familiarità con il processo di provisioning automatico, vedere la panoramica sul provisioning prima di continuare.
Le attività sono le seguenti:
- Generare certificati e chiavi.
- Creare una registrazione singola per un singolo dispositivo o una registrazione di gruppo per un set di dispositivi.
- Distribuire una macchina virtuale Linux con il runtime IoT Edge installato e connetterla all'hub IoT.
L'uso di certificati X.509 come meccanismo di attestazione è un ottimo modo per aumentare la produzione e semplificare il provisioning dei dispositivi. I certificati X.509 vengono in genere organizzati in una catena di certificati attendibili. A partire da un certificato radice trusted o autofirmato, ogni certificato nella catena firma il certificato di livello immediatamente inferiore. Questo modello crea un percorso di certificazione delegato dal certificato radice via via attraverso ogni certificato intermedio e fino al certificato finale del dispositivo downstream installato in un dispositivo.
Prerequisiti
Risorse cloud
- Un hub IoT attivo
- Un'istanza del servizio Device Provisioning in Hub IoT in Azure, collegata all'hub IoT
- Se non si dispone di un'istanza del servizio Device Provisioning, è possibile seguire le istruzioni riportate nelle sezioni Creare una nuova istanza del servizio Device Provisioning in hub IoT e Collegare l'hub IoT e il servizio Device Provisioning dell'argomento di avvio rapido sul servizio Device Provisioning in hub IoT.
- Con il servizio Device Provisioning in esecuzione, copiare il valore di Ambito ID dalla pagina di panoramica. Questo valore viene usato quando si configura il runtime IoT Edge.
Requisiti dei dispositivi
Un dispositivo Windows con i requisiti minimi seguenti:
Requisiti di sistema
- Windows 101/11 (Pro, Enterprise, IoT Enterprise)
- Windows Server 20191/2022
1 Gli utenti di Windows 10 e Windows Server 2019 devono usare la build minima 17763 con tutti gli aggiornamenti cumulativi correnti installati.
Requisiti hardware
- Memoria minima disponibile: 1 GB
- Spazio disponibile su disco minimo: 10 GB
Supporto virtualizzazione
- In Windows 10, abilitare Hyper-V. Per ulteriori informazioni, vedere Installare Hyper-V Server 10.
- In Windows Server, installare il ruolo Hyper-V e creare un commutatore di rete predefinito. Per altre informazioni, vedere Virtualizzazione annidata per Azure IoT Edge per Linux in Windows.
- In una macchina virtuale, configurare la virtualizzazione annidata. Per altre informazioni, vedere Virtualizzazione annidata.
Supporto per la rete
- Windows Server non è dotato di un commutatore predefinito. Prima di poter distribuire EFLOW in un dispositivo Windows Server, è necessario creare un commutatore virtuale. Per altre informazioni, vedere Creare un commutatore virtuale per Linux in Windows.
- Le versioni desktop di Windows sono dotate di un commutatore predefinito che può essere utilizzato per l'installazione di EFLOW. Se necessario, è possibile creare un commutatore virtuale personalizzato.
Suggerimento
Se si vogliono usare moduli Linux con accelerazione GPU nella distribuzione di Azure IoT Edge per Linux in Windows, sono disponibili varie opzioni di configurazione.
Sarà necessario installare i driver corretti in base all'architettura della GPU e può essere necessario accedere a una build del Programma Windows Insider. Per determinare le esigenze di configurazione e soddisfare questi prerequisiti, vedere Accelerazione della GPU per Azure IoT Edge per Linux in Windows.
Assicurarsi di soddisfare subito i prerequisiti per l'accelerazione GPU. Se si decide per l'accelerazione GPU durante l'installazione, sarà necessario riavviare tale processo.
Strumenti di sviluppo
Preparare il dispositivo di destinazione per l'installazione di Azure IoT Edge per Linux in Windows e la distribuzione della macchina virtuale Linux:
Impostare il criterio di esecuzione nel dispositivo di destinazione su
AllSigned
. È possibile controllare il criterio di esecuzione corrente in un prompt di PowerShell con privilegi elevati, usando il comando seguente:Get-ExecutionPolicy -List
Se il criterio di esecuzione di
local machine
non èAllSigned
, è possibile impostarlo come segue:Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
Per altre informazioni sul modulo PowerShell di Azure IoT Edge per Linux in Windows, vedere le informazioni di riferimento sulle funzioni di PowerShell.
Generare certificati di identità del dispositivo
Il certificato di identità del dispositivo è un certificato downstream che si connette tramite un percorso di certificazione al certificato dell'autorità di certificazione (CA) X.509 primario. Il nome comune (CN) del certificato di identità del dispositivo deve impostato sull'ID dispositivo che si vuole che il dispositivo abbia nell'hub IoT.
I certificati di identità del dispositivo vengono usati solo per il provisioning del dispositivo IoT Edge e per l'autenticazione del dispositivo con l'hub IoT di Azure. Non si tratta di certificati di firma, a differenza dei certificati della CA che il dispositivo IoT Edge presenta ai moduli o ai dispositivi downstream per la verifica. Per altre informazioni, vedere Dettagli di utilizzo dei certificati di Azure IoT Edge.
Dopo aver creato il certificato di identità del dispositivo saranno presenti due file: un file .cer o pem che contiene la parte pubblica del certificato e un file .cer o pem con la chiave privata del certificato. Se si prevede di usare la registrazione di gruppo nel servizio Device Provisioning, è necessaria anche la parte pubblica di un certificato CA intermedio o radice nello stesso percorso di certificazione.
Per configurare il provisioning automatico con X.509 sono necessari i file seguenti:
- Il certificato di identità del dispositivo con il suo certificato a chiave privata. Il certificato di identità del dispositivo viene caricato nel servizio Device Provisioning se si crea una registrazione singola. La chiave privata viene passata al runtime IoT Edge.
- Un certificato con catena completa, che deve contenere almeno il certificato di identità del dispositivo e i certificati intermedi. Il certificato con catena completa viene passato al runtime IoT Edge.
- Un certificato CA intermedio o radice dal percorso di certificazione. Questo certificato viene caricato nel servizio Device Provisioning se si crea una registrazione di gruppo.
Nota
Attualmente, una limitazione in Libiothsm impedisce l'uso di certificati con scadenza uguale o successiva al 1° gennaio 2038.
Usare certificati di test (facoltativo)
Se non si dispone di un'autorità di certificazione per creare nuovi certificati di identità e si vuole provare questo scenario, il repository Git di Azure IoT Edge contiene script che è possibile usare per generare certificati di test. Questi certificati sono progettati solo per i test di sviluppo e non devono essere usati nell'ambiente di produzione.
Per creare certificati di test, seguire la procedura descritta in Creare certificati demo per testare le funzionalità del dispositivo IoT Edge. Completare le due sezioni necessarie per configurare gli script di generazione del certificato e per creare un certificato CA radice. Seguire quindi la procedura per creare un certificato di identità del dispositivo. Al termine saranno presenti il percorso di certificazione e la coppia di chiavi seguenti:
<WRKDIR>\certs\iot-edge-device-identity-<name>-full-chain.cert.pem
<WRKDIR>\private\iot-edge-device-identity-<name>.key.pem
Entrambi i certificati sono necessari nel dispositivo IoT Edge. Se si intende usare la registrazione singola nel servizio Device Provisioning, caricare il file cert.pem. Se si intende usare la registrazione di gruppo nel servizio Device Provisioning, è necessario anche un certificato CA intermedio o radice nello stesso percorso di certificazione da caricare. Se si usano certificati demo, usare il certificato <WRKDIR>\certs\azure-iot-test-only.root.ca.cert.pem
per la registrazione di gruppo.
Creare una registrazione nel servizio Device Provisioning
Usare i certificati e le chiavi generati per creare una registrazione nel servizio Device Provisioning per uno o più dispositivi IoT Edge.
Se si vuole effettuare il provisioning di un singolo dispositivo IoT Edge, creare una registrazione singola. Se è necessario effettuare il provisioning di più dispositivi, seguire la procedura per creare una registrazione di gruppo nel servizio Device Provisioning.
Quando si crea una registrazione nel servizio Device Provisioning, si ha la possibilità di dichiarare un valore di Stato dispositivo gemello iniziale. Nel dispositivo gemello è possibile impostare tag per raggruppare i dispositivi in base a una qualsiasi metrica necessaria nella propria soluzione, come l'area, l'ambiente, la località o il tipo di dispositivo. Questi tag vengono usati per creare distribuzioni automatiche.
Per altre informazioni sulle registrazioni nel servizio Device Provisioning, vedere Come gestire le registrazioni dei dispositivi.
Creare una registrazione singola nel servizio Device Provisioning
Le registrazioni singole prendono la parte pubblica del certificato di identità di un dispositivo e la associano al certificato nel dispositivo.
Suggerimento
I passaggi descritti in questo articolo sono relativi al portale di Azure, ma è anche possibile creare registrazioni singole usando l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere az iot dps enrollment. Come parte del comando dell'interfaccia della riga di comando, usare il flag edge-enabled per specificare che la registrazione è per un dispositivo IoT Edge.
Nel portale di Azure passare all'istanza del servizio Device Provisioning in hub IoT.
In le impostazioni selezionare Gestisci registrazioni.
Selezionare Aggiungi registrazione singola, quindi completare la procedura seguente per configurare la registrazione:
Meccanismo: selezionare X.509.
File di certificato primario con estensione pem o cer: caricare il file pubblico dal certificato di identità del dispositivo. Se sono stati usati gli script per generare un certificato di test, scegliere il file seguente:
<WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem
ID dispositivo hub IoT: specificare un ID per il dispositivo se si vuole. È possibile usare gli ID dispositivo per identificare come destinazione un singolo dispositivo per la distribuzione di moduli. Se non si specifica un ID dispositivo viene usato il nome comune (CN) presente nel certificato X.509.
Dispositivo IoT Edge: selezionare Vero per dichiarare che la registrazione è per un dispositivo IoT Edge.
Selezionare gli hub IoT a cui può essere assegnato questo dispositivo: scegliere l'hub IoT collegato a cui si vuole connettere il dispositivo. È possibile scegliere più hub e il dispositivo verrà assegnato a uno di essi in base al criterio di allocazione selezionato.
Stato iniziale dispositivo gemello: aggiungere un valore di tag da aggiungere al dispositivo gemello se si vuole. È possibile usare tag per identificare come destinazione gruppi di dispositivi per la distribuzione automatica. Ad esempio:
{ "tags": { "environment": "test" }, "properties": { "desired": {} } }
Seleziona Salva.
In Gestisci registrazioni è visibile l'ID registrazione per la registrazione appena creata. Prenderne nota, perché è possibile usarlo al momento del provisioning del dispositivo.
Ora che esiste una registrazione per questo dispositivo, il runtime IoT Edge può effettuare automaticamente il provisioning del dispositivo durante l'installazione.
Installare IoT Edge
Distribuire Azure IoT Edge per Linux in Windows nel dispositivo di destinazione.
Nota
Il seguente processo di PowerShell illustra come distribuire IoT Edge per Linux in Windows nel dispositivo locale. Per eseguire la distribuzione in un dispositivo di destinazione remoto tramite PowerShell, è possibile usare PowerShell remoto per stabilire una connessione a un dispositivo remoto ed eseguire questi comandi in remoto su tale dispositivo.
In una sessione di PowerShell con privilegi elevati, eseguire uno dei comandi riportati per scaricare IoT Edge per Linux in Windows, a seconda dell'architettura del dispositivo di destinazione.
X64/AMD64
$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi')) $ProgressPreference = 'SilentlyContinue' Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_X64" -OutFile $msiPath
ARM64
$msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi')) $ProgressPreference = 'SilentlyContinue' Invoke-WebRequest "https://aka.ms/AzEFLOWMSI_1_4_LTS_ARM64" -OutFile $msiPath
Installare IoT Edge per Linux in Windows nel dispositivo.
Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
È possibile specificare directory personalizzate per l'installazione di IoT Edge per Linux in Windows e per il file VHDX, semplicemente aggiungendo i parametri
INSTALLDIR="<FULLY_QUALIFIED_PATH>"
eVHDXDIR="<FULLY_QUALIFIED_PATH>"
al comando di installazione. Ad esempio, se si vuole usare la cartella D:\EFLOW per l'installazione e la cartella D:\EFLOW-VHDX per il file VHDX, si può usare il cmdlet di PowerShell seguente.Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
Impostare su
AllSigned
il criterio di esecuzione nel dispositivo di destinazione, se l'operazione non è già stata eseguita. Vedere i prerequisiti di PowerShell per i comandi per il controllo del criterio di esecuzione corrente e impostare il criterio di esecuzione suAllSigned
.Creare la distribuzione di IoT Edge per Linux in Windows. La distribuzione crea la macchina virtuale Linux e installa automaticamente il runtime IoT Edge.
Deploy-Eflow
Suggerimento
Per impostazione predefinita, il comando
Deploy-Eflow
crea la macchina virtuale Linux con 1 GB di RAM, 1 core di vCPU e 16 GB di spazio su disco. Tuttavia, le risorse necessarie alla macchina virtuale dipendono fortemente dai carichi di lavoro distribuiti. Se la macchina virtuale non dispone di memoria sufficiente per supportare i carichi di lavoro, non sarà possibile avviarla.È possibile personalizzare le risorse disponibili della macchina virtuale usando i parametri facoltativi del comando
Deploy-Eflow
. Questa operazione è necessaria per distribuire EFLOW in un dispositivo con i requisiti hardware minimi.Ad esempio, il comando seguente crea una macchina virtuale con 1 core di vCPU, 1 GB di RAM (espressi in MB) e 2 GB di spazio su disco:
Deploy-Eflow -cpuCount 1 -memoryInMB 1024 -vmDataSize 2
Per informazioni su tutti i parametri facoltativi disponibili, vedere Funzioni di PowerShell per IoT Edge per Linux in Windows.
Avviso
Per impostazione predefinita, la macchina virtuale EFLOW Linux non dispone di alcuna configurazione DNS. Le distribuzioni basate su DHCP tenteranno di ottenere la configurazione DNS propagata dal server DHCP. Per garantire l'accesso a Internet, controllare la configurazione DNS. Per altre informazioni, vedere AzEFLOW-DNS.
È possibile assegnare una GPU alla distribuzione per abilitare i moduli Linux con accelerazione GPU. Per ottenere l'accesso a queste funzionalità è necessario installare i prerequisiti descritti in dettaglio in Accelerazione della GPU per Azure IoT Edge per Linux in Windows.
Per usare un pass-through GPU, aggiungere i parametri gpuName, gpuPassthroughType e gpuCount al comando
Deploy-Eflow
. Per informazioni su tutti i parametri facoltativi disponibili, vedere Funzioni di PowerShell per IoT Edge per Linux in Windows.Avviso
L'abilitazione del pass-through del dispositivo hardware può aumentare i rischi per la sicurezza. Microsoft consiglia l'uso di un driver di mitigazione dei dispositivi prodotto dal fornitore della GPU, se applicabile. Per altre informazioni, vedere Distribuire dispositivi grafici usando l'assegnazione di dispositivi discreti.
Immettere "Y" per accettare le condizioni di licenza.
Immettere "O" o "R" per attivare o disattivare i Dati di diagnostica facoltativi in base alle proprie preferenze.
Al termine della distribuzione, nella finestra di PowerShell compare l'indicazione La distribuzione è riuscita.
Dopo aver completato la distribuzione, è possibile eseguire il provisioning del dispositivo.
Effettuare il provisioning del dispositivo con la relativa identità cloud
Dopo aver installato il runtime nel dispositivo, configurarlo con le informazioni da usare per connettersi al servizio Device Provisioning e all'hub IoT.
Preparare le informazioni seguenti:
- Valore Ambito ID del servizio Device Provisioning. È possibile recuperare questo valore dalla pagina di panoramica dell'istanza del servizio Device Provisioning nel portale di Azure.
- File del percorso di certificazione dell'identità del dispositivo nel dispositivo.
- File della chiave di identità del dispositivo nel dispositivo.
Eseguire il comando seguente in una sessione di PowerShell con privilegi elevati, aggiornando i valori segnaposto con i propri valori:
Provision-EflowVm -provisioningType DpsX509 -scopeId PASTE_YOUR_ID_SCOPE_HERE -registrationId PASTE_YOUR_REGISTRATION_ID_HERE -identityCertPath PASTE_ABSOLUTE_PATH_TO_IDENTITY_CERTIFICATE_HERE -identityPrivateKey PASTE_ABSOLUTE_PATH_TO_IDENTITY_PRIVATE_KEY_HERE
Verificare l'esito positivo dell'installazione
Verificare che IoT Edge per Linux in Windows sia stato installato e configurato correttamente nel dispositivo IoT Edge.
È possibile verificare che sia stata usata la registrazione singola creata nel servizio Device Provisioning. Passare all'istanza del servizio Device Provisioning nel portale di Azure. Aprire i dettagli della registrazione per la registrazione singola creata. Si noti che lo stato della registrazione è assegnata e che l'ID dispositivo è elencato.
Accedere alla macchina virtuale IoT Edge per Linux in Windows usando il comando seguente nella sessione di PowerShell:
Connect-EflowVm
Nota
L'unico account autorizzato a connettersi tramite SSH alla macchina virtuale è l'utente che l'ha creata.
Dopo aver eseguito l'accesso, è possibile controllare l'elenco dei moduli IoT Edge in esecuzione usando il comando Linux seguente:
sudo iotedge list
Se è necessario risolvere i problemi del servizio IoT Edge, utilizzare i comandi Linux seguenti.
Se è necessario risolvere problemi del servizio, recuperare i log di servizio.
sudo iotedge system logs
Usare lo strumento
check
per verificare lo stato di configurazione e connessione del dispositivo.sudo iotedge check
Nota
In un dispositivo di cui è stato appena effettuato il provisioning potrebbe essere visualizzato un errore correlato all'hub IoT Edge:
× idoneità alla produzione: la directory di archiviazione dell'hub di Edge è persistente nel file system host - Errore
Non è possibile controllare lo stato corrente del contenitore edgeHub
Questo errore è previsto in un dispositivo di cui è stato appena effettuato il provisioning, perché il modulo hub di IoT Edge non è in esecuzione. Per risolvere l'errore, nell'hub IoT impostare i moduli per il dispositivo e creare una distribuzione. La creazione di una distribuzione per il dispositivo avvia i moduli al suo interno, incluso il modulo hub di IoT Edge.
Quando si crea un nuovo dispositivo IoT Edge, viene visualizzato il codice di stato 417 -- The device's deployment configuration is not set
nel portale di Azure. Questo stato è normale e significa che il dispositivo è pronto per ricevere una distribuzione del modulo.
Disinstallare IoT Edge per Linux in Windows
Per rimuovere l'installazione di Azure IoT Edge per Linux in Windows dal dispositivo, usare i comandi seguenti.
- Aprire Impostazioni in Windows
- Selezionare Installazione applicazioni
- Selezionare l'app Azure IoT Edge
- Selezionare Disinstalla
Passaggi successivi
Il processo di registrazione del servizio Device Provisioning consente di impostare l'ID dispositivo e i tag del dispositivo gemello mentre si effettua il provisioning del nuovo dispositivo. È possibile usare questi valori per identificare come destinazione singoli dispositivi o gruppi di dispositivi usando la gestione automatica dei dispositivi. Informazioni su come Distribuire e monitorare i moduli IoT Edge su larga scala tramite il portale di Azure o usando l'interfaccia della riga di comando di Azure.
È anche possibile:
- Passare a distribuire moduli IoT Edge per informazioni su come distribuire moduli nel dispositivo.
- Informazioni su come gestire i certificati nella macchina virtuale IoT Edge per Linux in Windows e trasferire i file dal sistema operativo host alla macchina virtuale Linux.
- Informazioni su come configurare i dispositivi IoT Edge per comunicare tramite un server proxy.