Condividi tramite

Creare ed effettuare il provisioning di IoT Edge per Linux su dispositivi Windows su larga scala usando certificati X.509

  • Articolo

Si applicaall'icona:sì IoT Edge 1.1

Importante

IoT Edge 1.1 data di fine del supporto è stata il 13 dicembre 2022. Controlla il ciclo di vita dei prodotti Microsoft per ottenere informazioni sul modo in cui viene supportato questo prodotto, servizio, tecnologia o API. Per altre informazioni sull'aggiornamento alla versione più recente di IoT Edge, vedere Aggiornare IoT Edge.

Questo articolo fornisce istruzioni end-to-end per il provisioning automatico di uno o più IoT Edge per Linux nei dispositivi Windows usando certificati X.509. È possibile effettuare automaticamente il provisioning dei dispositivi azure IoT Edge con il servizio device provisioning (DPS) hub IoT di Azure. Se non si ha familiarità con il processo di provisioning automatico, esaminare la panoramica del provisioning prima di continuare.

Le attività sono le seguenti:

  1. Generare certificati e chiavi.
  2. Creare una registrazione singola per un singolo dispositivo o una registrazione di gruppo per un set di dispositivi.
  3. Distribuire una macchina virtuale Linux con il runtime di IoT Edge installato e connetterlo al hub IoT.

L'uso di certificati X.509 come meccanismo di attestazione è un ottimo approccio per ridimensionare la produzione e semplificare il provisioning di dispositivi. In genere, i certificati X.509 vengono disposti in una catena di certificati di trust. A partire da un certificato radice autofirmato o attendibile, ogni certificato nella catena firma il certificato inferiore successivo. Questo modello crea una catena delegata di attendibilità dal certificato radice verso il basso attraverso ogni certificato intermedio al certificato del dispositivo downstream finale installato in un dispositivo.

Prerequisiti

Risorse cloud

Requisiti dei dispositivi

Un dispositivo Windows con i requisiti minimi seguenti:

  • Requisiti di sistema

    • Windows 10 1/11 (Pro, Enterprise, IoT Enterprise)
    • Windows Server 20191/2022
      1 Windows 10 e Windows Server 2019 build minima 17763 con tutti gli aggiornamenti cumulativi correnti installati.

  • Requisiti hardware

    • Memoria minima disponibile: 1 GB
    • Spazio su disco minimo: 10 GB

  • Supporto per la virtualizzazione

  • Supporto per la rete

    • Windows Server non include un'opzione predefinita. Prima di poter distribuire EFLOW in un dispositivo Windows Server, è necessario creare un commutatore virtuale. Per altre informazioni, vedere Creare un commutatore virtuale per Linux in Windows.
    • Le versioni desktop di Windows sono dotate di un commutatore predefinito che può essere usato per l'installazione di EFLOW. Se necessario, è possibile creare un commutatore virtuale personalizzato.

Suggerimento

Se si vogliono usare moduli Linux con accelerazione GPU nella distribuzione di Azure IoT Edge per Linux in Windows, è necessario prendere in considerazione diverse opzioni di configurazione.

Sarà necessario installare i driver corretti a seconda dell'architettura GPU e potrebbe essere necessario accedere a una build del programma Windows Insider. Per determinare le esigenze di configurazione e soddisfare questi prerequisiti, vedere Accelerazione GPU per Azure IoT Edge per Linux in Windows.

Assicurarsi di dedicare ora il tempo necessario per soddisfare i prerequisiti per l'accelerazione GPU. Se si decide di voler accelerare la GPU durante l'installazione, sarà necessario riavviare il processo di installazione.

Strumenti per sviluppatori

È possibile usare PowerShell o Windows Admin Center per gestire i dispositivi IoT Edge. Ogni utilità ha i propri prerequisiti:

Se si vuole usare PowerShell, seguire questa procedura per preparare il dispositivo di destinazione per l'installazione di Azure IoT Edge per Linux in Windows e la distribuzione della macchina virtuale Linux:

  1. Impostare i criteri di esecuzione nel dispositivo di destinazione su AllSigned. È possibile controllare i criteri di esecuzione correnti in un prompt di PowerShell con privilegi elevati usando il comando seguente:

    Get-ExecutionPolicy -List

    Se il criterio di esecuzione di non AllSignedè , è possibile impostare i criteri di local machine esecuzione usando:

    Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force

Per altre informazioni sul modulo Azure IoT Edge per Linux in Windows PowerShell, vedere le informazioni di riferimento sulle funzioni di PowerShell.

Generare certificati di identità del dispositivo

Il certificato di identità del dispositivo è un certificato downstream che si connette tramite una catena di certificati di trust al certificato dell'autorità di certificazione X.509 principale. Il certificato di identità del dispositivo deve avere il nome comune (CN) impostato sull'ID dispositivo che si vuole che il dispositivo abbia nell'hub IoT.

I certificati di identità del dispositivo vengono usati solo per il provisioning del dispositivo IoT Edge e l'autenticazione del dispositivo con hub IoT di Azure. Non firmano certificati, a differenza dei certificati CA presentati dal dispositivo IoT Edge ai moduli o ai dispositivi downstream per la verifica. Per altre informazioni, vedere Dettagli sull'utilizzo dei certificati di Azure IoT Edge.

Dopo aver creato il certificato di identità del dispositivo, è necessario avere due file: un file cer o pem che contiene la parte pubblica del certificato e un file cer o pem con la chiave privata del certificato. Se si prevede di usare la registrazione del gruppo in DPS, è necessaria anche la parte pubblica di un certificato CA intermedio o radice nella stessa catena di certificati di trust.

Per configurare il provisioning automatico con X.509, sono necessari i file seguenti:

  • Certificato di identità del dispositivo e certificato della chiave privata. Il certificato di identità del dispositivo viene caricato nel servizio Device Provisioning se si crea una registrazione singola. La chiave privata viene passata al runtime di IoT Edge.
  • Un certificato a catena completa, che deve avere almeno l'identità del dispositivo e i certificati intermedi al suo interno. Il certificato della catena completa viene passato al runtime di IoT Edge.
  • Un certificato CA intermedio o radice dalla catena di certificati di attendibilità. Questo certificato viene caricato nel servizio Device Provisioning se si crea una registrazione di gruppo.

Nota

Attualmente, una limitazione nel libiothsm impedisce l'uso di certificati che scadono il 1° gennaio 2038.

Usare i certificati di test (facoltativo)

Se non si dispone di un'autorità di certificazione disponibile per creare nuovi certificati di identità e si vuole provare questo scenario, il repository Git di Azure IoT Edge contiene script che è possibile usare per generare certificati di test. Questi certificati sono progettati solo per i test di sviluppo e non devono essere usati nell'ambiente di produzione.

Per creare certificati di test, seguire la procedura descritta in Creare certificati demo per testare IoT Edge funzionalità del dispositivo. Completare le due sezioni necessarie per configurare gli script di generazione del certificato e per creare un certificato CA radice. Seguire quindi la procedura per creare un certificato di identità del dispositivo. Al termine, è necessario avere la catena di certificati e la coppia di chiavi seguenti:

  • <WRKDIR>\certs\iot-edge-device-identity-<name>-full-chain.cert.pem
  • <WRKDIR>\private\iot-edge-device-identity-<name>.key.pem

Questi certificati sono necessari nel dispositivo IoT Edge. Se si intende usare la registrazione singola in DPS, si caricherà il file con estensione cert.pem. Se si intende usare la registrazione del gruppo in DPS, è necessario anche un certificato CA intermedio o radice nella stessa catena di certificati di trust da caricare. Se si usano certificati demo, usare il certificato per la <WRKDIR>\certs\azure-iot-test-only.root.ca.cert.pem registrazione del gruppo.

Creare una registrazione nel servizio Device Provisioning

Usare i certificati e le chiavi generati per creare una registrazione nel servizio Device Provisioning per uno o più dispositivi IoT Edge.

Se si vuole effettuare il provisioning di un singolo dispositivo IoT Edge, creare una registrazione singola. Se è necessario eseguire il provisioning di più dispositivi, seguire la procedura per la creazione di una registrazione del gruppo dps.

Quando si crea una registrazione nel servizio Device Provisioning, si ha la possibilità di dichiarare un valore di Stato dispositivo gemello iniziale. Nel dispositivo gemello è possibile impostare tag per raggruppare i dispositivi in base a una qualsiasi metrica necessaria nella propria soluzione, come l'area, l'ambiente, la località o il tipo di dispositivo. Questi tag vengono usati per creare distribuzioni automatiche.

Per altre informazioni sulle registrazioni nel servizio device provisioning, vedere Come gestire le registrazioni dei dispositivi.

Creare una registrazione singola del servizio Device Provisioning

Le registrazioni individuali accettano la parte pubblica del certificato di identità di un dispositivo e corrispondono al certificato nel dispositivo.

Suggerimento

I passaggi descritti in questo articolo sono relativi alla portale di Azure, ma è anche possibile creare registrazioni singole usando l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere az iot dps enrollment. Come parte del comando dell'interfaccia della riga di comando, usare il flag abilitato per edge per specificare che la registrazione è per un dispositivo IoT Edge.

  1. Nella portale di Azure passare all'istanza di hub IoT servizio device provisioning.

  2. In le impostazioni selezionare Gestisci registrazioni.

  3. Selezionare Aggiungi registrazione singola, quindi completare la procedura seguente per configurare la registrazione:

    • Meccanismo: selezionare X.509.

    • File con estensione pem o cer del certificato primario: caricare il file pubblico dal certificato di identità del dispositivo. Se sono stati usati gli script per generare un certificato di test, scegliere il file seguente:

      <WRKDIR>\certs\iot-edge-device-identity-<name>.cert.pem

    • hub IoT ID dispositivo: specificare un ID per il dispositivo, se si vuole. È possibile usare gli ID dispositivo per identificare come destinazione un singolo dispositivo per la distribuzione di moduli. Se non si specifica un ID dispositivo, viene usato il nome comune (CN) nel certificato X.509.

    • IoT Edge dispositivo: selezionare True per dichiarare che la registrazione è relativa a un dispositivo IoT Edge.

    • Selezionare gli hub IoT a cui è possibile assegnare questo dispositivo: scegliere l'hub IoT collegato a cui si vuole connettere il dispositivo. È possibile scegliere più hub e il dispositivo verrà assegnato a uno di essi in base ai criteri di allocazione selezionati.

    • Stato dispositivo gemello iniziale: aggiungere un valore di tag da aggiungere al dispositivo gemello se si vuole. È possibile usare i tag per specificare come destinazione gruppi di dispositivi per la distribuzione automatica. Ad esempio:

      {
    "tags": {
       "environment": "test"
    },
    "properties": {
       "desired": {}
    }
}

  4. Selezionare Salva.

In Gestisci registrazioni è possibile visualizzare l'ID registrazione per la registrazione appena creata. Prendere nota di esso, perché può essere usato quando si effettua il provisioning del dispositivo.

Ora che esiste una registrazione per questo dispositivo, il runtime di IoT Edge può effettuare automaticamente il provisioning del dispositivo durante l'installazione.

Installare IoT Edge

Distribuire Azure IoT Edge per Linux in Windows nel dispositivo di destinazione.

Installare IoT Edge per Linux in Windows nel dispositivo di destinazione.

Nota

Il processo di PowerShell seguente illustra come distribuire IoT Edge per Linux in Windows nel dispositivo locale. Per eseguire la distribuzione in un dispositivo di destinazione remota tramite PowerShell, è possibile usare Remote PowerShell per stabilire una connessione a un dispositivo remoto ed eseguire questi comandi in remoto in tale dispositivo.

  1. In una sessione di PowerShell con privilegi elevati eseguire ognuno dei comandi seguenti per scaricare IoT Edge per Linux in Windows.

    $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
$ProgressPreference = 'SilentlyContinue'
Invoke-WebRequest "https://aka.ms/AzEflowMSI" -OutFile $msiPath

  2. Installare IoT Edge per Linux in Windows nel dispositivo.

    Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"

    È possibile specificare IoT Edge personalizzate per Linux per l'installazione e le directory VHDX di Windows aggiungendo INSTALLDIR="<FULLY_QUALIFIED_PATH>" parametri e VHDXDIR="<FULLY_QUALIFIED_PATH>" al comando di installazione. Ad esempio, se si vuole usare la cartella D:\EFLOW per l'installazione e D:\EFLOW-VHDX per VHDX, è possibile usare il cmdlet di PowerShell seguente.

    Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"

  3. Impostare i criteri di esecuzione nel dispositivo di destinazione su AllSigned se non è già presente. Vedere i prerequisiti di PowerShell per i comandi per controllare i criteri di esecuzione correnti e impostare i criteri di esecuzione su AllSigned.

  4. Creare la IoT Edge per Linux nella distribuzione di Windows. La distribuzione crea la macchina virtuale Linux e installa il runtime di IoT Edge per l'utente.

    Deploy-Eflow

    Suggerimento

    Per impostazione predefinita, il Deploy-Eflow comando crea la macchina virtuale Linux con 1 GB di RAM, 1 core vCPU e 16 GB di spazio su disco. Tuttavia, le risorse necessarie per la macchina virtuale dipendono in modo elevato dai carichi di lavoro distribuiti. Se la macchina virtuale non dispone di memoria sufficiente per supportare i carichi di lavoro, non verrà avviata.

    È possibile personalizzare le risorse disponibili della macchina virtuale usando Deploy-Eflow i parametri facoltativi del comando.

    Ad esempio, il comando seguente crea una macchina virtuale con 4 core vCPU, 4 GB di RAM (rappresentati in MB) e 20 GB di spazio su disco:

    Deploy-Eflow -cpuCount 4 -memoryInMB 4096 -vmDiskSize 20

    Per informazioni su tutti i parametri facoltativi disponibili, vedere Funzioni di PowerShell per IoT Edge per Linux in Windows.

    Avviso

    Per impostazione predefinita, la macchina virtuale EFLOW Linux non ha alcuna configurazione DNS. Le distribuzioni che usano DHCP tenteranno di ottenere la configurazione DNS propagata dal server DHCP. Controllare la configurazione DNS per garantire la connettività Internet. Per altre informazioni, vedere AzEFLOW-DNS.

    È possibile assegnare una GPU alla distribuzione per abilitare moduli Linux accelerati dalla GPU. Per ottenere l'accesso a queste funzionalità, è necessario installare i prerequisiti dettagliati nell'accelerazione GPU per Azure IoT Edge per Linux in Windows.

    Per usare un pass-through GPU, aggiungere i parametri gpuName, gpuPass throughType e gpuCount al Deploy-Eflow comando. Per informazioni su tutti i parametri facoltativi disponibili, vedere Funzioni di PowerShell per IoT Edge per Linux in Windows.

    Avviso

    L'abilitazione del pass-through del dispositivo hardware può aumentare i rischi di sicurezza. Microsoft consiglia un driver di mitigazione dei dispositivi dal fornitore della GPU, se applicabile. Per altre informazioni, vedere Distribuire dispositivi grafici usando l'assegnazione di dispositivi discreti.

  5. Immettere 'Y' per accettare le condizioni di licenza.

  6. Immettere 'O' o 'R' per attivare o disattivare i dati di diagnostica facoltativi , a seconda delle preferenze.

  7. Al termine della distribuzione, la finestra di PowerShell segnala l'esito positivo della distribuzione.

    Una distribuzione riuscita dirà

    Dopo una distribuzione riuscita, è possibile effettuare il provisioning del dispositivo.

Effettuare il provisioning del dispositivo con la relativa identità cloud

Dopo aver installato il runtime nel dispositivo, configurare il dispositivo con le informazioni usate per connettersi al servizio di provisioning del dispositivo e hub IoT.

Disporre delle informazioni seguenti:

  • Valore ambito ID DPS. È possibile recuperare questo valore dalla pagina di panoramica dell'istanza di DPS nel portale di Azure.
  • File della catena di certificati di identità del dispositivo nel dispositivo.
  • File della chiave di identità del dispositivo nel dispositivo.

È possibile usare PowerShell o Windows Admin Center per effettuare il provisioning del dispositivo IoT Edge.

Per PowerShell, eseguire il comando seguente con i valori segnaposto aggiornati con i propri valori:

Provision-EflowVm -provisioningType DpsX509 -scopeId PASTE_YOUR_ID_SCOPE_HERE -registrationId PASTE_YOUR_REGISTRATION_ID_HERE -identityCertPath PASTE_ABSOLUTE_PATH_TO_IDENTITY_CERTIFICATE_HERE -identityPrivKeyPath PASTE_ABSOLUTE_PATH_TO_IDENTITY_PRIVATE_KEY_HERE

Verificare l'esito positivo dell'installazione

Verificare che IoT Edge per Linux in Windows sia stato installato e configurato correttamente nel dispositivo IoT Edge.

È possibile verificare che sia stata usata la registrazione singola creata nel servizio device provisioning. Passare all'istanza del servizio device provisioning nel portale di Azure. Aprire i dettagli della registrazione per la registrazione singola creata. Si noti che lo stato della registrazione viene assegnato e che l'ID dispositivo è elencato.

  1. Accedere al IoT Edge per Linux nella macchina virtuale Windows usando il comando seguente nella sessione di PowerShell:

    Connect-EflowVm

    Nota

    L'unico account autorizzato a connettersi tramite SSH alla macchina virtuale è l'utente che lo ha creato.

  2. Dopo aver eseguito l'accesso, è possibile controllare l'elenco dei moduli IoT Edge in esecuzione usando il comando Linux seguente:

    sudo iotedge list

  3. Se è necessario risolvere i problemi del servizio IoT Edge, usare i comandi Linux seguenti.

    1. Se è necessario risolvere problemi del servizio, recuperare i log di servizio.

      sudo journalctl -u iotedge

    2. Usare lo check strumento per verificare lo stato di configurazione e connessione del dispositivo.

      sudo iotedge check

    Nota

    In un dispositivo di cui è stato appena effettuato il provisioning, è possibile che venga visualizzato un errore correlato a IoT Edge Hub:

    × conformità alla produzione: la directory di archiviazione dell'hub Edge è persistente nel file system host - Errore

    Impossibile controllare lo stato corrente del contenitore edgeHub

    Questo errore è previsto in un dispositivo di cui è stato appena effettuato il provisioning perché il modulo IoT Edge Hub non è in esecuzione. Per risolvere l'errore, in hub IoT impostare i moduli per il dispositivo e creare una distribuzione. La creazione di una distribuzione per il dispositivo avvia i moduli nel dispositivo, incluso il modulo IoT Edge Hub.

Quando si crea un nuovo dispositivo IoT Edge, il codice 417 -- The device's deployment configuration is not set di stato verrà visualizzato nel portale di Azure. Questo stato è normale e significa che il dispositivo è pronto per ricevere una distribuzione del modulo.

Disinstallare IoT Edge per Linux in Windows

Se si vuole rimuovere l'installazione di Azure IoT Edge per Linux in Windows dal dispositivo, usare i comandi seguenti.

  1. Apri impostazioni in Windows
  2. Selezionare Installazione applicazioni
  3. Selezionare l'app Azure IoT Edge LTS
  4. Selezionare Disinstalla

Passaggi successivi

Il processo di registrazione del servizio device provisioning consente di impostare l'ID dispositivo e i tag del dispositivo gemello contemporaneamente durante il provisioning del nuovo dispositivo. È possibile usare questi valori per identificare come destinazione singoli dispositivi o gruppi di dispositivi usando la gestione automatica dei dispositivi. Informazioni su come distribuire e monitorare i moduli IoT Edge su larga scala usando il portale di Azure o l'interfaccia dellariga di comando di Azure.

È anche possibile: