対称キーを使用して Linux で IoT Edge デバイスを作成およびプロビジョニングする

[アーティクル]
9/12/2022

適用対象: IoT Edge 1.1

重要

IoT Edge 1.1 のサポート終了日は、2022 年 12 月 13 日でした。本製品、サービス、テクノロジ、または API のサポート内容については、Microsoft 製品のライフサイクルに関するページをご確認ください。最新バージョンの IoT Edge への更新の詳細については、「 Update IoT Edge」を参照してください。

この記事では、Linux IoT Edge デバイスを登録およびプロビジョニングするエンドツーエンドの手順 (IoT Edge のインストールを含む) について説明します。

IoT ハブに接続するすべてのデバイスには、cloud-to-device または device-to-cloud の通信の追跡に使用されるデバイス ID があります。デバイスをその接続情報で構成します。これには、IoT ハブホスト名、デバイス ID、IoT Hub に対して認証を行うためにデバイスで使用される情報が含まれます。

この記事の手順では、手動プロビジョニングと呼ばれるプロセスについて説明します。ここでは、1 つのデバイスを IoT ハブに接続します。手動プロビジョニングの場合、IoT Edge デバイスの認証には 2 つのオプションがあります。

対称キー: IoT Hub で新しいデバイス ID を作成すると、サービスによって 2 つのキーが作成されます。いずれかのキーをデバイスに配置すると、認証時にそのキーが IoT Hub に提示されます。

この認証方法は比較的すばやく開始できますが、それほど安全ではありません。
X.509 自己署名: 2 つの X.509 ID 証明書を作成し、デバイスに配置します。 IoT Hub で新しいデバイス ID を作成するときは、両方の証明書の拇印を指定します。デバイスでは IoT Hub に対して認証を行うときに、1 つの証明書が提示され、その証明書がその拇印と一致することが IoT によって検証されます。

この認証方法はより安全であり、運用環境のシナリオの場合に推奨されます。

この記事では、認証方法として対称キーを使用する方法について説明します。 X.509 証明書を使用する場合は、「x.509 証明書を使用して Linux で IoT Edge デバイスを作成およびプロビジョニングする」を参照してください。

Note

設定するデバイスが多数あり、それぞれを手動でプロビジョニングしたくない場合は、次の記事のいずれかを使用して、IoT Edge が IoT Hub Device Provisioning Service でどのように動作するかを確認してください。

前提条件

この記事では、IoT Edge デバイスを登録し、そこに IoT Edge をインストールする方法について説明します。これらのタスクには、実行するために使用されるさまざまな前提条件とユーティリティがあります。次に進む前に、すべての前提条件が満たされていることを確認してください。

デバイス管理ツール

デバイスを登録する手順には、Azure portal、Visual Studio Code、または Azure CLI を使用できます。ユーティリティごとに個別の前提条件があります。

Azure サブスクリプション内の無料または標準の IoT ハブ。

Azure サブスクリプション内の無料または標準の IoT ハブ
ご使用の環境内の Azure CLI

Azure CLI のバージョンは、少なくとも 2.0.70 以降である必要があります。検証するには、az --version を使用します。このバージョンでは、az 拡張機能のコマンドがサポートされ、Knack コマンドフレームワークが導入されています。

デバイスの要件

X64、ARM32、または ARM64 の Linux デバイス。

Microsoft では、さまざまなオペレーティングシステム用のインストールパッケージを公開しています。

運用シナリオ向けに現在サポートされているオペレーティングシステムに関する最新の情報については、「Azure IoT Edge のサポートされるシステム」を参照してください。

デバイスを登録する

デバイスを登録するには、好みに応じて Azure portal、Visual Studio Code、または Azure CLI を使用できます。

Azure portal の IoT Hubで、IoT Edge デバイスは、Edge 対応ではない IoT デバイスとは別に作成および管理されます。

Azure Portal にサインインし、IoT Hub に移動します。
左側のウィンドウで、メニューから [デバイス] を選択し、[デバイスを追加する] を選択します。
[デバイスの作成] ページで、次の情報を指定します。
- わかりやすいデバイス ID を作成します。このデバイス ID は、後で使用するのでメモしておいてください。
- [IoT Edge デバイス] のチェックボックスをオンにします。
- 認証の種類として [対称キー] を選択します。
- 認証キーを自動生成して、新しいデバイスをハブに接続するために、既定の設定を使用します。
[保存] を選択します。

az iot hub device-identity create コマンドを使用して、IoT ハブに新しいデバイス ID を作成します。次に例を示します。

az iot hub device-identity create --device-id device_id_here --hub-name hub_name_here --edge-enabled

このコマンドには、3 つのパラメーターが含まれます。

--device-id または -d: IoT ハブ内で一意のわかりやすい名前を指定します。
--hub-name または -n: IoT ハブの名前を指定します。
--edge-enabled または --ee: デバイスが IoT Edge デバイスであることを宣言します。

デバイスが IoT Hub に登録されたので、IoT Edge ランタイムのインストールとプロビジョニングを完了するために使用する情報を取得します。

登録済みデバイスを表示し、プロビジョニング情報を取得する

対称キー認証を使用するデバイスでは、IoT Edge ランタイムのインストールとプロビジョニングを完了するために接続文字列が必要です。

IoT ハブに接続するエッジ対応デバイスが、デバイス ページに一覧表示されます。 IoT Edge デバイスの種類で一覧をフィルター処理できます。

Azure portal、IoT Hub でデバイスを表示する方法を示すスクリーンショット。

デバイスを設定する準備ができたら、物理デバイスを IoT ハブ内でのその ID にリンクする接続文字列が必要です。

対称キーを使用して認証を行うデバイスでは、接続文字列をポータルでコピーできます。

ポータルの [デバイス] ページで、一覧から IoT Edge デバイス ID を選択します。
[プライマリ接続文字列] または [セカンダリ接続文字列] のどちらかの値をコピーします。

IoT ハブのすべてのデバイスを表示するには、az iot hub device-identity list コマンドを使用します。次に例を示します。

az iot hub device-identity list --hub-name hub_name_here

IoT Edge デバイスとして登録されたすべてのデバイスのプロパティ capabilities.iotEdge は true に設定されます。

デバイスを設定する準備ができたら、物理デバイスを IoT ハブ内でのその ID にリンクする接続文字列が必要です。 az iot hub device-identity connection-string show コマンドを使用すると、単一のデバイスの接続文字列が返されます。

az iot hub device-identity connection-string show --device-id [device_id] --hub-name [hub_name]

ヒント

connection-string show コマンドは、Azure IoT 拡張機能のバージョン 0.9.8 で導入され、これによって、非推奨の show-connection-string コマンドが置き換えられました。このコマンドの実行中にエラーが発生した場合は、拡張機能のバージョンが 0.9.8 以降に更新されていることを確認してください。詳細情報と最新の更新プログラムについては、Azure CLI 用の Microsoft Azure IoT 拡張機能に関するページを参照してください。

device-id パラメーターの値は、大文字と小文字が区別されます。

デバイスで使用する接続文字列をコピーする場合は、接続文字列を囲んでいる引用符を含めないでください。

IoT Edge をインストールする

このセクションでは、Linux VM または IoT Edge の物理デバイスを準備します。次に、IoT Edge をインストールします。

次のコマンドを実行してパッケージリポジトリを追加し、信頼できるキーの一覧に Microsoft パッケージ署名キーを追加します。

重要

2022 年 6 月 30 日に、レベル 1 OS サポートリストから Raspberry Pi OS Stretch が廃止されました。潜在的なセキュリティの脆弱性を回避するために、ホスト OS を Bullseye に更新してください。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

20.04:

wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

18.04:

wget https://packages.microsoft.com/config/ubuntu/18.04/multiarch/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

APT を使用したインストールは、少ないコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

11 - Bullseye (arm32v7):

curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

ヒント

OS のインストール中に "root" アカウントにパスワードを指定した場合、'sudo' は不要です。上記のコマンドを 'apt' から始めて実行できます。

インストールは、数個のコマンドで実行できます。ターミナルを開き、次のコマンドを実行します。

8.x (amd64):

  wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

Note

Azure IoT Edge ソフトウェアパッケージには、パッケージ内にあるライセンス条項 (usr/share/doc/{package-name} または LICENSE ディレクトリ) が適用されます。パッケージを使用する前に、ライセンス条項をお読みください。インストールし、パッケージを使用すると、これらの条項に同意したものと見なされます。ライセンス条項に同意しない場合は、そのパッケージを使用しないでください。

コンテナーエンジンをインストールする

Azure IoT Edge は、OCI と互換性のあるコンテナーランタイムに依存します。運用環境のシナリオでは、Moby エンジンを使用することをお勧めします。 Moby エンジンは、IoT Edge で公式にサポートされている唯一のコンテナーエンジンです。 Docker CE/EE コンテナーイメージは、Moby ランタイムと互換性があります。

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンをインストールします。

sudo apt-get update; \
  sudo apt-get install moby-engine

Moby エンジンと CLI をインストールします。

sudo yum install moby-engine moby-cli

Moby エンジンが正常にインストールされたら、ログメカニズムとして local ログドライバーを使用するように構成します。ログ構成の詳細については、「運用環境デプロイのチェックリスト」を参照してください。

/etc/docker/daemon.json で、Docker デーモンの構成ファイルを作成するか、開きます。
次の例に示すように、既定のログドライバーを local ログドライバーに設定します。
```
   {
      "log-driver": "local"
   }
```
コンテナーエンジンを再起動して、変更を有効にします。
```
sudo systemctl restart docker
```
ヒント

Moby コンテナーエンジンをインストールするときにエラーが発生する場合は、Linux カーネルに Moby との互換性があることを確認します。埋め込みデバイスの一部の製造元からは、コンテナーエンジンとの互換性のために必要な機能を備えていないカスタム Linux カーネルを含むデバイスイメージが提供されています。 Moby から提供されている check-config スクリプトを使用する次のコマンドを実行して、カーネルの構成を確認します。
```
curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh
```
スクリプトの出力で、Generally Necessary と Network Drivers の下のすべての項目が有効になっていることを確認します。機能が欠けている場合は、カーネルをソースから再構築し、カーネルの適切な .config に含める関連モジュールを選択することで、それらを有効にします。同様に、defconfig や menuconfig などのカーネル構成ジェネレーターを使用している場合は、それぞれの機能を見つけて有効にし、ご自分のカーネルを適宜再構築します。新たに変更されたカーネルを展開したら、check-config スクリプトをもう一度実行して、必要なすべての機能が正常に有効になっていることを確認します。

IoT Edge ランタイムをインストールする

IoT Edge セキュリティデーモンによって、IoT Edge デバイス上にセキュリティ標準が提供されて維持されます。デーモンは起動のたびに開始され、IoT Edge ランタイムの残りの部分を開始することでデバイスをブートストラップします。

このセクションの手順では、インターネットに接続されているデバイスに最新バージョンをインストールする一般的なプロセスが示されています。プレリリースバージョンなどの特定のバージョンをインストールする必要がある場合、またはオフラインの間にインストールする必要がある場合は、この記事で後述する「オフラインまたは特定のバージョンのインストール」の手順に従ってください。

IoT Edge バージョン 1.1* と libiothsm-std パッケージをインストールします。

sudo apt-get update; \
  sudo apt-get install iotedge

sudo apt-get update; \
  sudo apt-get install iotedge

Note

IoT Edge バージョン 1.1 は、IoT Edge の長期サポートブランチです。古いバージョンを実行している場合は、サポートされなくなるため、最新のパッチのインストールまたは更新をお勧めします。

クラウド ID を使用してデバイスをプロビジョニングする

これでコンテナーエンジンと IoT Edge ランタイムがデバイスにインストールされたので、次のステップに進み、クラウド ID と認証情報を使用してデバイスを設定できます。

IoT Edge デバイスで構成ファイルを開きます。

sudo nano /etc/iotedge/config.yaml

ファイルのプロビジョニング構成を見つけ、"Manual provisioning configuration using a connection string" セクションがまだコメント解除されていない場合はコメント解除します。

# Manual provisioning configuration using a connection string
provisioning:
source: "manual"
device_connection_string: "ADD_DEVICE_CONNECTION_STRING_HERE"

device_connection_string の値を IoT Edge デバイスからの接続文字列で更新します。他のプロビジョニングセクションがコメントアウトされていることを確認します。 provisioning: 行に先行する空白がなく、入れ子になった項目が 2 つのスペースでインデントされていることを確認します。

クリップボードの内容を Nano に貼り付けるには、Shift+Right Click キーまたは Shift+Insert キーを押します。

ファイルを保存して閉じます。

CTRL + X、 Y、 Enter

構成ファイルにプロビジョニング情報を入力した後、デーモンを再起動します。

sudo systemctl restart iotedge

構成が成功したことを確認する

IoT Edge デバイスにランタイムが正常にインストールされ、構成されていることを確認します。

ヒント

iotedge コマンドの実行には、昇格された特権が必要です。 IoT Edge ランタイムのインストール後に初めてマシンにサインインし直すと、アクセス許可は自動的に更新されます。それまでは、コマンドの前に sudo を使用します。

IoT Edge システムサービスが実行されていることを確認します。

sudo systemctl status iotedge

サービスのトラブルシューティングが必要な場合は、サービスログを取得します。

journalctl -u iotedge

check ツールを使用して、デバイスの構成と接続の状態を確認します。

sudo iotedge check

ヒント

アクセス許可が更新された後でも、必ず sudo を使用してチェックツールを実行してください。このツールには、構成状態を確認するために、config ファイルにアクセスするための昇格された特権が必要です。

Note

新しくプロビジョニングされたデバイスでは、IoT Edge ハブに関連するエラーが表示される場合があります。

× 運用環境の準備: Edge ハブのストレージディレクトリがホストファイルシステムに保持されています - エラー

edgeHub コンテナーの現在の状態を確認できませんでした

このエラーは、IoT Edge ハブモジュールが実行されていないために、新しくプロビジョニングされたデバイスで発生します。このエラーを解決するには、IoT Hub でデバイスのモジュールを設定し、デプロイを作成します。デバイスのデプロイを作成することで、IoT Edge ハブモジュールを含むモジュールがデバイス上で開始されます。

IoT Edge デバイス上で実行されているすべてのモジュールを表示します。初めてサービスが開始されると、edgeAgent モジュールが実行されていることだけを確認できます。 edgeAgent モジュールが既定で実行され、デバイスにデプロイする追加モジュールのインストールと起動を支援します。

sudo iotedge list

新しい IoT Edge デバイスを作成すると、Azure portal で状態コード 417 -- The device's deployment configuration is not set が表示されます。この状態は正常であり、デバイスでモジュールのデプロイを受け取る準備ができていることを意味します。

オフラインまたは特定のバージョンのインストール (省略可能)

このセクションの手順は、標準のインストール手順では説明されていないシナリオを対象としています。これには以下が含まれます。

オフラインの間に IoT Edge をインストールする
リリース候補バージョンをインストールする

パッケージマネージャーで使用できない特定のバージョンの Azure IoT Edge ランタイムをインストールする場合は、このセクションの手順を使用します。 Microsoft パッケージのリストには、最近のバージョンとそのサブバージョンの限られたセットしか含まれていないので、これらの手順は、古いバージョンまたはリリース候補バージョンをインストールするユーザーが対象となります。

curl コマンドを使用すると、IoT Edge GitHub リポジトリから直接、コンポーネントファイルをターゲットにすることができます。

Azure IoT Edge リリースに移動し、対象とするリリースバージョンを見つけます。
そのバージョンの [Assets] セクションを展開します。
各リリースには、IoT Edge セキュリティデーモンと hsmlib の新しいファイルが必要です。オフラインデバイスに IoT Edge をインストールする場合は、事前にこれらのファイルをダウンロードします。それ以外の場合は、以下のコマンドを使用して、これらのコンポーネントを更新します。
1. IoT Edge デバイスのアーキテクチャに対応する libiothsm-std ファイルを見つけます。ファイルリンクを右クリックし、リンクのアドレスをコピーします。
2. コピーしたリンクを次のコマンドで使用して、そのバージョンの hsmlib をインストールします。
```
curl -L <libiothsm-std_link> -o libiothsm-std.deb && sudo apt-get install ./libiothsm-std.deb
```
3. IoT Edge デバイスのアーキテクチャに対応する iotedge ファイルを見つけます。ファイルリンクを右クリックし、リンクのアドレスをコピーします。
4. コピーしたリンクを次のコマンドで使用して、そのバージョンの IoT Edge セキュリティデーモンをインストールします。
```
curl -L iotedge_link_here -o iotedge.deb && sudo apt-get install ./iotedge.deb
```

これでコンテナーエンジンと IoT Edge ランタイムがデバイスにインストールされたので、次のステップに進み、クラウド ID を使用してデバイスをプロビジョニングできます。

IoT Edge をアンインストールする

デバイスから IoT Edge のインストールを削除する必要がある場合は、次のコマンドを使用します。

IoT Edge ランタイムを削除します。

sudo apt-get autoremove iotedge

IoT Edge ランタイムが削除されると、作成したコンテナーは停止されますが、デバイスには残っています。すべてのコンテナーを表示して、どのコンテナーが残っているかを確認します。

sudo docker ps -a

2 つのランタイムコンテナーを含め、デバイスからコンテナーを削除します。

sudo docker rm -f <container name>

最後に、デバイスからコンテナーランタイムを削除します。

Ubuntu/Debian
Red Hat Enterprise Linux

sudo apt-get autoremove --purge moby-engine

sudo yum remove moby-cli
sudo yum remove moby-engine

次のステップ

IoT Edge モジュールのデプロイに進んで、デバイスにモジュールをデプロイする方法を確認します。

次の方法で共有

対称キーを使用して Linux で IoT Edge デバイスを作成およびプロビジョニングする

前提条件

デバイス管理ツール

デバイスの要件

デバイスを登録する

Visual Studio Code を使用して新しいデバイスを登録する

登録済みデバイスを表示し、プロビジョニング情報を取得する

IoT Edge をインストールする

コンテナーエンジンをインストールする

IoT Edge ランタイムをインストールする

クラウド ID を使用してデバイスをプロビジョニングする

構成が成功したことを確認する

オフラインまたは特定のバージョンのインストール (省略可能)

IoT Edge をアンインストールする

次のステップ

その他のリソース

次の方法で共有

対称キーを使用して Linux で IoT Edge デバイスを作成およびプロビジョニングする

前提条件

デバイス管理ツール

デバイスの要件

デバイスを登録する

登録済みデバイスを表示し、プロビジョニング情報を取得する

IoT Edge をインストールする

コンテナー エンジンをインストールする

IoT Edge ランタイムをインストールする

クラウド ID を使用してデバイスをプロビジョニングする

構成が成功したことを確認する

オフラインまたは特定のバージョンのインストール (省略可能)

IoT Edge をアンインストールする

その他のリソース

コンテナーエンジンをインストールする