Azure IoT Hub sertifika yönetiminde sertifika yenileme (önizleme)

Sertifika yenileme, önceden sağlanmış bir cihazın mevcut cihaz kimliği için yeni bir işlem sertifikası istemesi ve alması işlemidir. Yenileme, süresi dolmak üzere olan veya süresi dolmak üzere olan sertifikaları değiştirmek için kullanılır. Cihaz aynı kimlikle sağlanmış olarak kalır; yalnızca işletimsel sertifika güncelleştirilir. Her IoT cihazının sertifika süre sonunu izlemesi ve sona ermeden önce yenileme başlatması gerekir. Bu makalede ne zaman yenileneceği, kullanılabilir yenileme yolları, süre sonunun nasıl izleneceği ve sertifikanın süresi dolarsa ne yapılması gerektiği açıklanmaktadır.

Important

Azure Cihaz Kayıt Defteri tümleştirmesi ve Microsoft destekli X.509 sertifika yönetimi ile Azure IoT Hub public preview sürümündedir ve üretim iş yükleri için önerilmez. Daha fazla bilgi için bkz. SSS: IoT Hub'daki yenilikler nelerdir?.

Cihazların yenilenmesi gerektiğinde

Sertifika yönetimi, Azure Cihaz Kayıt Defteri'nde (ADR) ilkeyi yapılandırırken ayarladığınız geçerlilik süresiyle işletimsel sertifikalar verir. Geçerlilik süresi 7 ile 90 gün arasında değişir.

Kısa süreli sertifikalar, bir sertifikanın güvenliği tehlikeye atılırsa açığa çıkarma süresini kısalttıkları için güvenliği artırır. IoT Hub bağlantısını sürdürmek için her cihazın geçerli işletim sertifikasının süresi dolmadan önce yenilemeye başlaması gerekir. Yenilemeyi son kullanma tarihinden önce planlayın. Cihaz üretici yazılımınıza veya uygulamanıza yenileme mantığı ekleyerek sertifika geçerlilik süresinin belirli bir yüzdesine ulaştığında (örneğin, yüzde 80) bir yenileme isteği göndermesini sağlayın.

Yenileme nasıl çalışır?

İşletimsel sertifikayı şu yollardan biriyle yenileyebilirsiniz:

  • DPS aracılığıyla sertifika verme işlemini yineleyin: Cihaz yeni bir Cihaz Sağlama Hizmeti (DPS) kaydı başlatır, ekleme kimlik bilgilerini kullanır ve yeni bir sertifika imzalama isteği (CSR) gönderir. Bu yol, ilk sertifika verme işlemiyle aynı akışı izler. Daha fazla bilgi için bkz. Azure IoT Hub sertifika yönetiminde Device sertifikası verme.

  • Yeni bir CSR'yi doğrudan IoT Hub: Cihaz MQTT üzerinden IoT Hub için CSR'yi gönderir. IoT Hub yenileme isteğini işler, yeni bir işletim sertifikası almak için ADR ile koordine olur ve yenileme yanıtını yayımlar. Daha fazla bilgi için bkz. Cihaz sertifikasını yenileme (işlem sertifikası).

Her iki yolda da cihaz yenilemenin ne zaman gerekli olduğunu algılamalı, CSR'yi üretmek için yeni bir anahtar çifti oluşturmalı, yerel sertifikayı değiştirmeli ve yeni sertifikayla yeniden bağlantı kurmalıdır.

Cihazlarda sertifika süre sonunu izleme

Her cihazın işletimsel sertifikası için süre sonunu izlemesi gerekir. Sertifika yönetimi cihazlara otomatik yenileme bildirimleri göndermez. İşlem sertifikası Valid from ve Valid until alanlarını içerir. Cihaz, sertifikanın süresinin ne zaman dolabileceğini ve yenilemenin ne zaman başlatılıp başlatılmadığını belirlemek için bu alanları okuyabilir.

Cihazınızın üretici yazılımı veya uygulama kodu şunları yapmalıdır:

  1. Her başarılı sağlamadan sonra Valid until sertifikadaki alanı okuyun.
  2. Süre dolmadan kalan süreyi hesaplayın.
  3. Sertifikanın süresi dolmadan önce, ya DPS aracılığıyla yeniden sağlanarak ya da doğrudan IoT Hub'a yeni bir CSR göndererek bir yenileme isteği tetikleyin.

Cihaz ikizleriyle sertifika süre sonunu bildirme

Genel önizleme sırasında cihazlar, geçerli işletim sertifikasının ve Valid from tarihlerini raporlamak için Valid until kullanmalıdır. Bildirilen bu özellikler, süresi dolmak üzere olan sertifikalara sahip cihazları gösteren panolar gibi filo genelinde görünürlüğü destekler.

Aşağıdaki örnekte bildirilen özellikler yapısı gösterilmektedir:

{
  "reported": {
    "certificate": {
      "validFrom": "2026-03-01T00:00:00Z",
      "validUntil": "2026-03-31T00:00:00Z"
    }
  }
}

Cihazlar bu özellikleri raporladıktan sonra, filonuzda yenileme gerektiren cihazları tanımlamak için IoT Hub sorgu dilini kullanabilirsiniz.

Sertifikanın süresi dolduğunda ne olur?

Bir cihaz süre dolmadan önce sertifikasını yenilemezse, IoT Hub ile kimlik doğrulaması yapma özelliğini kaybeder. IoT Hub süresi dolmuş sertifikalar sunan cihazlardan gelen bağlantıları reddeder.

Süresi dolmuş sertifikaya sahip bir cihazı kurtarmak için cihaz, Cihaz Sağlama Hizmeti kullanılarak yeniden sağlanmalıdır:

  1. Cihazın hala başlangıç kimlik bilgilerine sahip olduğunu onaylayın. Bu kimlik bilgisi simetrik anahtar veya TPM gibi ilk sağlama için kullanılır.

  2. Cihazın yeni bir CSR içeren DPS'ye yeni bir kayıt çağrısı başlatmasını sağlayın.

  3. DPS, aynı CSR tabanlı sağlama akışını kullanarak ADR aracılığıyla yeni bir işlem sertifikası yayınlar.

  4. Cihaz yeni sertifikayla IoT Hub bağlanır.

Bir cihaz ekleme kimlik bilgilerini kaybederse ve işlem sertifikasının süresi dolarsa, kuruluşunuzun cihaz yönetimi iş akışı aracılığıyla cihaza yeni bir ekleme kimlik bilgileri sağlamanız gerekir.

Sertifika iptali ile ilişki

Sertifika yenileme, süre sonunu giderir ve sertifika iptalinden ayrıdır. İptal, süre dolmadan önce bir cihaz sertifikasını geçersiz kıldığını belirten bir güvenlik eylemidir. İptal işleminden sonra, cihazın DPS üzerinden yeniden yapılandırma ve aynı CSR tabanlı sertifika verme akışı aracılığıyla yeni bir sertifika alması gerekir. İptal hakkında daha fazla bilgi için bkz. Sertifika iptali ve ilke yönetimi kavramları.

X.509 işletim sertifikası kullanan bir cihazın erişimini iptal etmeden kaldırmak için cihazı IoT Hub'de devre dışı bırakabilirsiniz. Daha fazla bilgi için bkz . Cihazı devre dışı bırakma veya silme.

İlgili içerik

  • Last updated on