Autenticazione client tramite catena di certificati CA

Usare la catena di certificati CA in Griglia di eventi di Azure per autenticare i client durante la connessione al servizio.

In questa guida vengono eseguite le attività seguenti:

1. Caricare un certificato CA, il certificato padre immediato del certificato client, nello spazio dei nomi.
2. Configurare le impostazioni di autenticazione client.
3. Collegare un client utilizzando il certificato del client firmato dal certificato CA precedentemente caricato.

Prerequisiti

• È necessario uno spazio dei nomi di Griglia di eventi già creato.
• È necessaria una catena di certificati CA: certificati client e certificato padre (in genere un certificato intermedio) usato per firmare i certificati client.

Generare un certificato client di esempio e un'impronta digitale

Se non si ha già un certificato, è possibile creare un certificato di esempio usando il step CLI. Prendere in considerazione l'installazione manuale per Windows.

1. Dopo aver installato Step, in Windows PowerShell eseguire il comando per creare certificati radice e intermedi.

.\step ca init --deployment-type standalone --name MqttAppSamplesCA --dns localhost --address 127.0.0.1:443 --provisioner MqttAppSamplesCAProvisioner

2. Uso dei file ca generati per creare il certificato per il client.

.\step certificate create client1-authnID client1-authnID.pem client1-authnID.key --ca .step/certs/intermediate_ca.crt --ca-key .step/secrets/intermediate_ca_key --no-password --insecure --not-after 2400h

3. Per visualizzare l'impronta digitale, eseguire il comando 'Step'.

step certificate fingerprint client1-authn-ID.pem

Caricare il certificato della CA nello spazio dei nomi

1. Passare allo spazio dei nomi della Griglia di eventi nel portale di Azure.
2. Nella sezione broker MQTT nella barra sinistra passare al menu Certificati CA.
3. Selezionare + Certificato per accedere alla pagina Carica certificato.
4. Aggiungere il nome del certificato e cercare il certificato intermedio (.step/certs/intermediate_ca.crt) e selezionare Carica. È possibile caricare un file con estensione pem, .cer o crt.

Configurare le impostazioni di autenticazione client

1. Passare alla pagina Clienti.
2. Selezionare + Client per aggiungere un nuovo client. Se si vuole aggiornare un client esistente, è possibile selezionare il nome del client e aprire la pagina Aggiorna client.
3. Nella pagina Crea cliente, aggiungere il nome cliente, il nome autenticazione cliente e lo schema di convalida dell'autenticazione con certificato cliente. In genere, il nome dell'autenticazione del client si troverebbe nel campo del nome del soggetto nel certificato del client.

4. Selezionare il pulsante Crea per creare il client.

Schema dell'oggetto certificato di esempio

{
    "properties": {
        "description": "CA certificate description",
        "encodedCertificate": "-----BEGIN CERTIFICATE-----`Base64 encoded Certificate`-----END CERTIFICATE-----"
    }
}

Configurazione dell'interfaccia della riga di comando di Azure

Usare i comandi seguenti per caricare/visualizzare/eliminare un certificato dell'autorità di certificazione (CA) nel servizio

Caricare il certificato radice o intermedio dell'autorità di certificazione

az eventgrid namespace ca-certificate create -g myRG --namespace-name myNS -n myCertName --certificate @./resources/ca-cert.json

Mostra informazioni sul certificato

az eventgrid namespace ca-certificate show -g myRG --namespace-name myNS -n myCertName

Eliminare il certificato

az eventgrid namespace ca-certificate delete -g myRG --namespace-name myNS -n myCertName

Passaggi successivi

• Pubblicare e sottoscrivere un messaggio MQTT usando Griglia di eventi