Rinnovo dei certificati nella gestione dei certificati hub IoT di Azure (anteprima)

Il rinnovo del certificato è il processo in cui un dispositivo, già provisionato, richiede e riceve un nuovo certificato operativo per la propria identità esistente. Il rinnovo viene usato per sostituire i certificati che si avvicinano alla scadenza o sono scaduti. Il dispositivo rimane configurato con la stessa identità; viene aggiornato solo il certificato di funzionamento. Ogni dispositivo IoT deve tenere traccia della scadenza del certificato e avviare un rinnovo prima della scadenza. Questo articolo illustra quando rinnovare, i percorsi di rinnovo disponibili, come tenere traccia della scadenza e cosa fare se un certificato scade.

Importante

hub IoT di Azure con l'integrazione di ADR e la gestione dei certificati X.509 supportata da Microsoft è in public preview e non è consigliata per i carichi di lavoro di produzione. Per altre informazioni, vedere FAQ: Novità di hub IoT?

Quando i dispositivi devono essere rinnovati

La gestione dei certificati rilascia i certificati operativi con un periodo di validità impostato quando si configurano i criteri in Azure Registro dispositivi (ADR). Il periodo di validità è compreso tra 7 e 90 giorni.

I certificati di breve durata migliorano la sicurezza perché riducono il tempo di esposizione se un certificato viene compromesso. Ogni dispositivo deve avviare il rinnovo prima della scadenza del certificato operativo corrente per mantenere la connettività a hub IoT. Pianificare il rinnovo prima della data di scadenza. Aggiungere la logica di rinnovo al firmware del dispositivo o all'applicazione in modo che invii una richiesta di rinnovo quando il certificato raggiunge una percentuale impostata del periodo di validità, ad esempio l'80%.

Funzionamento del rinnovo

È possibile rinnovare un certificato operativo in uno dei modi seguenti:

  • Ripetere il rilascio dei certificati tramite DPS: il dispositivo avvia una nuova registrazione del servizio Device Provisioning (DPS), usa le credenziali di onboarding e invia una nuova richiesta di firma del certificato. Questo percorso segue lo stesso flusso del rilascio iniziale del certificato. Per altre informazioni, vedere Rilascio di certificati del dispositivo nella gestione dei certificati hub IoT di Azure.

  • Submite una nuova richiesta di firma del certificato direttamente a hub IoT: il dispositivo invia la richiesta di firma del certificato a hub IoT su MQTT. hub IoT gestisce la richiesta di rinnovo, le coordinate con ADR per ottenere un nuovo certificato operativo e pubblicare la risposta di rinnovo. Per altre informazioni, vedere Rinnovare un certificato del dispositivo (certificato operativo).

In entrambi i percorsi, il dispositivo deve rilevare quando è necessario il rinnovo, generare una nuova coppia di chiavi per produrre la richiesta di firma del certificato, sostituire il certificato locale e riconnettersi con il nuovo certificato.

Tenere traccia della scadenza del certificato nei dispositivi

Ogni dispositivo deve tenere traccia della scadenza del certificato operativo. La gestione dei certificati non invia notifiche di rinnovo automatico ai dispositivi. Il certificato operativo include i campi Valid from e Valid until. Il dispositivo può leggere questi campi per determinare quando scade il certificato e quando avviare il rinnovo.

Il codice del firmware del dispositivo o dell'applicazione deve:

  1. Leggere il campo Valid until dal certificato dopo ogni provisioning riuscito.
  2. Calcolare il tempo rimanente prima della scadenza.
  3. Attivare una richiesta di rinnovo prima della scadenza del certificato, eseguendo il reprovisioning tramite DPS o inviando direttamente una nuova richiesta di firma del certificato a Hub IoT.

Segnalazione della scadenza del certificato con dispositivi gemelli

Durante l'anteprima pubblica, i dispositivi devono usare le proprietà segnalate dei dispositivi gemelli per segnalare le Valid from e Valid until le date del certificato operativo corrente. Queste proprietà segnalate supportano la visibilità a livello di flotta, ad esempio i dashboard che mostrano i dispositivi con certificati vicini alla scadenza.

L'esempio seguente mostra una struttura delle proprietà segnalate:

{
  "reported": {
    "certificate": {
      "validFrom": "2026-03-01T00:00:00Z",
      "validUntil": "2026-03-31T00:00:00Z"
    }
  }
}

Dopo che i dispositivi segnalano queste proprietà, è possibile usare il linguaggio di query hub IoT per identificare i dispositivi nella flotta che richiedono il rinnovo.

Cosa accade quando un certificato scade

Se un dispositivo non rinnova il certificato prima della scadenza, perde la possibilità di eseguire l'autenticazione con hub IoT. hub IoT rifiuta le connessioni dai dispositivi che presentano certificati scaduti.

Per ripristinare un dispositivo con un certificato scaduto, è necessario eseguire di nuovo il provisioning del dispositivo usando il servizio Device Provisioning:

  1. Verificare che il dispositivo disponga ancora delle credenziali di onboarding. Questa credenziale viene usata per il provisioning iniziale, ad esempio una chiave simmetrica o un TPM.

  2. Dire al dispositivo di avviare una nuova chiamata di registrazione al DPS, includendo un nuovo CSR (richiesta di firma del certificato).

  3. DPS rilascia un nuovo certificato operativo tramite ADR usando lo stesso processo di approvvigionamento basato su CSR.

  4. Il dispositivo si connette a hub IoT con il nuovo certificato.

Se un dispositivo perde le credenziali di onboarding e il relativo certificato operativo scade, è necessario effettuare nuovamente il provisioning del dispositivo con una nuova credenziale di onboarding tramite il flusso di lavoro di gestione dei dispositivi dell'organizzazione.

Relazione con la revoca dei certificati

Il rinnovo del certificato affronta la scadenza ed è separato dalla revoca dei certificati. La revoca è un'azione di sicurezza che invalida un certificato del dispositivo prima della scadenza. Dopo la revoca, il dispositivo deve ottenere nuovamente un nuovo certificato, tramite il reprovisioning DPS e lo stesso flusso di rilascio basato su CSR. Per altre informazioni sulla revoca, vedere Concetti relativi alla revoca dei certificati e alla gestione dei criteri.

Per rimuovere l'accesso per un dispositivo che usa un certificato operativo X.509 senza revoca, è possibile disabilitare il dispositivo in hub IoT. Per altre informazioni, vedere Disabilitare o eliminare un dispositivo.

Contenuti correlati

  • Last updated on