Gerenciar certificados para comunicações externas

Operações do Azure IoT usa o TLS para criptografar toda a comunicação. Este artigo descreve como gerenciar certificados para comunicações externas, como autenticar servidores OPC UA externos.

Para obter informações sobre como gerenciar certificados para comunicações internas, incluindo o emissor autoassinado padrão e trazer seu próprio emissor de AC, consulte Traga seu próprio emissor.

Pré-requisitos

Gerenciar certificados para comunicações externas

As Operações do Azure IoT usam o Azure Key Vault como a solução de cofre gerenciado na nuvem e usam a extensão Repositório de segredos seguro do Azure Key Vault para Kubernetes para sincronizar os segredos da nuvem e armazená-los na borda como segredos do Kubernetes.

Importante

Embora as Operações de IoT do Azure usem certificados para proteger comunicações externas, esses certificados são armazenados como segredos no Azure Key Vault. Ao adicionar um certificado ao Azure Key Vault, adicione-o como um segredo, não como um recurso de certificado.

Configurar permissões do Azure Key Vault

Para usar a experiência de operações para criar segredos no cofre de chaves, o usuário requer permissões do Key Vault Secrets Officer no nível do recurso no Azure.

Em um ambiente de teste ou desenvolvimento, use as seguintes etapas para atribuir a função Key Vault Secrets Officer ao usuário no nível do grupo de recursos em que a instância de Operações IoT do Azure e a instância do Azure Key Vault são implantadas:

  1. Para localizar o nome do grupo de recursos, acesse a interface do usuário da Web da experiência de operações , acesse a página Instâncias e localize sua instância de Operações de IoT do Azure. O nome do grupo de recursos é mostrado no campo Grupo de recursos.

  2. Vá para o portal do Azure e vá para o grupo de recursos em que sua instância de Operações IoT do Azure e a instância do Azure Key Vault são implantadas.

    Dica

    Use a caixa de pesquisa na parte superior do portal do Azure para localizar rapidamente o grupo de recursos digitando o nome.

  3. Selecione controle de acesso (IAM) no menu à esquerda. Em seguida, selecione + Adicionar > Adicionar atribuição de função.

  4. Na guia Funções, selecione Key Vault Secrets Officer na lista de funções e, em seguida, selecione Avançar.

  5. Na guia Membros, selecione Usuário, grupo ou entidade de serviço, Selecione Membros, selecione o usuário que você deseja atribuir a função de Oficial de Segredos do Key Vault e selecione Avançar.

  6. Clique em Revisar + atribuir para concluir a atribuição de função.

Em um ambiente de produção, siga as práticas recomendadas para proteger o Azure Key Vault que você usa com operações de IoT do Azure. Para obter mais informações, consulte as práticas recomendadas para usar o Azure Key Vault.

Adicionar e usar certificados

Os conectores usam a experiência de gerenciamento de certificados para configurar a autenticação de aplicativos para servidores externos. Por exemplo, o conector para OPC UA usa certificados na lista de confiança para autenticar a identidade do servidor dos servidores OPC UA aos quais ele se conecta.

Ao implantar Operações do Azure IoT com configurações seguras, você pode começar a adicionar certificados ao Azure Key Vault e sincronizá-los com o cluster Kubernetes a ser usado na lista de certificados confiáveis e repositórios de lista do Emissor para conexões externas. Cada conector tem sua própria lista de confiança para armazenar os certificados dos servidores externos aos qual confia e se conecta.

Você pode gerenciar certificados para comunicações externas por meio da interface web de operações ou da CLI do Azure:

Para gerenciar certificados para comunicações externas, siga estas etapas:

  1. Acesse a experiência de Operações do Azure IoT e escolha seu site e a instância de Operações de IoT do Azure.

  2. No painel de navegação esquerdo, selecione Dispositivos.

  3. Selecione em Gerenciar certificados e segredos.

    Captura de tela que mostra a opção Gerenciar certificados e segredos no painel de navegação esquerdo.

  4. Na página Certificados e Segredos, selecione em Adicionar novo certificado.

    Captura de tela que mostra o botão Adicionar novo certificado na página de dispositivos.

  5. Você pode adicionar um novo certificado de duas maneiras:

    • Carregar certificado: carrega um certificado para adicionar como um segredo ao Azure Key Vault e sincronizar automaticamente com o cluster usando a extensão do repositório secreto.

      • Exiba os detalhes do certificado uma vez carregados para garantir que você tenha o certificado correto antes de adicionar ao Azure Key Vault e sincronizar com o cluster.
      • Use um nome intuitivo para que você possa reconhecer qual segredo representa seu segredo no futuro.
      • Selecione o repositório de certificados apropriado para o conector que usa o certificado. Por exemplo, lista de confiança do OPC UA.

      Captura de tela que mostra a opção Carregar certificado ao adicionar um novo certificado à página de dispositivos.

      Observação

      Simplesmente carregar o certificado não adiciona o segredo ao Azure Key Vault e sincroniza com o cluster. Você deve selecionar Aplicar para que as alterações sejam aplicadas.

    • Adicionar do Azure Key Vault: Adicionar um segredo existente do Azure Key Vault para ser sincronizado com o cluster.

      Captura de tela que mostra a opção Adicionar do Azure Key Vault ao adicionar um novo certificado à página de dispositivos.

      Observação

      Selecione o segredo que contém o certificado que você deseja sincronizar com o cluster. Selecionar um segredo que não é o certificado correto faz com que a conexão falhe.

  6. Usando a exibição de lista, você pode gerenciar os certificados sincronizados. Você pode exibir todos os certificados sincronizados e qual repositório de certificados ele é sincronizado para:

    Captura de tela que mostra a lista de certificados na página de dispositivos e como filtrar por Lista de Confiabilidade e Lista de Emissores.

Você também pode excluir certificados sincronizados. Quando você exclui um certificado sincronizado, ele exclui apenas o certificado sincronizado do cluster kubernetes e não exclui a referência secreta contida do Azure Key Vault. Você deve excluir o segredo do certificado manualmente do cofre de chaves.

Adicionar certificados como segredos ao Azure Key Vault

Se você usar a experiência de operações para selecionar certificados existentes que foram adicionados anteriormente ao Azure Key Vault, verifique se os segredos estão em um formato e codificação com suporte nas Operações de IoT do Azure.

Para adicionar um segredo de certificado PEM ao Azure Key Vault, você pode usar um comando como o seguinte exemplo:

az keyvault secret set \
  --vault-name <your-key-vault-name> \
  --name my-cert-pem \
  --file ./my-cert.pem \
  --encoding hex \
  --content-type 'application/x-pem-file'

Para adicionar um segredo de certificado DER binário ao Azure Key Vault, você pode usar um comando como o seguinte exemplo:

az keyvault secret set \
  --vault-name <your-key-vault-name> \
  --name my-cert-der \
  --file ./my-cert.der \
  --encoding hex \
  --content-type 'application/pkix-cert'
  • Last updated on