Self-managed Signieren von Zertifikaten mit AWS IoT Core Zertifikatsanbieter

Sie können einen AWS IoT Core Zertifikatsanbieter erstellen, um Certificate Signing Requests (CSRs) in der AWS IoT Flottenbereitstellung zu signieren. Ein Zertifikatsanbieter verweist auf eine Lambda-Funktion und die CreateCertificateFromCsr MQTT-API für die Flottenbereitstellung. Die Lambda-Funktion akzeptiert eine CSR und gibt ein signiertes Client-Zertifikat zurück.

Wenn Sie keinen Zertifikatsanbieter bei sich haben AWS-Konto, wird die CreateCertificateFromCsr MQTT-API in der Flottenbereitstellung aufgerufen, um das Zertifikat aus einem CSR zu generieren. Nachdem Sie einen Zertifikatsanbieter erstellt haben, ändert sich das Verhalten der CreateCertificateFromCsr MQTT-API, und alle Aufrufe dieser MQTT-API rufen den Zertifikatsanbieter auf, das Zertifikat auszustellen.

Mit dem AWS IoT Core Zertifikatsanbieter können Sie Lösungen implementieren, die private Zertifizierungsstellen (CAs) wie AWS Private CA andere öffentlich vertrauenswürdige Zertifizierungsstellen oder Ihre eigene Public Key Infrastructure (PKI) verwenden, um die CSR zu signieren. Darüber hinaus können Sie mithilfe des Zertifikatsanbieters die Felder Ihres Client-Zertifikats wie Gültigkeitszeiträume, Signaturalgorithmen, Aussteller und Erweiterungen anpassen.

So funktioniert die selbstverwaltete Zertifikatsignierung bei der Flottenbereitstellung

Die wichtigsten Konzepte

Die folgenden Konzepte enthalten Einzelheiten, anhand derer Sie besser verstehen, wie die selbstverwaltete Zertifikatsignierung bei der Flottenbereitstellung funktioniert. AWS IoT Weitere Informationen finden Sie unter Bereitstellung von Geräten ohne Gerätezertifikate mithilfe von Fleet Provisioning.

Diagramm

Das folgende Diagramm veranschaulicht in vereinfachter Form, wie das Signieren von Selbstzertifikaten bei der AWS IoT Flottenbereitstellung funktioniert.

Eingabe der Lambda-Funktion des Zertifikatsanbieters

AWS IoT Core sendet das folgende Objekt an die Lambda-Funktion, wenn sich ein Gerät bei ihr registriert. Der Wert von certificateSigningRequest ist der CSR im Privacy-Enhanced Mail-Format (PEM), der in der Anfrage bereitgestellt wird. CreateCertificateFromCsr Das principalId ist die ID des Prinzipals, mit dem AWS IoT Core bei der Anfrage eine Verbindung hergestellt wurde. CreateCertificateFromCsr clientIdist die für die MQTT-Verbindung festgelegte Client-ID.

{
	"certificateSigningRequest": "string",
	"principalId": "string",
	"clientId": "string"
}

Rückgabewert der Lambda-Funktion des Zertifikatsanbieters

Die Lambda-Funktion muss eine Antwort zurückgeben, die den certificatePem Wert enthält. Das Folgende ist ein Beispiel für eine erfolgreiche Antwort. AWS IoT Core verwendet den Rückgabewert (certificatePem), um das Zertifikat zu erstellen.

{
	"certificatePem": "string"
}

Wenn die Registrierung erfolgreich ist, CreateCertificateFromCsr wird dasselbe certificatePem in der CreateCertificateFromCsr Antwort zurückgegeben. Weitere Informationen finden Sie im Beispiel für eine Antwort-Nutzlast von CreateCertificateFromCsr.

Beispiel-Lambda-Funktion

Bevor Sie einen Zertifikatsanbieter erstellen, müssen Sie eine Lambda-Funktion erstellen, um eine CSR zu signieren. Das Folgende ist ein Beispiel für eine Lambda-Funktion in Python. Diese Funktion ruft AWS Private CA auf, um den eingegebenen CSR mithilfe einer privaten CA und des SHA256WITHRSA Signaturalgorithmus zu signieren. Das zurückgegebene Client-Zertifikat ist ein Jahr lang gültig. Weitere Informationen zu AWS Private CA und wie Sie eine private CA erstellen, finden Sie unter Was ist eine AWS private CA? und Erstellen einer privaten CA.

import os
import time
import uuid
import boto3

def lambda_handler(event, context):
    ca_arn = os.environ['CA_ARN']
    csr = (event['certificateSigningRequest']).encode('utf-8')

    acmpca = boto3.client('acm-pca')
    cert_arn = acmpca.issue_certificate(
        CertificateAuthorityArn=ca_arn, 
        Csr=csr,
        Validity={"Type": "DAYS", "Value": 365}, 
        SigningAlgorithm='SHA256WITHRSA',
        IdempotencyToken=str(uuid.uuid4())
    )['CertificateArn']
    
    # Wait for certificate to be issued
    time.sleep(1)    
    cert_pem = acmpca.get_certificate(
        CertificateAuthorityArn=ca_arn,
        CertificateArn=cert_arn
    )['Certificate']
    
    return {
        'certificatePem': cert_pem
    }

Das folgende ressourcenbasierte Richtlinienbeispiel für Lambda gewährt die Erlaubnis, AWS IoT die Lambda-Funktion aufzurufen:

Self-managed Unterzeichnung eines Zertifikats für die Bereitstellung der Flotte

Sie können die selbstverwaltete Zertifikatsignierung für die Flottenbereitstellung mithilfe von oder wählen. AWS CLI AWS-Managementkonsole

aws iot create-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-1 \
                --accountDefaultForOperations CreateCertificateFromCsr

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

AWS CLI Befehle für den Zertifikatsanbieter

Zertifikatsanbieter erstellen

Verwenden Sie den CreateCertificateProvider API-Vorgang oder den create-certificate-provider CLI-Befehl, um einen Zertifikatsanbieter zu erstellen.

aws iot create-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-1 \
                --accountDefaultForOperations CreateCertificateFromCsr

Das Folgende zeigt eine Beispielausgabe für diesen Befehl:

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

Weitere Informationen finden Sie in CreateCertificateProvider der AWS IoT API-Referenz.

Aktualisieren Sie den Zertifikatsanbieter

Verwenden Sie den UpdateCertificateProvider API-Vorgang oder den update-certificate-provider CLI-Befehl, um einen Zertifikatsanbieter zu aktualisieren.

aws iot update-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-2 \
                --accountDefaultForOperations CreateCertificateFromCsr

Das Folgende zeigt eine Beispielausgabe für diesen Befehl:

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

Weitere Informationen finden Sie in UpdateCertificateProvider der AWS IoT API-Referenz.

Beschreiben Sie den Zertifikatsanbieter

Verwenden Sie den DescribeCertificateProvider API-Vorgang oder den describe-certificate-provider CLI-Befehl, um einen Zertifikatsanbieter zu beschreiben.

aws iot describe-certificate-provider --certificateProviderName my-certificate-provider

Das Folgende zeigt eine Beispielausgabe für diesen Befehl:

{
	"certificateProviderName": "my-certificate-provider",
	"lambdaFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:my-function",
	"accountDefaultForOperations": [
		"CreateCertificateFromCsr"
	],
	"creationDate": "2022-11-03T00:15",
	"lastModifiedDate": "2022-11-18T00:15"
}

Weitere Informationen finden Sie in DescribeCertificateProvider der AWS IoT API-Referenz.

Löschen Sie den Zertifikatsanbieter

Verwenden Sie den DeleteCertificateProvider API-Vorgang oder den delete-certificate-provider CLI-Befehl, um einen Zertifikatsanbieter zu löschen. Wenn Sie die Ressource des Zertifikatsanbieters löschen, CreateCertificateFromCsr wird das Verhalten von wieder aufgenommen und AWS IoT es werden Zertifikate erstellt, die AWS IoT von einem CSR signiert wurden.

aws iot delete-certificate-provider --certificateProviderName my-certificate-provider

Dieser Befehl liefert keine Ausgabe.

Weitere Informationen finden Sie in DeleteCertificateProvider der AWS IoT API-Referenz.

Den Zertifikatsanbieter auflisten

Verwenden Sie die ListCertificateProviders API-Operation oder den list-certificate-providers CLI-Befehl AWS-Konto, um die Zertifikatsanbieter in Ihrem aufzulisten.

aws iot list-certificate-providers

Das Folgende zeigt eine Beispielausgabe für diesen Befehl:

{
	"certificateProviders": [
		{
			"certificateProviderName": "my-certificate-provider",
			"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
		}
	]
}

Weitere Informationen finden Sie in ListCertificateProvider der AWS IoT API-Referenz.