Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Administración de sus certificados de entidad de certificación
En esta sección se describen las tareas comunes para administrar sus propios certificados de entidad de certificación.
Puede registrar su entidad emisora de certificados (CA) AWS IoT si utiliza certificados de cliente firmados por una entidad emisora de certificados que AWS IoT no los reconoce.
Si desea que los clientes registren automáticamente sus certificados de cliente AWS IoT cuando se conecten por primera vez, la CA que firmó los certificados de cliente debe estar registrada AWS IoT. De lo contrario, no es necesario registrar el certificado de entidad de certificación que firmó los certificados de cliente.
nota
Un certificado de entidad de certificación se puede registrar en modo DEFAULT
solo mediante una cuenta en una región. Un certificado de entidad de certificación se puede registrar en modo SNI_ONLY
mediante varias cuentas en una región.
Temas:
Creación de un certificado de entidad de certificación
Si no tiene un certificado de CA, puede usar las herramientas de Open SSL v1.1.1i
nota
No puede realizar este procedimiento en la consola. AWS IoT
Para crear un certificado de CA con las herramientas Open SSL v1.1.1i
-
Genere un par de claves.
openssl genrsa -out
root_CA_key_filename.key
2048 -
Utilice la clave privada del par de claves para generar un certificado de entidad de certificación.
openssl req -x509 -new -nodes \ -key
root_CA_key_filename.key
\ -sha256 -days 1024 \ -outroot_CA_cert_filename.pem
Registro de su certificado de entidad de certificación
Estos procedimientos describen cómo registrar un certificado de una autoridad de certificación (CA) que no es la CA de Amazon. AWS IoT Core utiliza certificados de CA para verificar la propiedad de los certificados. Para usar certificados de dispositivo firmados por una CA que no sea la CA de Amazon, debes registrar el certificado de CA con el AWS IoT Core fin de comprobar la propiedad del certificado del dispositivo.
Registro de un certificado de entidad de certificación (consola).
nota
Para registrar un certificado de entidad de certificación en la consola, comience en la consola en Registro de un certificado de entidad de certificación
Registra un certificado de CA (CLI)
Puede registrar un certificado de entidad de certificación en el modo DEFAULT
o el modo SNI_ONLY
. Una CA se puede registrar en DEFAULT
modo uno Cuenta de AWS a uno Región de AWS. Una CA se puede registrar en SNI_ONLY
modo varias veces Cuentas de AWS en la misma modalidad Región de AWS. Para obtener más información sobre el modo de certificado de CA, consulte certificateMode.
nota
Se recomienda registrar una entidad emisora de certificados en el modo SNI_ONLY
. No necesita proporcionar un certificado de verificación ni acceder a la clave privada, y puede registrar la CA varias veces Cuentas de AWS en la misma Región de AWS.
Registre un certificado de CA en ONLY modo SNI _ (CLI): recomendado
Requisitos previos
Asegúrese de que dispone de lo siguiente en el ordenador antes de continuar:
-
El archivo de certificado de entidad de certificación raíz (al que se hace referencia en el siguiente ejemplo como
).root_CA_cert_filename.pem
-
Abra la SSL versión 1.1.1i
o posterior
Para registrar un certificado de CA en modo mediante el SNI_ONLY
AWS CLI
-
Registre el certificado de CA con AWS IoT. Con el comando register-ca-certificate, introduzca el nombre del archivo del certificado de entidad de certificación. Para obtener más información, consulte register-ca-certificate
la Referencia de AWS CLI comandos. aws iot register-ca-certificate \ --ca-certificate file://
root_CA_cert_filename.pem
\ --certificate-modeSNI_ONLY
Si se ejecuta correctamente, este comando devuelve el
certificateId
. -
En este momento, el certificado de CA se ha registrado AWS IoT pero está inactivo. El certificado de entidad de certificación debe estar activo antes de poder registrar los certificados de cliente firmados por él.
Este paso activa el certificado de entidad de certificación.
Para activar el certificado de entidad de certificación, utilice el comando update-certificate del modo siguiente. Para obtener más información, consulte update-certificate
en la Referencia de comandos de la AWS CLI . aws iot update-ca-certificate \ --certificate-id
certificateId
\ --new-status ACTIVE
Utilice el comando describe-ca-certificate para ver el estado del certificado de entidad de certificación. Para obtener más información, consulte describe-ca-certificate
Registre un certificado de CA en DEFAULT
el modo (CLI)
Requisitos previos
Asegúrese de que dispone de lo siguiente en el ordenador antes de continuar:
-
El archivo de certificado de entidad de certificación raíz (al que se hace referencia en el siguiente ejemplo como
).root_CA_cert_filename.pem
-
El archivo de clave privada del certificado de entidad de certificación raíz (al que se hace referencia en el siguiente ejemplo como
).root_CA_key_filename.key
-
Abra la SSL versión 1.1.1i
o posterior
Para registrar un certificado de CA en modo mediante el DEFAULT
AWS CLI
-
Para obtener un código de registro AWS IoT, utiliceget-registration-code. Guarde el
registrationCode
devuelto para usarlo comoCommon Name
del certificado de verificación de clave privada. Para obtener más información, consulte get-registration-codela Referencia de AWS CLI comandos. aws iot get-registration-code
-
Genere un par de claves para el certificado de verificación de clave privada:
openssl genrsa -out
verification_cert_key_filename.key
2048 -
Cree una solicitud de firma de certificado (CSR) para el certificado de verificación de clave privada. Establezca el campo
Common Name
del certificado en elregistrationCode
devuelto por get-registration-code.openssl req -new \ -key
verification_cert_key_filename.key
\ -outverification_cert_csr_filename.csr
Se le solicita información, incluido el
Common Name
del certificado.You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]: State or Province Name (full name) []: Locality Name (for example, city) []: Organization Name (for example, company) []: Organizational Unit Name (for example, section) []: Common Name (e.g. server FQDN or YOUR name) []:
your_registration_code
Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: -
Utilice el CSR para crear un certificado de verificación de clave privada:
openssl x509 -req \ -in
verification_cert_csr_filename.csr
\ -CAroot_CA_cert_filename.pem
\ -CAkeyroot_CA_key_filename.key
\ -CAcreateserial \ -outverification_cert_filename.pem
\ -days 500 -sha256 -
Registre el certificado de CA con AWS IoT. Pase el nombre de archivo del certificado de entidad de certificación y el nombre de archivo del certificado de verificación de clave privada al comando register-ca-certificate, tal como sigue: Para obtener más información, consulte register-ca-certificate
la Referencia de AWS CLI comandos. aws iot register-ca-certificate \ --ca-certificate file://
root_CA_cert_filename.pem
\ --verification-cert file://verification_cert_filename.pem
Este comando devuelve el
certificateId
, si tiene éxito. -
En este momento, el certificado de CA se ha registrado AWS IoT pero no está activo. El certificado de entidad de certificación debe estar activo antes de poder registrar los certificados de cliente firmados por él.
Este paso activa el certificado de entidad de certificación.
Para activar el certificado de entidad de certificación, utilice el comando update-certificate del modo siguiente. Para obtener más información, consulte update-certificate
en la Referencia de comandos de la AWS CLI . aws iot update-ca-certificate \ --certificate-id
certificateId
\ --new-status ACTIVE
Utilice el comando describe-ca-certificate para ver el estado del certificado de entidad de certificación. Para obtener más información, consulte describe-ca-certificate
Creación un certificado de verificación de CA para registrarlo en la consola
nota
Este procedimiento solo se utiliza si va a registrar un certificado de CA desde la AWS IoT consola.
Si no ha realizado este procedimiento desde la AWS IoT consola, inicie el proceso de registro del certificado de CA en la consola en Registrar el certificado de CA
Asegúrese de que dispone de lo siguiente en el mismo ordenador antes de continuar:
-
El archivo de certificado de entidad de certificación raíz (al que se hace referencia en el siguiente ejemplo como
).root_CA_cert_filename.pem
-
El archivo de clave privada del certificado de entidad de certificación raíz (al que se hace referencia en el siguiente ejemplo como
).root_CA_key_filename.key
-
Abra la versión SSL 1.1.1i
o una versión posterior
Para usar la interfaz de línea de comandos con el fin de crear un certificado de verificación de CA para registrar su certificado de entidad de certificación en la consola:
-
Reemplace
por el nombre del archivo de clave del certificado de verificación que quiera crear (por ejemplo,verification_cert_key_filename.key
verification_cert.key
). Luego ejecute este comando para generar un par de claves para el certificado de verificación de clave privada:openssl genrsa -out
verification_cert_key_filename.key
2048 -
Reemplace
por el nombre del archivo de clave que creó en el paso 1.verification_cert_key_filename.key
Sustitúyalo por el nombre del archivo de solicitud de firma de certificado (CSR) que deseas crear. Por ejemplo,verification_cert_csr_filename.csr
verification_cert.csr
.Ejecute este comando para crear el CSR archivo.
openssl req -new \ -key
verification_cert_key_filename.key
\ -outverification_cert_csr_filename.csr
El comando le solicita información adicional que se explica más adelante.
-
En la AWS IoT consola, en el contenedor del certificado de verificación, copia el código de registro.
-
La información que le solicita el comando openssl se muestra en el siguiente ejemplo. A excepción del campo
Common Name
, puede introducir sus propios valores o mantenerlos vacíos.En el campo
Common Name
, pegue el código de registro que copió en el paso anterior.You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]: State or Province Name (full name) []: Locality Name (for example, city) []: Organization Name (for example, company) []: Organizational Unit Name (for example, section) []: Common Name (e.g. server FQDN or YOUR name) []:
your_registration_code
Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:Cuando termine, el comando crea el CSR archivo.
-
Reemplace
por elverification_cert_csr_filename.csr
que utilizó en el paso anterior.verification_cert_csr_filename.csr
Reemplace
por el nombre del archivo de del certificado de entidad de certificación que quiera registrar.root_CA_cert_filename.pem
Reemplace
por el nombre del archivo de clave privada del certificado de entidad de certificación.root_CA_key_filename.key
Reemplace
por el nombre del archivo de clave del certificado de verificación que quiera crear. Por ejemplo,verification_cert_filename.pem
verification_cert.pem
.openssl x509 -req \ -in
verification_cert_csr_filename.csr
\ -CAroot_CA_cert_filename.pem
\ -CAkeyroot_CA_key_filename.key
\ -CAcreateserial \ -outverification_cert_filename.pem
\ -days 500 -sha256 -
Cuando se complete el SSL comando Abrir, debería tener estos archivos listos para usarlos cuando regrese a la consola.
-
Su archivo de certificado de entidad de certificación (
utilizado en el comando anterior).root_CA_cert_filename.pem
-
El certificado de verificación que creó en el paso anterior (
verification_cert_filename.pem
utilizado en el comando anterior)
-
Desactivar un certificado de entidad de certificación
Cuando un certificado de una entidad emisora de certificados (CA) está habilitado para el registro automático de certificados de cliente, AWS IoT comprueba el certificado de la CA para asegurarse de que la CA lo estáACTIVE
. Si el certificado de CA lo estáINACTIVE
, AWS IoT no permite registrar el certificado de cliente.
Al establecer el certificado de entidad de certificación como INACTIVE
, impide que los certificados de cliente nuevos emitidos por la entidad de certificación se registren automáticamente.
nota
Todos los certificados de dispositivo registrados que haya firmado el certificado de entidad de certificación en riesgo siguen funcionando hasta que revoque explícitamente cada uno de ellos.
Desactivar un certificado de entidad de certificación (consola)
Para desactivar un certificado de entidad de certificación mediante la consola de AWS IoT
-
Inicie sesión en la AWS IoT consola AWS Management Console y ábrala
. -
En el panel de navegación izquierdo, selecciona Seguro y elige CAs.
-
En la lista de autoridades de certificación, busque la que desea desactivar y elija el icono de los puntos suspensivos para abrir el menú de opciones.
-
En el menú de opciones, elija Deactivate (Desactivar).
La entidad de certificación debe mostrarse como Inactive (Inactiva) en la lista.
nota
La AWS IoT consola no proporciona una forma de enumerar los certificados firmados por la entidad emisora de certificados que ha desactivado. Para obtener una opción de AWS CLI para enumerar esos certificados, consulte Desactive un certificado de CA () CLI.
Desactive un certificado de CA () CLI
AWS CLI Proporciona el update-ca-certificate
aws iot update-ca-certificate \ --certificate-id
certificateId
\ --new-status INACTIVE
Utilice el comando list-certificates-by-ca
Utilice el comando describe-ca-certificate