Gestion de vos certificats d’autorité de certification

Générez une paire de clés.

openssl genrsa -out root_CA_key_filename.key 2048

Utilisez la clé privée de la paire de clés pour générer un certificat CA.

openssl req -x509 -new -nodes \
    -key root_CA_key_filename.key \
    -sha256 -days 1024 \
    -out root_CA_cert_filename.pem

Enregistrez le certificat CA auprès de AWS IoT. À l'aide de la commande register-ca-certificate, entrez le nom du fichier du certificat CA. Pour plus d’informations, consultez register-ca-certificate dans la Référence des commandes de l’AWS CLI .

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --certificate-mode SNI_ONLY

En cas de succès, cette commande renvoie lecertificateId.

À ce stade, le certificat CA a été enregistré AWS IoT mais il est inactif. Le certificat de l'autorité de certification doit être actif avant que vous puissiez enregistrer les certificats clients qu'il a signés.​

Cette étape active le certificat de l'autorité de certification.

Pour activer le certificat CA, utilisez la commande update-certificate comme suit. Pour plus d'informations, consultez mettre à jour-le certificat dans la AWS CLI Référence des commandes.

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

Pour obtenir un code d'enregistrement auprès de AWS IoT, utilisezget-registration-code. Enregistrez le registrationCode renvoyé à utiliser en tant que Common Name du certificat de vérification de clé privée. Pour plus d’informations, consultez get-registration-code dans la Référence des commandes de l’AWS CLI .

aws iot get-registration-code

Générez une paire de clés pour le certificat de vérification de clé privée :

openssl genrsa -out verification_cert_key_filename.key 2048

Créez une demande de signature de certificat (CSR) pour le certificat de vérification de clé privée. Dans le champ Common Name du certificat, indiquez la valeur registrationCode renvoyée par get-registration-code.

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

Vous êtes invité à entrer certaines informations, notamment le Common Name du certificat.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

Utilisez la CSR pour créer un certificat de vérification de clé privée :

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

Enregistrez le certificat CA auprès de AWS IoT. Transmettez le nom de fichier de certificat CA et le nom du fichier de certificat de vérification de clé privée à la commande register-ca-certificate, comme suit. Pour plus d’informations, consultez register-ca-certificate dans la Référence des commandes de l’AWS CLI .

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --verification-cert file://verification_cert_filename.pem

Cette commande renvoie lecertificateId, en cas de succès.

À ce stade, le certificat CA a été enregistré AWS IoT mais n'est pas actif. Le certificat CA doit être actif avant que vous puissiez enregistrer les certificats clients qu'il a signés.

Cette étape active le certificat de l'autorité de certification.

Pour activer le certificat CA, utilisez la commande update-certificate comme suit. Pour plus d'informations, consultez mettre à jour-le certificat dans la AWS CLI Référence des commandes.

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

verification_cert_key_filename.keyRemplacez-le par le nom du fichier clé du certificat de vérification que vous souhaitez créer (par exemple,verification_cert.key). Exécutez ensuite cette commande pour générer une paire de clés pour le certificat de vérification de clé privée :

openssl genrsa -out verification_cert_key_filename.key 2048

Remplacez verification_cert_key_filename.key par le nom du fichier de clé que vous avez créé à l'étape 1.​

Remplacez verification_cert_csr_filename.csr par le nom du fichier de demande de signature du certificat (CSR) que vous souhaitez créer. Par exemple, verification_cert.csr.

Exécutez cette commande pour créer le fichier CSR.

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

La commande vous invite à saisir des informations supplémentaires qui seront expliquées plus loin.

Dans la AWS IoT console, dans le conteneur du certificat de vérification, copiez le code d'enregistrement.

Les informations que la commande openssl vous demande de saisir sont présentées dans l'exemple suivant. À l'exception du champ Common Name, vous pouvez saisir vos propres valeurs ou les laisser vides.

Dans le champ Common Name, collez le code d'enregistrement que vous avez copié à l'étape précédente.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

Une fois que vous avez terminé, la commande crée le fichier CSR.

Remplacez la verification_cert_csr_filename.csr par la verification_cert_csr_filename.csr que vous avez utilisée à l'étape précédente.

Remplacez root_CA_cert_filename.pem par le nom de fichier du certificat CA que vous souhaitez enregistrer.

Remplacez root_CA_key_filename.key par le nom du fichier de clé privée du certificat CA.

Remplacez verification_cert_filename.pem par le nom de fichier du certificat de vérification que vous souhaitez créer.​ Par exemple, verification_cert.pem.

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

Une fois la commande OpenSSL terminée, vous devriez avoir ces fichiers prêts à être utilisés lorsque vous revenez à la console.

Connectez-vous à la AWS IoT console AWS Management Console et ouvrez-la.

Dans le volet de navigation de gauche, choisissez Secure, choisissez CAs.

Dans la liste des autorités de certification, recherchez celle que vous souhaitez désactiver et choisissez l'icône de points de suspension pour ouvrir le menu d'options.

Dans le menu d'options, choisissez Désactiver.